전국 T-Mobile 직원들, SIM 불법 스와핑 대가로 현금 제안 받아

 (tmo.report)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 미국 전역의 T-Mobile 직원들이 고객 회선을 공격자 보유 SIM으로 옮겨주는 불법 SIM 스와핑 청탁 문자를 받음
  • 청탁 메시지는 건당 300달러와 Telegram 연락을 제안하며, 여러 지역번호의 발신 번호를 써서 차단을 어렵게 만듦
  • 문자에는 직원 번호를 “T-Mo employee directory”에서 얻었다는 문구가 있고, 현직자뿐 아니라 몇 달 전 퇴사한 전 직원도 대상에 포함됨
  • T-Mobile은 시스템 침해는 없었다고 답했지만, 불법 행위를 유도하는 메시지를 조사 중이며 다른 무선 통신사에서도 유사 사례가 보고됨
  • 고객은 SMS 기반 2단계 인증 의존을 줄이고 인증 앱과 SIM protection을 켜는 방식으로 계정 탈취 위험을 낮출 필요가 있음

직원에게 직접 온 SIM 스와핑 청탁

  • SIM 스와핑은 공격자가 피해자의 전화 회선을 자신이 가진 SIM으로 옮겨, 피해자에게 전송되는 2단계 인증 코드를 가로채 온라인 계정에 접근하는 방식임
  • 피해자는 은행 계좌나 암호화폐 지갑에서 돈을 잃을 수 있음
  • 여러 Reddit 게시물과 별도 제보에 따르면, 미국 전역의 T-Mobile 직원들이 SIM 스와핑 대가로 현금을 제안하는 문자를 받음
  • 청탁 문자는 SIM 스와핑 1건당 300달러를 제시하고 Telegram으로 연락하라고 요구함
  • 발신 번호가 여러 지역번호의 다양한 번호로 바뀌어, 단순 번호 차단만으로 막기 어려움

직원 연락처 출처와 침해 여부

  • 문자에는 직원 전화번호를 “T-Mo employee directory”에서 얻었다는 문구가 있음
    • 이 내용이 사실이라면 연락처가 포함된 T-Mobile 직원 디렉터리에 어떤 방식으로든 접근했을 가능성이 있음
    • 몇 달 전 퇴사한 전 직원도 대상에 포함돼, 공격자가 현재 실시간으로 데이터에 접근하고 있을 가능성은 낮게 판단됨
  • 직원 번호가 어디서 나왔는지는 확정되지 않음
    • 온라인 댓글 기준으로 일부 서드파티 직원이 영향을 받은 것으로 보임
    • 현재 T-Mobile corporate 직원도 메시지를 받은 사실이 별도로 확인됨
    • 2023년 9월 Connectivity Source 관련 유출 데이터와 같은 출처라고 단정하기는 어려움
    • 다만 그 가능성을 배제할 수는 없음
  • T-Mobile PR은 “시스템 침해는 없었다”고 답변함
    • 불법 행위를 유도하기 위해 전송되는 메시지를 계속 조사 중임
    • 다른 무선 통신사들도 유사한 메시지를 보고함

고객이 줄일 수 있는 위험

  • 범죄자들이 여전히 SIM 스와핑을 돈이 되는 공격 수단으로 보고 있다는 점이 고객에게 불안 요소로 남아 있음
  • 일부 직원이 빠른 현금 제안을 받아들인다면, 고객 계정과 자금이 직접 위험해질 수 있음
  • 고객이 취할 수 있는 조치:
    • 온라인 서비스의 2단계 인증을 SMS 기반으로 두지 않음
    • Google Authenticator나 Authy 같은 인증 앱을 사용함
    • 은행이나 암호화폐 지갑 서비스가 SMS만 2단계 인증으로 제공한다면 다른 서비스로 옮기는 것을 고려함
    • T-Mobile 계정에서 SIM protection을 활성화함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • T-Mobile이 직원들에게 보상금을 600달러로 올린 척 자체 SMS를 보내고, 답장한 직원을 해고할 수 있지 않을까?
    아니면 직원 회선 할인 약관을 바꿔서 회사 이용자에 대한 보안 위협 탐지를 위해 SMS 내용이나 메타데이터를 모니터링할 수 있게 만들 수도 있어 보임

