SIM 스왑 공격 및 2FA 보안: 암호화폐 계정을 더욱 안전하게 보호하는 방법

암호화폐 계정의 경우, SMS를 주요 2단계 인증 수단으로 사용해서는 안 됩니다. SIM 스왑 공격을 통해 범죄자가 사용자의 문자 메시지 및 통화 수신 전화번호를 장악할 수 있습니다. 만약 해당 번호가 거래소 로그인이나 비밀번호 재설정에도 사용되는 번호라면, 문자 메시지로 전송되는 인증 코드가 더 이상 사용자 의 로그인을 증명하는 수단이 되지 못할 수 있습니다. 실질적인 해결책은 중요한 계정을 피싱 공격에 강한 방법(일반적으로 패스키 또는 지원되는 경우 하드웨어 보안 키)으로 옮기고, 해당 계정 주변의 복구 경로를 강화하는 것입니다.

그렇다고 계정이 완전히 안전해지는 것은 아닙니다. 악성코드, 해킹된 이메일 사서함, 소셜 엔지니어링, 안전하지 않은 복구 절차, 이미 잠금 해제된 기기 등은 여전히 ​​보안 습관을 무너뜨릴 수 있습니다. 하지만 가장 민감한 경로에서 SMS를 차단하는 것은 특정하고 중대한 취약점을 해결하는 데 도움이 됩니다.

SIM 스왑 공격이란 무엇이며, 암호화폐 환경에서 왜 이 공격이 시급한 문제인가?

SIM 스왑(또는 번호 이동 사기)은 누군가가 당신의 전화번호를 자신이 소유한 SIM 카드나 eSIM으로 부정하게 옮기는 행위입니다. 미국 연방거래위원회(FTC)는 이러한 일이 발생했을 경우 즉시 통신사에 연락하여 전화번호를 되찾아야 한다고 권고합니다. FCC는 SIM 스왑과 번호 이동 사기를 휴대전화 사기의 한 유형으로 규정하고 있습니다.

공격자는 SMS 암호화를 해제할 필요가 없습니다. 그들의 목표는 엔드포인트, 즉 사용자의 전화번호를 탈취하는 것입니다. 탈취에 성공하면 일회용 인증 코드, 비밀번호 재설정 메시지, 계정 알림, 그리고 사용자에게 걸려오는 전화를 수신할 수 있습니다. 이는 특히 암호화폐 거래소에 큰 피해를 줄 수 있는데, 공격자가 비밀번호를 재설정하거나, 새 기기 등록을 승인하거나, 출금 설정을 변경하거나, 취약한 복구 절차를 우회하려고 시도할 수 있기 때문입니다.

갑작스러운 통신 서비스 중단은 경고 신호일 수 있지만, 그 자체만으로는 문제가 있다는 증거가 될 수 없습니다. 서비스 중단, 기기 문제, 계정 문제 등은 일반적인 원인으로 발생할 수도 있습니다. 통화, 문자, 모바일 데이터 연결이 예기치 않게 끊기는 현상이 익숙하지 않은 비밀번호 재설정 메시지, 로그인 알림, 계정 변경과 동시에 발생할 경우, 이를 긴급 상황으로 간주하고 처리해야 합니다.

SMS 2단계 인증이 2단계 인증을 사용하지 않는 것보다 나을까요?

일반적으로는 그렇습니다. SMS 기반 2단계 인증은 비밀번호만 사용하는 것보다 추가적인 보안 장벽 역할을 합니다. 이를 통해 일부 악의적인 계정 탈취를 막을 수 있습니다. 하지만 중요한 자산을 보호하는 최종 단계라고 생각하는 것은 오해입니다.

SMS는 인증 앱이나 보안 키와는 다른 위험에 노출되어 있습니다. 이러한 위험에는 SIM 카드 교체, 통신사 계정 탈취, 번호 이동 사기, 통신 시스템에서의 가로채기 또는 перенаправление 등이 있습니다. NIST의 디지털 신원 지침은 이러한 한계를 반영하여 공중 교환 전화망(PSTN)을 통한 대역 외 인증을 제한된 인증 방식으로 분류합니다. CISA는 피싱 방지형 다단계 인증(MFA)을 권장하며, 강력한 MFA를 사용할 수 없는 경우 일반적인 푸시 알림이나 SMS 기반 공격보다 번호 일치 방식이 더 나은 대안이라고 말합니다.

