미국 미시간주립대 연구팀이 이동통신사의 '분실·도난 기기 차단' 시스템에서 6가지 취약점을 발견했습니다. 공격자는 단돈 2.5~4달러(약 3,500~5,500원)와 20~80초만 있으면 자신이 소유하지 않은 타인의 기기를 통신망에서 강제로 차단할 수 있습니다. 피해 대상은 스마트폰뿐 아니라 가정용 보안 경보 패널, 전력·수도 계량기, 산업용 센서, 심장 모니터 등 셀룰러 통신을 쓰는 모든 IoT(사물인터넷) 장치를 포함합니다. 특히 미국 홈 보안 시장의 41% 이상을 점유한 두 회사의 제품이 공격에 취약한 것으로 확인됐으며, 피해자에게는 아무런 알림도 가지 않습니다. 연구팀은 이통사·칩셋 제조사·GSMA(국제이동통신사업자협회)에 취약점을 통보했고, GSMA는 이를 기기 보안 그룹에 전달했습니다.
미시간주립대 연구팀이 미국 3대 이동통신사의 분실·도난 기기 차단(IMEI 블랙리스트) 시스템에서 6가지 취약점을 발견했다. 공격자는 $2.50~$4의 선불 계정만으로 타인 소유 기기를 80초 안에 통신망에서 차단할 수 있다.
스마트폰·스마트워치·산업용 IoT 보드·가정용 보안 경보 시스템까지 차단 가능하다. 가정 보안 게이트웨이가 차단되면 알람 신호가 집주인과 모니터링 센터 모두에 도달하지 않는다. 시판 전 기기도 IMEI 데이터베이스 구매로 선제 차단이 가능하다.
통신사가 분실 신고 시 주민등록번호·정부 신분증을 검증하지 않고, 일부 IoT 칩셋은 인증 없이 IMEI를 외부에 노출하며, IMEI 데이터베이스가 상업적으로 판매된다.
연구팀은 영향받는 통신사·칩셋 벤더·제조사에 취약점을 통보했고 GSMA가 이를 인정해 기기 보안 그룹에 전달했다. 연구팀은 정부 신분증 인증 강화, 기기 인증 절차 개선, 통신사 간 차단 정보의 보안 메타데이터 공유 등 4가지 개선안과 프로토타입을 제시했다.
셀룰러 IoT 칩셋을 사용하는 기업 보안 장비(경보 패널, 산업 센서 등)의 칩셋 제조사와 IMEI 노출 여부를 확인하고, 예기치 않은 셀룰러 연결 끊김을 보안 이벤트로 모니터링하는 체계를 갖춰야 한다.
본문
미시간주립대(Michigan State University)와 세 개 협력 대학의 연구팀은 Samsung Galaxy Z Fold 7을 구입한 뒤, 봉인된 박스에 인쇄된 식별 번호를 복사하고 해당 기기를 이통사에 분실 신고했다. 그런 다음 박스를 개봉하고 출시 당일 구매자와 동일한 방식으로 기기를 설정했다. 기기는 통신망에 연결되지 않았다. 새것이었고, 개봉된 적도 없었으며, 그동안 내내 실험실 책상 위에 놓여 있었다.
연구팀은 통신사가 분실·도난 기기를 차단하는 데 사용하는 시스템에서 총 6개의 취약점을 발견했다. 기기 자체, 신고를 접수하는 통신사 시스템, 그리고 통신사들이 차단 목록을 공유하는 체계에 걸쳐 있었다. 연구팀은 미국 3대 이동통신사와 그 재판매사(MVNO)를 대상으로 테스트를 진행했다. 자신들이 소유하지 않은 기기를 차단하는 데 드는 비용은 2.50달러에서 4달러 사이였으며, 소요 시간은 약 20초에서 80초였다. 표적이 꼭 스마트폰일 필요도 없다. 가정용 보안 경보 패널도 가능하다.
기기·통신사·통신사 간 영역에 걸친 분실·도난 기기 신고 생태계 전반과 각 노출 지점에 표시된 취약점 (출처: 연구 논문)
무엇이, 어떻게 차단되는가
셀룰러 라디오를 탑재한 모든 기기에는 공장에서 부여된 15자리 일련번호인 IMEI가 있다. 이는 SIM 카드, 전화번호, 계정과는 별개다. 스마트폰 도난 신고를 하면 통신사는 해당 번호를 EIR(Equipment Identity Register, 기기 식별 등록부)이라는 데이터베이스에 등록한다. 그 이후부터 네트워크는 해당 기기의 등록을 거부한다. 기기를 들고 있는 사람이 누구든, 안에 어떤 SIM이 들어 있든 상관없다.