    • T-Mobile은 여러 가지를 할 수는 있겠지만, 먼저 왜 신경 써야 하는지부터 확인해야 함
      SIM 스와프 대가를 주겠다고 가장하는 게 합법인지는 모르겠지만, 그건 부차적인 문제고, 과거에 T-Mobile이 이런 일에 신경 썼다는 증거를 별로 못 봄
    • 할 수 있는 일은 많음: 1) SIM 변경에 직원 2명과 전화 상담원을 함께 요구하고, 2) 변경 대상 번호로 전화해 받는 사람에게 번호 이전을 알고 있는지 확인하고, 3) 변경 전 24시간 유예를 두고 해당 번호 사용자에게 연락을 시도하고, 4) 동료가 뇌물을 받는 증거를 제공하면 1만 달러 이상의 큰 포상금을 주면 됨
    • 이런 제안에 답하면 해고될 수 있다고 공지만 보내도 어느 정도 해결 가능함
    • 애초에 유혹받지 않을 만큼 충분히 급여를 주는 방법도 있음

  • “내부자”가 개입한 SIM 스와프 공격 자체는 새롭지 않음. 가까운 친구의 T-Mobile 휴대폰도 2020년 3월에 이런 방식으로 당했음
    이번 뉴스의 핵심은 데이터 유출과 SIM 스와프가 만났다는 점임. 범죄자들이 최근 T-Mobile 유출 데이터에 포함된 직원 전화번호를 이용해 많은 직원에게 한꺼번에 문자로 접근하고, 건당 300달러를 제안하고 있음
    예전에는 개인 인맥으로 내부자를 만들거나 직접 지원해 채용되는 방식이었지만, 유출된 데이터가 있으니 자동화하고 규모를 키울 수 있게 됨

    • 여기서 약점을 찌르는 방법은 가짜 허니팟 제안을 뿌리는 것임. 이 계획의 약점은 신뢰 부족과 익명성이 양쪽 모두에 작용한다는 데 있음
      즉 “예전 방식”은 내부자를 키우는 것뿐 아니라, 내부자가 의뢰자를 믿을 수 있게 만드는 과정까지 포함했음
    • 암호화폐 쪽에서는 2018년 초부터 이런 일이 계속돼 온 것으로 알고 있음
    • 사람들이 왜 300달러 때문에 직장을 걸까 싶음
    • 내 경우는 2000년대 후반, 아마 2008년쯤에 당했음

  • 여기서 해결책이 뭘까? 오프라인 매장 직원이 고객의 전화번호를 새 SIM으로 옮기는 일을 못 하게 하는 게 현실적일까? 고객이 휴대폰을 분실했거나 도난당했다고 하면 어떻게 해야 할까?
    이상적으로는 고객이 실제로 현장에 있었고 신분증이 확인됐다는 검증이 있어야겠지만, 미국에는 보편적으로 쓰이는 신분증 같은 게 없어서 어떻게 할 수 있을지 모르겠음. 또 신분증 없이도 전화번호를 받을 수 있어야 한다고 보는데, 그런 경우엔 검증 자체가 막힘
    문제는 휴대폰이 사실상 우리 디지털 생활의 신뢰 루트가 됐다는 점임. 패스키가 운영체제에 내장되는 건 이 문제를 통신사에서 밀어내므로 좋지만, 근본적인 문제는 남아 있음. 신뢰를 처음 세우는 일은 어렵다

    • 해결책은 디지털 생활의 접근권을 통신사에 맡기지 않는 것임
      “고객이 실제로 현장에 있고 신분증이 확인됐다”에서 현장이 어디라는 건가? 내 MVNO는 지점이 없음. 지점이 있더라도 왜 내가 거기에 가야 하나? 은행 지점도 가능하면 안 감
    • 미국에서도 여러 목적의 신원 확인에 정부 발급 사진 신분증을 요구하는 정책은 전혀 드물지 않음. 내가 알기로 모든 주에는 보편적으로 발급 가능한 신분증이 있음. 보통 무료는 아니지만 누구나 발급받을 수 있음
    • 쉬운 해결책은 비밀번호 복구에 SMS를 쓰지 않는 것임
      SMS는 2단계 인증에는 괜찮을 수도 있지만 항상 두 번째 요소여야 함. “비밀번호를 잊었음” → SMS 코드 → 새 비밀번호는 사실상 1요소 인증임. SMS를 유일한 요소로 쓰는 건 정말 나쁨
    • SIM 변경이나 다른 작업 전에 계정에 PIN을 요구하면 진입 장벽으로 꽤 유용해 보임
      그러면 부패한 직원이 SIM 변경을 실행하려면 자신에게 없는 추가 정보가 필요함
    • 단순한 시간 지연만으로도 99%의 사례를 해결할 수 있음
      SIM이 모바일 네트워크에서 48시간 동안 끊겨 있어야만 변경 가능하게 하고, 끊겨 있지 않다면 기존 SIM으로 전화나 문자를 보내 정말 변경을 원하는지 확인하면 됨