이 표는 의사결정을 돕기 위한 도구일 뿐, 단 하나의 요소만으로 모든 사람에게 충분하다는 주장은 아닙니다. 상당한 규모의 거래 잔액을 관리하려면 거래소에서 실제로 지원하는 가장 강력한 보안 방법을 사용하고, 이메일 및 복구 채널도 그에 상응하는 수준으로 보호해야 합니다.

어떤 업그레이드를 먼저 선택해야 할까요?

다른 모든 계정에 접근할 수 있는 가장 중요한 계정, 즉 기본 이메일 사서함부터 시작하세요. Exchange 암호 재설정 링크가 해당 사서함으로 연결되는 경우, SMS를 통해 쉽게 암호를 재설정할 수 있다면 강력한 Exchange 로그인 보안은 큰 도움이 되지 않습니다. 가능한 경우 암호 키 또는 하드웨어 키를 이용한 이메일 접근 방식을 활성화하고, 고유한 암호를 사용하며, 복구 이메일 주소, 복구 전화번호, 활성 세션을 검토하세요.

다음으로, 알려진 주소를 직접 입력하거나 신뢰할 수 있는 북마크를 사용하여 각 거래소의 공식 보안 설정에 접속하세요. 문자 메시지, 다이렉트 메시지 또는 검색 광고의 링크를 클릭하는 것은 절대 금물입니다. "패스키", "보안 키", "하드웨어 키", "FIDO" 또는 "웹 인증"과 같은 용어를 찾아보세요. 예를 들어, 코인베이스의 최신 도움말 문서에는 휴대폰 분실 시 백업 수단으로 패스키와 보안 키를 조합하는 방법이 나와 있습니다. 이는 한 거래소의 예시일 뿐이며, 모든 거래소의 보안 설정이 동일하다는 의미는 아닙니다.

계정 잠금을 해제하면서 더 강력한 2단계 인증을 설정하는 방법은 무엇인가요?

서비스에서 허용하는 경우 두 개의 독립적인 인증자를 등록하세요.

기본 암호 키 또는 보안 키 하나와 백업 방법 하나를 따로 보관하되, 백업 방법은 같은 장소에 보관하지 마십시오. 안전한 장소에 보관된 두 번째 하드웨어 키는 모든 백업에 동일한 휴대폰을 사용하는 것보다 더 안전한 경우가 많습니다. 나중에 식별하거나 제어할 수 없는 백업 장치는 등록하지 마십시오.

복구 코드를 의도적으로 저장하세요

복구 코드는 유용할 수 있지만, 사실상 계정 키와 같습니다. 클라우드 메모, 이메일 초안 또는 스크린샷 갤러리가 아닌 오프라인이나 안전하게 보호되는 암호 관리자에 저장하세요. 코드가 완전하고 최신 상태인지 확인하십시오. 일부 서비스는 새 코드를 생성할 때 이전 코드를 무효화합니다.

검증된 대안이 있는 경우에만 SMS를 삭제하세요.

먼저 SMS 인증 요소를 삭제하고 새로운 방법이 작동한다고 가정하지 마십시오. 더 강력한 인증 방법을 등록하고, 안전하게 로그아웃한 후, 일반 기기에서 다시 로그인할 수 있는지 확인하십시오. 서비스에서 허용하는 경우 백업도 확인하십시오. 그런 다음 서비스에서 선택권을 제공하는 경우 로그인 및 복구에 사용되는 SMS 인증 횟수를 줄이거나 제거하십시오. 일부 서비스는 규제, 알림 또는 복구 기능을 위해 전화번호를 요구합니다. 이러한 경우 SMS 인증 권한을 최소화하고 서비스에서 제공하는 가장 강력한 로그인 방법을 사용하십시오.

이동통신사 계정을 계속 보호해야 할까요?

