eSIM, 해킹당할 수 있을까?

이 구분은 중요합니다. 노력을 어디에 쏟아야 할지를 결정하기 때문입니다. 칩에 무엇을 해도 도움이 되지 않습니다. 도움이 되는 것은 번호를 통제하는 계정을 잠그고, 자산을 지키는 코드를 SMS에서 완전히 옮기는 것입니다.

• 칩은 강력합니다. 프로필 인증 정보는 변조 방지 보안 요소 안에 있으며, 읽을 수 있는 형태로 밖에 나오는 일이 없습니다.
• 서류 절차는 약합니다. 전화번호는 이름, 주소, 그럴듯한 사연 하나만으로 프로필 사이를 옮겨 다닙니다.
• 노리는 것은 데이터가 아니라 번호입니다. 공격자가 원하는 것은 내 번호로 수신되는 SMS 코드입니다 — 데이터 전용 eSIM에는 애초에 존재하지 않는 것입니다.

이 가이드의 나머지 부분에서는 공격이 실제로 도달할 수 있는 네 곳을 살펴본 다음, 진짜 중요한 그 지점을 막는 체크리스트를 제공합니다.

“eSIM 해킹”은 하나의 현상이 아닙니다. 난이도가 완전히 다른 네 가지 목표가 있으며, 이를 뭉뚱그려 생각하기 때문에 사람들이 엉뚱한 곳을 걱정하게 됩니다.

이 목록은 공격에 드는 노력 순서대로 나열한 것입니다 — 공격자는 아래쪽에서 시작해, 어쩔 수 없을 때만 위로 올라갑니다. 고객센터에 전화 한 통이면 되는데 굳이 칩을 공격하는 사람은 없습니다.

SIM 스와핑은 전화번호를 훔치는 수법입니다. 공격자는 내 휴대폰을 만질 일도, 암호화를 뚫을 일도 없습니다. 통신사에게 자신이 나라고 믿게 만들고, 서비스를 새 SIM이나 새 eSIM 프로필로 옮겨야 한다고 설득할 뿐입니다. 그 순간부터 나에게 와야 할 모든 전화와 문자가 대신 그들의 기기에서 울립니다.

1. 01
   정보를 모읍니다

   이름, 번호, 생년월일, 주소, 카드 뒷자리 네 개입니다. 유출된 데이터, 소셜미디어, 그리고 당신에게 건 다정한 전화 한 통이 이 정보 대부분을 제공합니다.

2. 02
   통신사에 연락합니다

   상담 전화, 채팅, 혹은 매장 창구입니다. 사연은 평범하고 지루합니다 — 휴대폰을 잃어버렸다, 고장 났다, 기기를 바꾸려 한다. 평범하고 지루해야 승인이 납니다.

3. 03
   번호가 넘어갑니다

   내 회선은 끊깁니다. 그들의 기기가 내 번호로 살아나며, 대개 몇 분 안에 벌어집니다.

4. 04
   되는 대로 비밀번호를 재설정합니다

   이메일, 은행, 거래소, 클라우드 저장소입니다. “비밀번호를 잊으셨나요”를 누를 때마다 SMS로 코드가 전송되고, 그 SMS는 이제 그들의 휴대폰으로 도착합니다.

5. 05
   계좌를 비우고 사라집니다

   되돌릴 수 없는 이체이기 때문에 암호화폐 계정부터 손댑니다. 이 모든 과정이 한 시간 안에, 그것도 흔히 한밤중에 끝납니다.

정직한 가이드라면 이렇게 분명히 말해야 합니다. eSIM이 SIM 스와핑을 만들어낸 것은 아니지만, 그 속도를 늦추던 마찰을 없애 버린 것은 사실입니다. 우편으로 보낼 플라스틱 카드도, 방문할 매장도 없습니다 — 교체 회선은 즉시 발급되는 QR 코드일 뿐입니다.