  • 암호화폐 업계에서 일하는데 SIM 스와프는 늘 봄. 주로 유명인의 Twitter 계정 탈취에 쓰이고, 이후 피싱 링크를 올려 팔로워들의 코인을 훔침. 이 분야에서는 T-Mobile이 압도적으로 많이 거론되고, 대부분 피해자가 T-Mobile을 썼다고 하니 오래전부터 이어진 일임
    Twitter 보안의 또 다른 큰 문제는 SMS가 아닌 2단계 인증을 써도 계정을 빼앗길 수 있다는 점임. 계정에 전화번호가 있으면 복구 수단으로 쓰여 2단계 인증을 완전히 우회함. 이 보안 결함이 몇 년째 있는데도 아직 고치지 않았음

    • 지금 2단계 인증을 지원하는 거의 모든 서비스가 이 복구 취약점을 갖고 있음
      전화번호를 아예 제공하지 않아도 되거나, 적어도 복구 수단으로 쓰지 않게 해주는 사이트는 극히 적음
      단순한 시간 잠금만 있어도 큰 도움이 됨. 예를 들어 SMS 일회용 비밀번호 기반 “2”단계 인증 복구는 24시간 뒤에만 가능하게 하고, 동시에 “당신이 아닐 수도 있는 누군가가 계정을 복구하려 함” 경고를 대량으로 보내며, 정당한 계정 소유자가 이를 중단할 방법을 제공하는 식임
    • 많은 사이트가 SMS 2단계 인증을 사실상 1요소 인증으로 바꾸는 결함을 갖고 있음. 필요한 건 전화번호뿐임
      SMS가 아닌 2단계 인증을 쓰는 경우에도 허용된다면 더 나쁘고, 대체 2단계 인증을 쓰는 목적을 100% 무력화함

  • SMS 일회용 비밀번호가 이렇게 자주 쓰인다는 게 믿기 어려움. 공개적으로 알려진 사실인데, 기존 공격 경로를 더 나쁜 공격 경로로 바꿀 뿐임
    비밀번호를 깨거나 암호화된 데이터베이스에 침입하는 건 SIM 스와프를 성공시키는 것보다 10배는 어려움

    • 좋은 비밀번호를 깨는 건 어렵지만, 상당수는 좋은 비밀번호를 쓰지 않거나 어떤 피싱 웹폼에도 별 생각 없이 입력함
      시간 제한이 있는 2단계 코드는 SIM 스와프나 표적 피싱으로 깨질 수 있지만, 광범위한 스팸 기반 피싱 캠페인보다는 덜 흔함
      그렇다고 SMS 2단계 인증을 좋아한다는 건 아니고, 정말 싫어함
    • 내 은행은 최근 2단계 인증 옵션에서 SMS를 제거하고 TOTP를 요구하는 기능을 추가했음
      이제 WebAuthn만 추가해주면 좋겠음. 그래도 브라우저 통합 비밀번호 관리자와 함께 쓰는 TOTP는 피싱에 꽤 안전함. 자동완성이 안 뜨면 의심할 수 있기 때문임
    • 쉽고, 고객에게 무료이며, iPhone의 “code autofill” 같은 기능 덕분에 사용자 경험도 가장 간단함
      SIM 스와프는 아주 적은 수의 사람에게만 일어나니 관련자 입장에서는 노력할 가치가 낮음. 나도 싫지만 현실은 그렇다
    • 하지만 한 번 성공하면 동시에 많은 계정이 뚫림
      오늘날 사용자명과 비밀번호만 기반으로 하는 모든 것은 패스키로 대체돼야 함. 패스키가 해결하지 못하는 문제는 2단계 인증과 계정 복구임
    • 엄밀히 말하면 “대체”는 아님. SMS 일회용 비밀번호 전에는 그냥 비밀번호만 있었음
      비밀번호 + SMS 일회용 비밀번호는 SMS 방식이 아무리 형편없어도 그 자체로는 더 낫다

  • FCC가 SIM 스와프를 막기 위한 새 규칙을 시행하는 것 같고, 2024년 7월 8일부터 발효된다고 함. 다만 보도자료만 보면 통신사 직원이 악의적 행위자인 경우에도 고객을 보호할 수 있을지는 확실하지 않음
    https://www.fcc.gov/consumer-governmental-affairs/fcc-announ...
    https://docs.fcc.gov/public/attachments/DOC-398483A1.pdf

