SIM 스와프 공격: 해커가 휴대폰을 탈취해 암호화폐를 훔치는 방법

SIM 스와프 공격은 범죄자가 이동통신사를 통해 여러분의 휴대폰 번호를 자신이 통제하는 SIM 카드로 옮기게 해서 그 번호를 장악하는 공격입니다. 번호를 손에 넣으면 문자로 오는 로그인 코드와 비밀번호 재설정 링크를 받아, 몇 분 만에 암호화폐 거래소, 이메일, 소셜 미디어 계정에 침입할 수 있습니다.

훔친 암호화폐는 빠르게 옮길 수 있고 되찾기 어렵기 때문에 암호화폐 보유자는 매력적인 표적입니다. 자신의 보유 자산을 공개적으로 이야기하는 사람은 특히 위험합니다. 다행히 계정을 보호하는 방식을 몇 가지만 바꿔도 SIM 스와프의 위험을 크게 줄일 수 있습니다.

SIM 스와프 공격의 작동 방식

1. 1정보 수집: 공격자는 이름, 주소, 생년월일, 휴대폰 번호 같은 개인 정보를 데이터 유출, 소셜 미디어, 피싱을 통해 모읍니다.
2. 2통신사 장악: 본인인 척 이동통신사에 연락해 휴대폰을 분실했거나 고장 났다고 주장하며 새 SIM을 요청합니다. 매수된 내부자나 해킹된 통신사 계정이 동원되는 공격도 있습니다.
3. 3번호 이전: 여러분의 번호가 공격자의 SIM으로 넘어갑니다. 여러분의 휴대폰은 서비스가 끊깁니다.
4. 4계정 재설정: 이메일과 거래소 계정의 비밀번호 재설정을 요청하고, 문자로 코드를 받아 로그인합니다.
5. 5탈취: 보안 설정을 바꾸고, 암호화폐를 자신의 지갑으로 출금하며, 때로는 여러분의 소셜 계정에 사기 게시물을 올립니다.

이 전체 과정은 1시간도 걸리지 않을 수 있습니다. 유명 계정도 피해를 입었습니다. 2024년 1월, 미국 증권거래위원회(SEC)는 권한 없는 제3자가 SIM 스와프로 보이는 방식으로 자사 X 계정에 연결된 휴대폰 번호를 장악한 뒤, 그 계정으로 허위 발표를 게시했다고 밝혔습니다.

공격자가 할 수 있는 일과 할 수 없는 일

그래서 핵심 방어책은 휴대폰 번호가 계정의 열쇠가 되지 않도록 하는 것입니다.

피해자일 수 있다는 경고 신호

• Wi-Fi는 계속 작동하는데 휴대폰에 갑자기 서비스 없음이나 긴급 통화 전용 모드가 표시됩니다.
• SIM 변경, 번호 이동 요청, 비밀번호 재설정에 관한 예상치 못한 문자나 이메일을 받습니다.
• 이유 없이 계정이나 앱에서 로그아웃됩니다.
• 친구들이 여러분에게서 이상한 메시지를 받았다고 말합니다.

이런 신호가 보이면 즉시 행동하세요. 몇 분이 중요합니다.

SIM 스와프로부터 자신을 보호하는 방법

이중 인증 바로잡기

1. 1거래소, 이메일, 돈과 연결된 모든 계정에서 SMS 대신 인증 앱이나 하드웨어 보안 키로 전환하세요. 암호화폐 계정의 이중 인증 가이드에서 선택지를 비교합니다.
2. 2서비스가 허용하는 곳에서는 복구 수단에서 휴대폰 번호를 제거하세요.
3. 3백업 코드는 이메일이 아닌 오프라인에 보관하세요.

모바일 계정 강화하기

• 통신사에 번호 이동 PIN, 계정 PIN 또는 SIM 잠금을 요청하세요. 명칭과 옵션은 통신사와 국가에 따라 다릅니다.
• 통신사 온라인 계정에는 고유하고 강력한 비밀번호를 사용하세요.
• 통신사가 SIM 변경 시 추가 인증을 제공하는지 문의하세요.

노출 줄이기

• 암호화폐를 얼마나 보유하고 있는지 공개적으로 공유하지 마세요.
• 가능하다면 금융 계정에는 공개하지 않은 별도의 휴대폰 번호나 이메일을 사용하세요.
• 생일, 주소, 휴대폰 번호가 드러나는 소셜 미디어 프로필은 비공개로 잠그세요.

장기 보유 자산은 셀프 커스터디로 보관하기

거래소에 있는 자금은 거래소 로그인만큼만 안전합니다. 하드웨어 지갑에 보관한 장기 저축은 휴대폰 번호를 통해 접근할 수 없습니다. 거래소별 설정은 거래소 계정을 보호하는 방법을 참고하세요.

SIM 스와프에 관한 흔한 오해

• “우리 통신사는 절대 속지 않아.” 공격자는 도난당한 개인 정보, 사회공학, 때로는 내부자를 이용합니다. 통신사들이 보호 장치를 개선해 왔지만 완벽한 시스템은 없습니다.
• “나는 표적이 될 만큼 유명하지 않아.” 많은 피해자는 데이터 유출이나 암호화폐 관련 포럼에 휴대폰 번호가 노출된 평범한 사람들입니다.
• “2FA를 쓰니까 안전해.” 그 2FA가 SMS 기반이라면 SIM 스와프로 뚫립니다.
• “강력한 비밀번호면 충분해.” 문자 메시지를 통한 비밀번호 재설정은 아무리 강력한 비밀번호라도 우회합니다.

SIM 스와프를 당했을 때 해야 할 일

1. 1다른 전화로 통신사에 전화해 사기를 신고하세요. 번호를 복구하고 계정을 잠가 달라고 요청하세요.
2. 2이메일부터 보호하세요. 이메일이 다른 곳의 비밀번호 재설정을 좌우하기 때문입니다. 비밀번호를 바꾸고 다른 세션에서 로그아웃하세요.
3. 3거래소에 연락해 계정과 출금을 동결하세요.
4. 4모든 금융 계정의 비밀번호와 2FA를 변경하세요.
5. 5여러분의 번호나 소셜 계정에서 오는 메시지가 사기일 수 있다고 지인에게 경고하세요.
6. 6경찰과 관련 사이버 범죄 기관에 범죄를 신고하고 기록을 보관하세요. 지갑이 해킹당했을 때 바로 해야 할 일 가이드에서 관련 단계를 다룹니다.

이후 수수료를 받고 암호화폐를 되찾아 주겠다며 연락해 오는 사람은 경계하세요. 흔한 2차 사기입니다. 계정이 다시 안전해지면 급하게 바꾼 보안 설정을 모두 점검하고, 다음에 당황하지 않도록 각 계정이 이제 어떤 복구 수단을 쓰는지 적어 두세요.

결론

SIM 스와프 공격은 많은 계정이 휴대폰 번호를 신원 증명으로 취급한다는 점을 악용합니다. 그 약점을 없애세요. SMS에서 인증 앱이나 보안 키로 옮기고, 통신사 계정을 단단히 잠그고, 공개적으로 공유하는 정보를 줄이고, 저축은 셀프 커스터디로 보관하세요. 그러면 번호를 탈취당해도 재앙이 아니라 약간의 불편으로 끝납니다. 더 많은 방어 방법은 보안 가이드에서 확인하세요.