ഇൻസ്റ്റഗ്രാം
“정말 긴장되는 밤이었어요.” 아담은 그때를 떠올렸다. “그들이 감히 우리에게 전화를 걸다니, 믿을 수가 없어요.”
이미지: SHUTTERSTOCK
위협이 고조되다
2월, T-Mobile가 대량 문자 메시지를 보내 “부문별” 위협에 대해 고객들에게 경고했습니다. 회사에 따르면, 범죄자들은 사람들의 전화번호를 노리고 탈취하기 위해 “포트 아웃 사기”라는 기법을 점점 더 많이 사용하고 있습니다. 이 사기는 또한 SIM 카드 스와핑 또는 하이재킹 으로 알려져 있으며, 단순하지만 매우 효과적입니다.
우선, 범죄자들은 목표 대상인 척하며 이동통신사의 기술 지원 번호로 전화를 겁니다. 그들은 회사 직원에게 SIM 카드를 “분실”했다고 설명하며, 전화번호를 해커들이 이미 보유한 새 SIM 카드로 이전하거나 옮겨 달라고 요청합니다. 사회공학 기법을 조금 곁들여 — 예를 들어 피해자의 주민등록번호나 자택 주소를 제공하는 식으로 (이는 지난 몇 년간 발생한 수많은 데이터 유출 사고 중 하나를 통해 흔히 구할 수 있습니다) — 범죄자들은 직원이 자신들이 주장하는 사람이라고 믿게 만들고, 직원은 전화번호를 새 SIM 카드로 옮겨 줍니다.
게임 오버.
“누군가의 전화번호만 있으면”, SIM 카드 스와핑을 수행하는 한 해커가 제게 설명했습니다. “몇 분 안에 그 사람이 소유한 모든 계정에 접근할 수 있고, 그들은 그것에 대해 아무것도 할 수 없습니다.”
라첼 오스트런드가 해커들이 자신의 전화번호를 탈취했을 때 받은 문자 메시지 스크린샷
그때부터 피해자는 서비스를 잃게 되는데, 이는 주어진 번호로 한 번에 하나의 SIM 카드만 이동통신망에 연결될 수 있기 때문입니다. 또한 해커들은 피해자의 계정을 재설정할 수 있고, 전화번호를 복구 수단으로 사용해 2단계 인증 같은 보안 장치를 종종 우회합니다.
인스타그램을 포함한 일부 서비스는 2단계 인증 설정 시 사용자가 전화번호를 제공하도록 요구하는데, 이 규정은 해커에게 계정에 접근할 또 다른 방법을 뜻밖에 제공하는 결과를 낳습니다. 실제로 해커가 대상자의 번호를 장악하면, 2단계 인증을 피해 계정 비밀번호를 전혀 몰라도 인스타그램 계정에 들어갈 수 있습니다. ( 해커로부터 전화번호와 연결된 계정을 보호하는 방법에 대한 가이드를 확인하세요 .)
해커 에릭 테일러( 이전에 CosmoTheGod라는 이름으로 알려진 )은 2012년 클라우드플레어 CEO의 이메일 계정을 해킹했던 순간 등 자신의 가장 유명한 해킹 중 일부에 이 기법을 사용했습니다. 현재 보안 회사 Path Network 에서 일하는 테일러는 온라인 계정 중 하나와 연결된 전화번호가 있으면, 고객 서비스 상담원에게 전화한 지 5분도 안 되어 휴대폰을 가로채는 13~16세 아이들에게 계정을 빼앗길 수 있다고 제게 말했습니다.
“이런 일은 항상 일어납니다”라고 그는 덧붙였습니다.
제보하실 정보가 있으신가요? Signal +1 917 257 1382, OTR 채팅 [email protected], 또는 이메일 [email protected]로 이 기자에게 안전하게 연락하실 수 있습니다.
Celsus Advisory Group의 정보 및 리서치 책임자인 Roel Schouwenberg는 SIM 카드 교체, 2단계 인증 우회, 계정 복구 메커니즘의 악용 등의 문제를 연구해 왔습니다. 그의 견해에 따르면 완벽하게 안전한 전화번호는 없으며, 소비자들은 이를 인식해야 합니다.