  • 농담이 아니라, 변경 시 DNA 샘플을 요구하는 이동통신사를 만들면 시장이 있을 것 같음
    DNA는 혈액, 침, 무작위로 고른 손톱 같은 여러 출처에서 동시에 채취하고, 제공자가 DNA 문자열 자체를 저장하지 않도록 해시를 거치게 할 수 있음. DNA 자체가 UUID 같은 건 아니라 어느 정도 혁신이 필요하겠지만, 가능하다고 봄. VIP들은 이 서비스에 돈을 낼 것이고 해킹 피해에 대한 제한적 보험도 제공할 수 있음
    덧붙이면 “Forensic Files”의 한 에피소드에서 성폭행 혐의 DNA 검사를 피하려고 다른 사람의 혈액 샘플을 자기 몸에 주입한 용의자가 있었음. 그래서 DNA 방식도 공격 가능하다는 점은 인정함. 그래서 여러 무작위 샘플이 필요함

    • Sam Altman의 Worldcoin 같은 홍채 스캔도 가능하겠음

  • 다중 인증에 더 나은 표준이 정말 필요함. 아마 다중 인증의 법적 정의를 두고, SMS는 이메일 같은 것과 동급인 2단계 인증으로 분류해야 함
    진짜 다중 인증은 Yubikey나 다른 하드웨어 인증서 기반 장치로 제한해야 한다고 봄. 또 방식별로 토큰을 하나만 지원한다면 다중 인증이라고 광고하지 못하게 해야 함

  • 이건 단순히 SIM이나 T-Mobile만의 문제가 아님
    대부분의 고객센터 상담원은 매우 낮은 소득을 받고, 특히 다른 나라에서는 서구 기준으로 적은 돈에도 특정 조치를 해줄 사람을 찾기 어렵지 않음. 고객센터 상담원은 강력한 권한과 민감한 정보 접근권을 가진 경우가 많고, 접근 제어는 허술함
    SMS와 다중 인증 문제를 해결해도 공격자는 다음으로 약한 곳을 공격할 것임

    • 미국 고객을 상대하는 모든 고객 서비스는 미국, 영국, 아일랜드, 캐나다, 호주, 뉴질랜드에 위치해야 한다는 법을 만들자는 내 제안의 또 다른 이유임
    • 그렇긴 하지만 이상적으로는 다음 약점이 저임금으로 경제적으로 취약한 직원보다는 훨씬 더 안전해야 함
      내가 알기로 SMS 2단계 인증은 모든 방식 중 가장 쉽게 뚫림. 적어도 이메일이라면 먼저 비밀번호가 필요하고, 경우에 따라 별도의 2단계 인증도 통과해야 함

  • 간단해 보이는 아이디어를 하나 던져보면, 계정의 회선은 현재 SIM이 기지국망 기준으로 오프라인일 때만 새 SIM으로 옮길 수 있게 하는 선택형 옵션을 두는 것임
    고객센터가 이 제한을 우회하지 못하게 만들 수도 있음
    누군가 휴대폰을 훔치면 활성화 잠금을 피하려고 최대한 빨리 비행기 모드로 만들려 할 것임. 바다에 빠뜨리거나 절벽 아래로 떨어뜨렸다면 오래 작동하지 않을 가능성이 큼. 잃어버렸는데 계속 켜져 있고 찾을 수 없는 상황이 걱정된다면 이 옵션을 켜지 않으면 됨

    • SIM 카드에 “옮기겠습니까?”라는 메시지를 보내면 됨
      응답하지 않으면 48시간 뒤에 이전되고, “예”라고 하면 바로 이전됨. “아니오”라고 하면 이전을 요청한 사람이 몇 가지 질문에 답해야 함
    • 현재 회선으로 확인 요청을 보내고 유예 기간을 두게 해도 됨. 사용자가 미리 유예 기간을 직접 고를 수 있게 하면, 누군가 사용자가 비행 중인 걸 알고 회선을 탈취하는 일을 막을 수 있음
      예를 들어 휴대폰을 잃어버렸고 길가 어딘가에 있을 수 있어 응답하지 못한다면, 확인 요청에 응답이 없을 때 8시간 뒤쯤 회선이 이전되는 식임
    • 선택형 SIM 보호 기능은 이미 있음. SIM 카드를 잠그면 잠금 해제 전까지 회선을 옮길 수 없음
답변달기