도난 기기에 대해서는 올바른 작동 방식이다. 연구팀이 찾아 나선 것은 자신의 것이 아닌 번호를 입력하는 행위를 막는 장치가 무엇인지였다. 미시간주립대 공과대학 부교수 Guan-Hua Tu는 공격자가 이 취약점을 이용해 기기를 원격으로 차단할 수 있다고 말했다. "실제로 분실·도난·양도된 기기가 아님에도 불구하고."
신원 확인은 허술하다
3개 통신사는 모두 현재 서비스 이용 중인 가입자에게서만 신고를 받는다. 이는 신고자를 추적 가능하게 하기 위한 조치다. 연구팀은 3개 통신사 모두에 계정을 개설해 이 추적 가능성이 실제로 어느 정도인지 확인했다. 선불(prepaid) 계정 개설 시 사회보장번호(SSN)나 정부 발급 신분증을 확인한 통신사는 한 곳도 없었으며, 선불 고객도 일반 고객과 동일하게 분실 기기 신고가 가능했다. 선불 서비스 요금은 월마트 매대에서 구입한 익명 Visa 선불 기프트카드로 납부할 수 있다.
두 번째 확인 절차는 소유권 검증인데, 통신사들은 해당 기기가 계정에서 활성화된 이력이 있는지를 확인하는 방식으로 이를 갈음한다. 이 확인은 소유자를 특정하는 것이 아니라, 기기가 네트워크에서 일정 시간 사용된 이력이 있는지를 보는 것으로, 이는 전혀 다른 개념이다. 스푸핑(위장)된 기기는 이 이력을 얼마든지 만들어낼 수 있다. 한 통신사는 1초만 접속해도 충분했다. 나머지 두 곳은 1분을 요구했다. 그 최소 기준을 충족한 뒤, 실제로 어떠한 통화나 데이터 사용도 없었음에도 세 통신사 모두 연구팀이 한 번도 사용하지 않은 기기에 대한 신고를 허용했다.
세 번째 허점은 신고 가능한 기기의 범위다. 연구팀은 스마트워치, 산업용 장비에 쓰이는 셀룰러 개발 보드, 그리고 해당 통신사 주파수 대역 자체를 지원하지 않는 물리적으로 불가능한 기기에 대한 신고도 제출했다. 모두 통과됐고, 3개 통신사 전부에서, IoT 구독 없는 일반 스마트폰 요금제로 처리됐다. 신고된 기기들은 이후 통신망에 재접속할 수 없었다.
이 공격을 실행하려면 대상 기기의 IMEI를 알아야 한다. 여기서 두 가지 실증 공격 방법이 등장한다.
경보 패널이 침묵하고, 집주인은 통보받지 못한다
가정용 보안 게이트웨이는 보통 Wi-Fi로 연결되고, 백업용으로 셀룰러 링크를 유지하며, 비용을 낮추기 위해 커넥티드 기기용 저전력 셀룰러 칩을 사용한다. 연구팀은 4개의 보드와 4개의 스마트폰을 테스트하며 각각에 의도적으로 손상된 신원 요청을 보냈다. 스마트폰들은 표준 규격대로 이를 무시했다. 그러나 보드 중 2개는 자신의 IMEI를 응답했다. 두 보드 모두 내부 칩셋 문제로 취약했으며, 해당 칩셋은 글로벌 해당 시장 점유율 합계가 40% 이상인 두 벤더의 제품이었다.
이를 활용한 공격은 두 단계로 이루어지며, 두 단계 사이에 수개월의 간격을 둘 수 있다. 먼저 게이트웨이를 Wi-Fi에서 끊어 셀룰러로 폴백(fallback, 대체 연결)하게 만들고, 소형 불법 기지국(rogue base station)을 세워 기기를 유인한 뒤 IMEI를 요청한다. 실험실에서 이 과정은 17초 걸렸으며, 이후 기지국은 꺼지고 통신사가 탐지할 흔적을 남기지 않는다. 이후 Wi-Fi를 다시 차단하고 분실 신고를 제출한다. 게이트웨이는 설계대로 Wi-Fi 차단 약 15초 후 셀룰러로 전환을 시도하지만, 네트워크가 접속을 거부한다. 알람 신호는 집주인과 모니터링 센터 모두에 도달하지 않는다.