• 전달이 즉각적입니다. 예전 공격은 우편으로 오는 카드나 위조 신분증을 든 방문이 필요했습니다. 새로운 공격에는 이메일 주소와 스크린샷 하나면 됩니다.
• 규모를 키울 수 있습니다. 웹 양식 하나로 줄일 수 있는 일이라면 어디서든 동시에 여러 피해자를 대상으로 실행할 수 있습니다.
• 피해자는 나중에야 알아챕니다. 새벽 3시에 벌어진 스와핑은 아침이 되기 전까지 그저 수신 상태가 나쁜 것처럼 보이며, 공격자에게 쓸모 있는 시간은 몇 분 단위로 측정됩니다.
• 셀프서비스 포털 자체가 표적이 되었습니다. 통신사가 온라인 계정에서 eSIM을 직접 발급하게 해 준다면, 그 로그인 정보만 훔치면 충분합니다 — 고객센터와 대화할 필요조차 없습니다.

그렇다고 eSIM을 쓰지 말아야 한다는 뜻은 아닙니다. 프로필을 옮기기 어렵게 만드는 바로 그 고정성 덕분에 eSIM은 플라스틱 SIM보다 도난당한 휴대폰에서 더 안전합니다 — 클립으로 열 트레이도, 빼내서 재사용할 카드도 없기 때문입니다.

대비해야 할 만한 방식으로는 불가능합니다. 사람들이 “eSIM이 해킹당할 수 있냐”고 물을 때 실제로 염두에 두는 질문이 바로 이것이며, 이 기술이 진짜로 버텨 주는 유일한 지점이기도 합니다.

• 키는 절대 칩 밖으로 나가지 않습니다. 프로필은 인증된 변조 방지 보안 요소인 eUICC 안에 존재합니다. 비밀 값은 그 안에서만 사용되며, 읽을 수 있는 형태로는 운영체제에도, 앱에도, 심지어 사용자 본인에게도 나오지 않습니다.
• 양쪽 모두 서로의 신원을 증명합니다. 프로필 다운로드는 상호 인증 채널을 통해 이루어집니다 — 서버는 칩에게, 칩은 서버에게 각자의 정체를 증명하며, 어느 쪽도 위조할 수 없는 인증서를 사용합니다.
• 프로필은 하나의 칩에 묶여 있습니다. 특정 eUICC 하나만을 위해 암호화되어 있습니다. QR 코드나 활성화 문자열, 파일을 복사해 봤자 공격자의 하드웨어로는 열 수 없는 데이터 뭉치만 얻을 뿐입니다.
• 코드는 1회용입니다. 프로필이 한 번 다운로드되면 활성화 코드는 그것으로 소진됩니다. 그 이후에 스크린샷이 유출돼도 아무것도 설치되지 않습니다.

사람들이 어렴풋이 기억하는 예전의 SIM 복제 공격은 전혀 다른 시대의 기술 이야기이며, eSIM이 존재하기 훨씬 전에 이미 퇴역한 알고리즘을 노린 것이었습니다. 지금의 위험이 아니라 지나간 역사입니다.

SIM 스와핑의 모든 단계는 자산 하나, 즉 전화번호를 노립니다. 코드를 받는 것이 번호이기 때문입니다. 번호를 빼 버리면 공격은 노릴 대상 자체가 없어집니다. 데이터 전용 여행용 eSIM에는 번호가 없고, SMS도 받을 수 없으며, 그 어떤 이름과도 연결되어 있지 않습니다.

이는 저희의 위협 모델 가이드를 관통하는 것과 같은 구조적 논리입니다. 애초에 수집하지 않은 서비스는 그것을 유출할 수 없고, 번호가 없던 회선은 번호를 도둑맞을 수도 없습니다. 누군가 지켜야 할 약속이 아니라, 애초에 존재하지 않는 것입니다.

실제로 나를 지켜 주는 부분이 바로 여기이며, 한 번에 20분 정도면 끝납니다. 목록 순서대로 진행하십시오 — 처음 두 가지가 공격 자체를 막아 주고, 나머지는 다른 무언가가 잘못되었을 때 피해를 줄여 줍니다.

1. 01
   포트아웃 PIN 또는 번호 잠금 켜기

   이제 거의 모든 주요 통신사가 SIM 보호, 번호 잠금, 포트 프리즈 같은 이름으로 이 기능을 제공합니다. 본인이 직접 해제하기 전까지는 회선 이전을 전부 막아 줍니다. 이 페이지에서 가장 값어치가 큰 단 하나의 스위치이며, 기본값은 보통 꺼짐입니다.

