이것은 해커들이 여러분의 전화번호를 장악해 온라인 계정을 해킹하는 위협으로부터 스스로를 예방하고 보호하기 위한 가이드입니다.
해커들은 짧거나 고유한 사용자 이름을 가진 인스타그램 사용자와 비트코인 보유자를 표적으로 삼아 왔습니다. 피해자의 계정이나 암호화폐를 훔치기 위해, 해커들은 먼저 표적의 휴대전화 번호를 입수하며, 이를 통해 특정 번호와 연결된 모든 계정의 비밀번호를 재설정할 수 있게 됩니다.
이런 유형의 해킹은 번호 이동 사기(port-out scam)라고 불리며, 한 통신사에서 다른 통신사로 번호를 옮기는 ‘번호 이동’ 개념에서 파생된 용어입니다. 이를 유심 교체(SIM 스와핑) 또는 해킹이라고도 합니다. 유심을 바꾸는 데 익숙했던 한 해커는 제게 이런 일이 ‘늘’ 일어난다고 말했으며, 통신 서비스 제공업체들은 이 공격 방식을 수년 전부터 알고 있었습니다. T-Mobile에 따르면 수백 명의 사람들이 이 사기의 피해를 입었습니다. 최근 몇 달 동안 Motherboard는 번호를 도난당한 30명이 넘는 피해자와 이야기를 나눴습니다. 제가 이야기를 나눈 유심 스와핑 피해자 한 명은 인스타그램 계정뿐만 아니라 아마존, 이베이, 페이팔, 넷플릭스, 훌루 계정까지 해킹당했습니다.
“우리의 휴대전화가 우리의 가장 큰 취약점입니다”라고 그녀는 제게 말했습니다.
그렇다면 여러분은 스스로를 보호하기 위해 무엇을 할 수 있을까요?
결국 이 해킹은 사기꾼들이 통신사의 기술 지원팀을 속이는 데 의존하며, 회사 직원들이 속아 넘어간다면 여러분이 할 수 있는 일에는 한계가 있다는 점을 기억하는 것이 중요합니다. 다행히도 여러분은 해커들이 휴대전화 번호를 훔치기 훨씬 어렵게 만들 수 있습니다. 그리고 더욱 중요하게는, 해커들이 어쨌든 번호를 훔치는 경우에도 피해를 최소화하기 위한 조치를 취할 수 있습니다.
방법은 다음과 같습니다.
계정 보안 강화하기
고객 계정에 대한 공격이 늘어남에 따라, 미국의 주요 이동통신사들은 해커들이 계정과 전화번호를 장악하기 어렵게 만들기 위해 새로운 보안 기능을 도입했습니다.
AT&T는 고객이 계정에 인증 코드를 추가할 수 있도록 허용합니다. 이 인증 정보는 고객이 온라인 계정에 로그인할 때 사용하는 비밀번호와는 별개입니다. 이 인증 코드는 번호를 다른 유심으로 이전하는 등 계정에 중요한 변경을 가할 때 필요합니다.
Verizon은 이제 모든 고객이 상담센터에 연락할 때 ‘주요 인증’ 수단으로 PIN 번호 또는 비밀번호를 갖춰야 한다고 밝혔습니다. 이 PIN 번호는 AT&T 고객이 설정할 수 있는 인증 코드와 유사하며, Verizon 기술 지원팀과 소통할 때 사용되어 추가적인 보안 계층을 제공합니다.
지난해 T-Mobile은 이러한 공격으로부터 보호하기 위해 ‘번호 이동 확인 기능‘을 제공하기 시작했습니다. 이는 기본적으로 온라인 계정에 접근할 때 사용하는 일반 비밀번호와는 별개의 인증 코드로, 누군가 새 유심 발급 등 계정 변경을 시도할 때마다 요구됩니다. T-Mobile 담당자에게 요청해 이 코드를 계정에 추가하세요. 이렇게 하면 여러분을 사칭하는 해커나 T-Mobile 매장에서 가짜 신분증으로 사기를 시도하는 사기꾼으로부터 보호받을 수 있습니다. 해당 코드를 반드시 제시해야 하기 때문입니다.
Sprint도 유심 교체 시 제공할 별도의 PIN 번호를 고객에게 제공하며, 보안 질문에 답하는 옵션도 함께 제공합니다.
통신사에 직접 전화하여 범죄자들이 회원님의 전화번호를 가로챌까 우려된다고 말씀하시고, 계정을 보호하기 위해 추가로 적용할 수 있는 모든 보안 조치를 요청하시기를 권해 드립니다.
