저렴한 가짜 기지국으로 5G 가입자를 여전히 추적할 수 있다

i2CAT 재단, 무르시아 대학, NEC 유럽 연구소의 연구진은 5G-Shark라는 저비용 도구를 제작했다. 이 도구는 표적 스마트폰을 가짜 기지국으로 유인해 질의한 뒤, 상용 5G 망을 감사(audit)하는 데 활용된다.

연구팀이 테스트한 단독형(Standalone) 5G 망에서, 사업자들은 한 곳을 제외하고 모든 경우에 단말기의 영구 식별자를 올바르게 숨겼다. 그러나 동일한 망에서 임시 ID를 충분히 예측 가능한 패턴으로 발급해, 관찰자가 한 가입자의 등록 이력을 계속 추적할 수 있었다.

5G는 구형 망에서 문제가 됐던 IMSI 캐칭—단말기가 영구 가입자 번호를 평문으로 브로드캐스트하도록 유도하는 수법—을 종식시키기 위해 표준화됐다. 연구팀이 측정한 망에서 그 허점은 대부분 막혀 있었다. 그러나 IMSI 캐칭이 해결하려 했던 추적 문제는 여전히 남아 있으며, 그 원인은 표준 자체에 있다.

도구가 감청 위치를 확보하는 원리는 이렇다. 단말기가 대기 상태일 때, 기지국 재선택(cell reselection)이라는 과정을 통해 스스로 어느 셀에 접속할지 결정한다. 이 결정은 단말기가 인증하지 않는 브로드캐스트 메시지를 기반으로 하므로, 높은 우선순위와 강한 신호를 광고하는 가짜 셀이 단말기를 끌어당길 수 있다. 5G-Shark가 정확히 그렇게 작동한다. 전파 재밍도, 비정상 패킷도 필요 없으며, 오픈소스 네트워크 소프트웨어와 저렴한 SDR(소프트웨어 정의 라디오) 하드웨어로 구동되고, 사용자에게는 아무런 경고가 표시되지 않는다.

단말기가 가짜 셀에 접속하면 임시 식별자인 GUTI를 건네준다. 망은 영구 식별자 노출을 막기 위해 GUTI를 주기적으로 교체한다. 그 교체 과정이 바로 추적의 빌미가 된다. 연구팀은 3개 사업자에서 총 3,742개의 식별자를 수집했다. 한 사업자는 두 가지 망 유형 모두에서, 다른 사업자는 구형 망에서 연속 임시 ID가 근사 순차(near-sequential) 방식으로 증가했다—최대 이동 폭이 사용 범위의 0.11%에 불과해, 진정한 무작위 재할당 시 기대되는 약 29%와 크게 차이 났다. 결과적으로 가입자의 연속 재등록 중 84~96%를 값만으로 연결할 수 있었다. 이 연결 고리를 이으면 영구 ID 없이도 단말기를 추적할 수 있다.

한 사업자는 올바르게 구현했다. 해당 사업자의 임시 ID는 매번 범위의 약 29%씩 이동했고, 연속 등록의 연결 가능 비율은 7%에 그쳐 값 기반 추적이 사실상 불가능했다. 이 수치에서 한 가지를 가져간다면 바로 이 격차다—동일한 표준 아래에서도 사업자의 선택에 따라 추적 가능한 망과 불가능한 망이 갈렸다.

이 분기점이 논문의 핵심 구조다. 연구진은 모든 노출 유형을 두 범주로 분류했다. 일부는 규격을 완전히 준수해도 남는 문제다—단말기는 요청받으면 반드시 식별자를 제시해야 하고, 보안 컨텍스트가 만들어지기 전에 인증되지 않은 거부 메시지를 처리해야 한다. 이는 설계 자체의 속성으로, 어떤 사업자도 설정으로 없앨 수 없다. 나머지는 예측 가능한 임시 ID처럼 선택의 문제이며, 이는 사업자와 장비 벤더가 해결해야 할 몫이다.

거부 메시지가 더 심각한 오동작을 유발했다. 조작된 Registration Reject를 전송하자 5G-Shark는 Samsung Galaxy S23을 데이터 없는 제한 서비스 3G 상태로 강제 다운그레이드했고, 다른 원인 코드로는 무한 재시도 루프나 수동 재시작이 필요한 모뎀 동결을 일으켰다. 이 동작은 테스트한 두 단독형 5G 사업자 모두에서 동일하게 나타났으며, 이는 사업자 정책이 아닌 모뎀 펌웨어의 문제임을 시사한다.

몇 가지 한계도 고려할 필요가 있다. 이 연구는 IEEE 제출 예비논문(preprint)으로 아직 동료 심사를 거치지 않았다. 연구팀은 타인이 아닌 자신들의 단말기로 실제 상용 망을 테스트했으며, 사업자는 A·B·C로만 표기했다. 공격은 표적이 근처에 있고 대기 상태일 때만 가능하며, 테스트된 단말기는 총 7종에 그쳤다.