2. 02
   인증 코드를 SMS에서 옮기기

   중요한 계정은 전부 — 이메일을 가장 먼저, 그다음 은행과 거래소 순으로 — 인증 앱이나 하드웨어 키로 전환하십시오. 번호가 도둑맞는 이유는 바로 SMS 코드입니다. 그 보상을 없애면 공격은 더 이상 수지가 맞지 않습니다.

3. 03
   번호를 복구 수단에서 제거하기

   앱 기반 2단계 인증을 켜 두어도, 많은 계정이 여전히 재설정 코드를 번호로 문자 전송합니다. 이는 방금 막은 구멍을 조용히 다시 열어 놓는 셈입니다. 가능한 곳에서는 번호를 아예 삭제하십시오.

4. 04
   통신사 계정에 진짜 비밀번호 설정하기

   반려동물 이름도, 태어난 해도, 프로필만 봐도 누구나 알 수 있는 보안 질문 답도 안 됩니다. 다른 모든 것과 함께 비밀번호 관리자에 저장하십시오.

5. 05
   생일과 주소를 공개 프로필에 남기지 않기

   고객센터가 본인 확인에 쓰는 항목이 바로 이것들입니다. 공개해 둔 정보 하나하나가 나인 척 전화 거는 사람에게 공짜 인증 수단이 됩니다.

• 이메일부터 시작하십시오. 받은편지함을 장악한 사람은 나머지 대부분을 재설정할 수 있으므로, 감수할 수 있는 가장 강력한 방법을 써야 합니다.
• 계정이 지원한다면 하드웨어 키나 패스키를 우선하십시오. 둘 다 피싱당하거나, 가로채이거나, 잠금 화면에서 읽힐 수 없습니다.
• 백업 코드는 필요해지기 전에 오프라인으로 저장해 두십시오 — 종이에, 휴대폰이 아닌 곳에.
• 해외에서는 데이터 전용 eSIM을 사용하십시오. 그러면 본국 회선은 여행 기간 내내 쉬게 됩니다. 아무도 쓰지 않는 회선은 아무도 노리지 않는 회선이며, 그저 지나가는 나라에서의 로밍 등록도 하나 줄어듭니다.

스와핑도 일찍 알아채면 충분히 버틸 수 있으며, 무엇을 봐야 하는지만 알면 초기 신호는 분명합니다. 휴대폰은 번호를 도둑맞았다고 경고해 주지 않습니다. 그저 서비스가 끊길 뿐입니다.

• 본국 회선에서 갑자기 뜨는 “서비스 없음”이나 SOS 표시, 항상 잘 되던 실내에서, 다른 어디에도 장애가 없는 상황에서.
• 전화와 문자가 더 이상 오지 않는데 Wi-Fi 앱들은 평소처럼 작동하는 경우 — 인터넷이 아니라 회선 자체가 사라졌다는 신호입니다.
• 요청한 적 없는 SIM 변경이나 번호 이전에 관한 메시지. 일부 통신사는 이런 메시지를 보내며, 무시하지 말고 읽어 볼 가치가 있습니다.
• 요청하지 않은 비밀번호 재설정 이메일, 특히 몇 분 사이에 연달아 여러 통 오는 경우.
• 계정에서 로그아웃당하는 것, 한 시간 전까지 멀쩡했던 기기에서.

1. 01
   다른 휴대폰으로 통신사에 전화하기

   “제 번호가 SIM 스와핑을 당한 것 같습니다”라고 말하고 회선을 동결해 달라고 요청하십시오. 여기서는 예의보다 속도가 우선입니다 — 1분이 지날 때마다 재설정 코드가 또 다른 사람에게 전달됩니다.

2. 02
   자금부터 잠그기

   은행, 그다음 로그인으로 관리되는 거래소나 지갑입니다. 이메일을 정리하기 전에 먼저 카드를 정지하고 이체를 막으십시오.

3. 03
   깨끗한 기기에서 비밀번호 바꾸기

   이메일을 가장 먼저, 그다음 SMS 코드를 쓰던 모든 계정입니다. 방금 회선을 잃은 휴대폰이 아니라 노트북이나 다른 휴대폰을 사용하십시오.