번호를 온라인 계정에 연결하지 마세요
해커가 여러분의 전화번호를 훔치면, 그 번호와 연결된 모든 온라인 계정의 비밀번호를 재설정하는 데 사용합니다. 많은 경우 이것은 이중 인증(2단계 인증)을 우회합니다. 바로 이 때문에 전화번호에 대한 통제권을 갖는 것이 그토록 강력한 힘을 가지는 것입니다.
가능하다면 해커의 관심을 끌 만한 모든 계정에서 전화번호를 삭제하세요. 이러한 계정에 여전히 전화번호 유형을 연결할 수는 있지만, SIM 카드 해킹으로부터 안전한 Google Voice 번호와 같은 VoIP 번호를 사용하는 것을 권장합니다. 물론 이 번호 역시 보호해야 하므로, 고유한 비밀번호를 사용하고, 계정에 이중 인증을 설정하며, 정기적으로 사용하지 않아 번호가 만료되지 않도록 해야 합니다.
Gmail 계정에서 전화번호를 삭제하려면 myaccount.google.com에 접속하고, 필요한 경우 로그인한 뒤 개인 정보 및 개인정보 보호 메뉴와 개인 정보를 차례로 클릭하세요. 번호가 등록되어 있다면 삭제하세요. 또한 계정 복구 옵션에 전화번호가 나열되어 있지 않은지 확인하세요. 대신 Google Authenticator와 같은 인증 앱을 이중 인증용으로 추가하세요.
정말로 번호를 등록하고 싶다면, 가능한 한 별도의 Gmail 계정(이상적으로는 임시 용도의 계정)에서 새로운 Google Voice 번호를 만들고 그 번호를 사용하는 것을 권장합니다. Google Voice는 미국에서만 이용 가능하므로, 그 밖의 지역에 계신다면 다른 VoIP 서비스를 이용해야 합니다.(팁: 이중 인증을 활성화할 때 항상 복구 코드를 생성하고 저장하세요 .)
Microsoft 계정에서 전화번호를 삭제하려면 account.live.com에 접속한 뒤 보안으로 이동하고, 보안 정보 업데이트 아래의 정보 업데이트를 클릭하세요. 전화번호가 있다면 Google Voice 번호나 다른 VoIP 번호가 아닌 경우에 한해 삭제하세요.
Apple 기기를 사용하신다면 appleid.apple.com에 접속해 로그인한 뒤, 보안 섹션 옆의 편집을 클릭하세요. Google Voice 또는 VoIP 번호를 신뢰할 수 있는 전화번호로 추가한 다음, 해당되는 경우 기존의 전화번호를 삭제하세요. iMessage와 FaceTime의 경우에는 여전히 실제 휴대폰 번호를 제공해야 하지만, 신뢰할 수 있는 전화번호로는 다른 번호를 사용할 수 있습니다.
Twitter에서는 아바타를 클릭한 뒤 설정 및 개인정보 보호로 이동하고, 오른쪽 메뉴에서 모바일을 선택하세요. 이중 인증을 활성화했다면 번호를 입력해야 합니다. 이러한 이유로, 해커가 번호를 가로채지 못하도록 VoIP 번호나 Google Voice 번호를 제공하는 것을 권장합니다. 또한 인증 앱이나 보안 키를 단순히 사용하고 Twitter에서 번호를 전화번호를 완전히 삭제하는 방법도 있습니다.
Instagram도 상황이 비슷합니다. 모바일 앱에서 아바타를 클릭한 뒤 프로필 편집을 누르고, 번호를 VoIP 번호나 Google Voice 번호로 바꾸세요. Twitter와 달리, Instagram에서는 이중 인증을 비활성화하지 않고는 전화번호를 완전히 삭제할 수 없습니다.
Facebook의 경우, 오른쪽 상단의 드롭다운 화살표에서 설정을 선택하세요. 먼저 오른쪽 메뉴에서 모바일을 클릭하고 전화번호를 삭제하세요. 이제 Google Voice 번호나 다른 VoIP 번호를 추가하세요. 그다음 보안 및 로그인(역시 오른쪽 메뉴에 있음)으로 이동해, 이중 인증 사용 옵션에서 편집을 클릭하고 새로운 VoIP 또는 Google Voice 번호가 등록되어 있는지 확인하세요.
마지막으로 Amazon의 경우, 계정 및 목록을 클릭한 뒤 계정 관리를 선택하세요. 그다음 로그인 및 보안을 클릭하고, 비밀번호를 입력한 후 번호가 표시되어 있는지 확인하세요. 표시되어 있다면, 이제 방법은 아시겠죠: VoIP 번호나 Google Voice 번호로 바꾸세요.
PayPal, eBay, Netflix 및 이와 유사한 다른 계정은 물론, 주거래 은행에 대해서도 같은 조치를 취하실 것을 권장합니다.