“어떤 유형의 번호든 이전될 수 있습니다”라고 Schouwenberg가 제게 말했습니다. “결연하고 자원이 충분한 범죄자는 적어도 번호에 대한 일시적인 접근 권한을 얻을 수 있으며, 이것만으로도 강도 행위를 완수하기에 충분한 경우가 많습니다.”
문제는 휴대전화 번호가 우리 온라인 신원 전체의 ‘마스터 키’가 되었다는 점입니다. 이는 지난해 그가 블로그 글에서 설명한 내용 이기도 합니다.
“대부분의 시스템은 전화번호를 장악한 공격자에 대응하도록 설계되어 있지 않습니다. 이는 정말로 매우 심각한 문제입니다.” 스하우벤베르흐는 이렇게 썼습니다. “우리의 전화번호는 사실상 되돌릴 수 없는 식별자가 되었습니다. 원래 그런 용도로 만들어진 것이 아닙니다. 사회보장번호가 본인 확인용으로 설계된 적이 없는 것과 마찬가지입니다. 오늘날 전화번호는 대부분의 서비스와 계정으로 들어가는 왕국의 열쇠입니다.”
해커가 여러분의 전화번호를 장악한 뒤 무엇을 하는지는 그들이 무엇을 노리느냐에 따라 정확히 달라집니다.
“저는 그들의 돈을 챙기고 제 삶을 살아갑니다”
자전거를 도난당했다면 누군가 암시장에서 팔고 있지 않은지 Craigslist를 확인해야 합니다. SIM 스와핑으로 인스타그램 계정을 도난당했다면 OGUSERS를 확인해야 합니다.
OGUSERS는 언뜻 보면 여느 포럼과 다르지 않아 보입니다. “스팸/농담” 섹션이 있고, 음악, 엔터테인먼트, 애니메이션, 게임 같은 주제를 이야기하는 섹션도 있습니다. 하지만 가장 중요하고 가장 활발한 곳은 사용자들이 게임 및 소셜 미디어 핸들을 사고파는 마켓이며, 때로는 수천 달러에 거래되기도 합니다.
포럼 관리자 중 한 명에 따르면, 최근 한 게시물에서 누군가 인스타그램 계정 @Bitcoin을 2만 달러에 판매했습니다. 6월 13일 현재에도 올라와 있는 한 게시물에서는 한 사용자가 인스타그램 @eternity를 1,000달러에 판매한다고 알렸습니다.
이는 OGUSERS에서 판매되는 계정 유형의 두 가지 예에 불과합니다. 이 포럼은 사람들이 ‘OG’ 사용자 이름을 사고팔 수 있는 장소를 제공하기 위해 2017년 4월에 문을 열었습니다. (포럼 이름은 ‘original gangster’의 줄임말인 속어 OG에서 따왔습니다.) 소셜 네트워크에서 OG란 멋지다고 여겨지는 사용자 이름을 말하며, @Sex, @Eternity, @Rainbow처럼 단일 단어이기 때문일 수도 있습니다. 또는 @t나 @ty처럼 매우 짧은 핸들이기 때문일 수도 있습니다. 유명인들 역시 표적이 되었습니다.
해킹 이후의 셀레나 고메즈 인스타그램 계정 캡처 화면.
예를 들어 지난해 8월, 해커들이 셀레나 고메즈의 인스타그램 계정을 탈취해 저스틴 비버의 누드 사진을 올렸습니다. 고메즈 계정의 이름란 첫 부분도 ‘Islah’로 바뀌었는데, 이는 당시 OGUSERS 회원이 사용하던 사용자 이름 Islah와 동일했습니다. OGUSERS 해커들에 따르면, 고메즈 해킹의 배후를 자처한 이들은 이 가수 겸 배우의 인스타그램 계정에 연결된 휴대전화 번호를 가로채는 방식으로 해킹했다고 주장했으며, 당시 이 계정의 팔로워는 1억 2,500만 명이었습니다.
“세상에, 인스타그램에서 팔로워가 가장 많은 사람을 진짜로 해킹했네.” 한 OGUSERS 회원이 ‘RIP SELENA GOMEZ’라는 제목의 토론 스레드에 남긴 댓글입니다.
고메즈의 대변인은 이메일을 통한 논평 요청을 거절했습니다.