4. 04
   2단계 인증을 제대로 다시 구축하기

   번호를 되찾고 나면, 다음 달에 같은 공격이 반복되지 않도록 해당 계정들을 인증 앱이나 키로 전환하십시오.

eSIM에만 있는 사기 수법은 실제로 존재하지만, 칩을 공격하는 것은 아닙니다. 흔한 인터넷 사기가 조금 변형된 것일 뿐입니다 — 결제만 받고 아무것도 보내지 않는 상점, 본인이 선택하지 않은 누군가의 프로필을 설치시키는 QR 코드, 도와주겠다며 답글에 나타나는 가짜 지원 계정입니다.

• 본인이 요청한 코드만 스캔하십시오. 메시지나 포럼 댓글, 호스텔 스티커에 있는 QR은 낯선 사람이 통제하는 프로필을 설치하라는 초대장입니다. 다른 프로필을 읽어낼 수는 없지만, 내 트래픽은 실어 나를 수 있습니다.
• 사용하지 않은 코드는 현금처럼 다루십시오. 설치 전까지는 무기명 바우처와 같아서, 사진을 찍은 사람이라면 누구나 나 대신 요금제를 설치할 수 있습니다. 서둘러 설치하고 나면 더 이상 문제가 되지 않습니다.
• 실제 상점에서 구매하십시오. 재판매는 하나의 부업 산업이 되었습니다 — 똑같은 상품을 웃돈을 붙여, 나중에 지원받을 방법이 없는 비슷하게 생긴 페이지에서 파는 식입니다.
• 정당한 곳이라면 누구도 내 토큰을 요구하지 않습니다. 계정 그 자체인 코드를 요구하는 지원은 지원이 아닙니다. 저희의 경우 가입 시 저장해 둔 XXXX-XXXX-XXXX-XXXX 문자열이며, 로그인 창 외에는 어디에도 입력해서는 안 됩니다.
• 결제 전에 도메인을 확인하십시오. 주소창이 반쯤 가려지는 휴대폰에서는 특히 더 그렇습니다. 결제 페이지가 인터넷에서 가장 많이 복제되는 페이지인 데는 이유가 있습니다.

프라이버시에 적용하는 것과 같은 정직함을 여기에도 적용하겠습니다. 전화번호를 없애면 한 범주의 공격은 완전히 사라지지만, 나머지는 그대로 남습니다.

• 이미 감염된 기기는 계속 감염된 상태입니다. 화면을 들여다볼 수 있는 악성코드는 문자 메시지만큼이나 쉽게 인증 앱 코드도 읽어 냅니다. 어떤 SIM 기술도 여기에는 도움이 되지 않습니다.
• 피싱은 여전히 통합니다. 가장 흔한 계정 탈취는 여전히 누군가가 진짜 비밀번호를 그럴듯한 가짜 페이지에 입력하는 것입니다. 패스키와 하드웨어 키는 이를 막아 주지만, 데이터 eSIM은 그렇지 못합니다.
• 네트워크는 여전히 트래픽의 형태를 볼 수 있습니다. 익명 구매가 곧 암호화된 전송을 의미하지는 않습니다 — 이 논리는 익명 eSIM이 숨겨 주는 것과 못 숨기는 것에서 자세히 다룹니다.
• 내 하드웨어는 여전히 식별 가능합니다. 어떤 프로필이 설치되어 있든 휴대폰은 기지국에 자신을 알립니다 — 추적 가이드에서 설명하는 내용입니다.
• 신뢰할 수 없는 네트워크는 여전히 신뢰할 수 없습니다. 회선을 아무리 강화해도 나중에 접속하는 호텔 Wi-Fi에는 아무 도움이 되지 않습니다 — 그 위험은 별도의 가이드에서 다룹니다.

간단히 말해, 데이터 전용 eSIM은 SIM 스와핑 공격자가 노리는 자산을 없애 주고, 포트아웃 잠금은 여전히 쓰고 있는 번호를 지켜 줍니다. 이 둘이 함께 사람들에게 실제 금전 피해를 입히는 그 틈을 막아 줍니다. 오늘 당장 연결이 필요하다면, 국가별 요금제는 destinations 페이지에 있으며, 구매는 이름도, 이메일도, 카드도 없이 약 5분이면 끝납니다.