지난주 말, 트위터 CEO 잭 도시의 트위터 계정이 해킹당했습니다. 계정을 장악한 공격자들은 도시의 이름으로 모욕적이고 인종차별적인 게시물을 올리기 시작했으며, 회사 본사에 폭탄이 설치되었다고 주장하기도 했습니다. 해킹 그룹 Chuckle Gang이 이번 공격에 대한 책임을 주장했습니다.
공식 발표에 따르면, 이번 공격은 이동통신사의 부주의에서 비롯된 것으로, 통신사가 보안이 뚫린 상태에서 권한이 없는 사람이 도시의 전화번호로 SMS를 보내도록 허용했다고 합니다. 사실 최근까지 트위터는 SMS 메시지를 통해 이용할 수 있었으며, 이는 서비스 초창기에 꽤 인기가 있었습니다. 다만 전제 조건은 해당 기능을 이동통신사가 지원해야 한다는 것이었습니다. 바로 이러한 이유로 등장했던 140자 제한은 SMS 메시지의 최대 길이 때문이었습니다.
이 ‘취약점’에 대해서는 트위터도 오래전부터 알려져 있었습니다. 실제로 2018년 말, Insinia Security의 전문가들은 SMS 메시지를 두 번째 인증 수단으로 사용하는 것의 위험성을 경고하고, SMS를 통해 트위터 기능을 이용하는 것이 왜 문제인지 설명한 바 있습니다. 더 나아가 이 기능의 위험성을 다룬 기사는 인터넷에 2007년 및 2009년부터 이미 존재하고 있습니다.
문제는 최근 몇 년 사이 사이버 범죄자들이 이른바 SIM 스와프 기법을 사용해 사용자의 SIM 카드를 점점 더 많이 ‘탈취’하고 있다는 점입니다. 이러한 공격의 핵심은 범죄자가 피해자의 이동통신사 직원에게 접근해 사회공학 기법을 활용하는 것입니다. 예를 들어, 공격자는 번호 소유자인 척하며 SIM 카드를 분실하거나 파손했다고 주장하고, 번호를 새 SIM 카드로 이전하려고 시도합니다. 그 후 공격자는 해당 전화번호와 연결된 계정들을 탈취하여 타인의 신원을 도용합니다. 이러한 공격은 종종 대량의 암호화폐를 훔치거나 값비싼 인스타그램 계정을 장악하는 데 사용되곤 합니다.
트위터 개발팀은 도시의 계정이 해킹된 이후 SMS 메시지를 통한 트윗 전송 기능을 비활성화하기로 결정했다고 발표했습니다. 이번 중단은 일시적인 조치이지만, 해당 기능의 재개 시점은 아직 정해지지 않았다고 강조했습니다. 흥미롭게도 개발팀은 이와 동시에 이동통신사에도 어느 정도 책임을 돌리면서, 통신사 측의 취약점도 수정해야 한다고 지적했습니다.