연구팀은 미국 2대 경보 서비스 제공업체 중 하나에서 게이트웨이를 구입해 모니터링 서비스에 가입하고, 이 모든 과정을 처음부터 끝까지 실제로 확인했다. 나머지 대형 업체도 동일한 취약 칩셋을 사용한다. 두 업체를 합산하면 미국 시장의 41% 이상을 점유한다. 동일한 칩들이 수도·전기 계량기, 산업용 센서, 심장 모니터 안에도 들어 있지만, 연구팀은 이들 기기는 테스트하지 않았다.
아직 판매되지 않은 스마트폰 차단하기
두 번째 공격은 신규 플래그십 스마트폰을 표적으로 한다. IMEI는 기기가 출고되기 전에 배정되며, 공급망에서 기기 인증을 담당하는 업체들은 이에 대한 접근 권한을 구매할 수 있다. 연구팀은 그러한 업체 한 곳에서 전체 데이터베이스를 600달러에 구입하고, 월 30달러로 업데이트를 받으며 Z Fold 7의 출시일인 2025년 7월 25일 이전에 해당 기기 번호가 등록돼 있음을 확인했다.
단일 선불 계정 하나로 기기 10개를 신고해도 아무런 이상 탐지가 작동하지 않았다. 기기당 차단 비용은 통신사에 따라 2.50달러, 3.50달러, 4달러였다. Z Fold 7 100대를 차단하려면 선불 계정 10개, 비용 250~400달러, 소요 시간 33분에서 약 2시간이 필요하다. 이는 시가 20만 달러 상당의 스마트폰을 겨냥한 것이다. 연구팀은 통신사의 웹 양식을 자동으로 처리하는 스크립트를 작성했으며, 최적화조차 하지 않았다.
피해자들은 이 모든 일이 벌어졌다는 사실을 어떠한 알림도 받지 못한다. 서비스가 그냥 중단될 뿐이다. 복구하려면 해당 기기의 IMEI가 기재된 영수증과 신원 확인 자료를 통신사에 제출해 소유권을 증명해야 하며, 허위 신고가 다른 통신사를 통해 들어온 경우 글로벌 차단 목록을 관리하는 산업 단체 GSMA에 요청이 에스컬레이션되어 처리 지연이 더욱 길어진다.
한 가지 반대 방향의 발견도 있지만, 이 역시 안심할 내용이 아니다. 한 통신사에서 분실 신고된 기기가 1주일 뒤에도 나머지 두 통신사에서는 정상 작동했다. 즉, 3개 통신사 중 최소 2개는 고객에게 안내한 글로벌 차단 목록과 동기화되지 않고 있다는 의미다.
제안된 개선 방안
연구팀은 4가지 개선 방안을 제시하고 실제 작동하는 프로토타입을 구현했다. 기기 인증 테스트에서는 스마트폰이나 모듈이 인증되지 않은 요청에 IMEI를 응답하지 않는지 검증해야 한다. 이것이 두 보드가 정보를 유출한 허점이다. 신고 포털에서는 연방 기관들이 이미 활용하는 제3자 서비스를 통해 신고자의 정부 발급 신분증 인증을 실시해야 한다.
소유권 확인은 기기가 신고자의 요금제와 일치하는지 등 여러 신호를 복합적으로 검토하도록 하고, 의심스러운 경우 대면 방문을 요구해야 한다. 또한 통신사 간에 주고받는 기록에는 현재 누락된 보안 세부 정보, 예를 들어 신고자가 신분증 인증을 거쳤는지 여부를 포함시켜, 수신 통신사가 차단 요청의 신뢰도를 판단할 수 있도록 해야 한다.
연구팀은 영향받는 통신사, 칩셋 벤더, 제조사에 취약점을 통보했다. GSMA는 연구 결과를 인정하고 기기 보안 그룹에 전달했다. Tu 교수는 실제로 기기를 분실한 사람들에게는 기존 절차를 유지하면서도 공격 비용을 높이는 것이 목표라고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