물론입니다. 2단계 인증(2FA)을 강화하면 도난당한 번호의 가치를 낮추지만, 해당 번호로 걸려오는 전화, 개인 메시지, 알림 등은 여전히 ​​수신할 수 있습니다. 통신사에 문의하여 SIM 카드 변경 및 번호 이동 시 계정 PIN, 번호 이동 잠금 또는 추가 인증과 같은 보호 조치를 제공하는지 확인하십시오. 통신사 계정 전용 비밀번호를 사용하세요. 계정 인증 질문에 대해 쉽게 추측할 수 있는 개인 정보에 의존하지 마십시오.

또한 공격자가 당신을 사칭하는 데 사용할 수 있는 개인 정보를 공개적으로 노출하지 않도록 하세요. 생년월일, 주소 또는 휴대전화 번호를 공개적으로 게시하지 마십시오. 통신사에서 계정 코드를 요구하는 예상치 못한 전화나 메시지에 주의하고, 인증된 번호나 공식 앱을 통해 통신사에 문의하세요.

로그인 후 암호화폐를 보호하는 다른 방법은 무엇인가요?

인증은 접근을 안전하게 보호하지만, 이후의 모든 활동을 자동으로 보호하는 것은 아닙니다. 제공업체에서 지원하는 경우 출금 주소 허용 목록, 출금 지연, 새 기기 알림 및 거래 확인 기능을 활성화하십시오. API 키를 검토하고 더 이상 사용하지 않는 키는 폐기하십시오. 거래소에서 거래하는 데 필요한 금액만 보유하십시오. 자산 보관 방식에는 위험이 따르므로 신중하게 결정해야 합니다.

모든 Exchange 및 이메일 계정에는 고유하고 긴 비밀번호를 사용하십시오. 비밀번호 관리자를 사용하면 비밀번호 재사용을 방지하고 유사한 도메인을 쉽게 식별할 수 있습니다. 인증 요청을 수락하기 전에 기기 및 위치 정보를 확인하십시오. 발신자, 채팅 상담원 또는 다이렉트 메시지 수신자에게 인증 코드, 복구 코드, 시드 구문 또는 개인 키를 절대 제공하지 마십시오.

휴대전화 서비스가 갑자기 끊기면 어떻게 해야 할까요?

1. 다른 기기나 휴대전화를 사용하여 공식적인 채널을 통해 통신사에 연락하고, 의심스러운 유심 교체 또는 번호 이동을 신고하십시오.
2. 신뢰할 수 있는 기기에서 기본 이메일 계정을 먼저 안전하게 보호하세요. 필요한 경우 비밀번호를 변경하고, 익숙하지 않은 계정의 세션은 취소하고, 복구 방법을 확인하세요.
3. 다음으로 거래 계정을 안전하게 보호하세요. 무단 활동이 발견되면 거래소의 공식 계정 잠금 또는 고객 지원 절차를 이용하십시오.
4. 노출되었을 가능성이 있는 비밀번호를 변경하고, 가능한 경우 유출된 전화번호를 인증 또는 복구 요소에서 제거하십시오.
5. 이용 시간, 통신사 메시지, 로그인 알림 및 거래 내역을 기록해 두십시오. 신분 도용이나 사기 행위는 해당 국가의 공식 채널을 통해 신고하십시오.

사고 발생 시 "지원" 메시지에 성급하게 대응하지 마십시오. 공격자는 종종 긴박감을 악용합니다. 해당 서비스 제공업체에 직접 연락하여 공식 웹사이트의 연락처 정보를 이용하십시오.

내 시스템이 의미 있게 더 강력해졌는지 어떻게 알 수 있을까요?

도난당한 전화번호만으로는 이메일이나 거래소 계정을 초기화할 수 없고, 최소 하나 이상의 검증된 독립적인 백업이 있으며, 복구 코드가 안전하게 보호되고, 주 휴대폰을 분실했을 경우 어떻게 대처해야 할지 설명할 수 있다면 암호화폐 계정 보호가 강화된 것입니다. 휴대폰을 바꾸거나, 통신사를 변경하거나, 보안 키를 교체하거나, 거래소의 보안 설정이 변경될 때마다 이러한 사항들을 다시 한번 확인하십시오.

출처

• 미국 연방거래위원회: 유심 교체 사기 - 예방 방법
• 연방통신위원회: 휴대전화 사기
• CISA: 단순한 비밀번호 그 이상 - 다단계 인증
• CISA: 피싱 방지 MFA 구현
• NIST SP 800-63B: 디지털 신원 확인 지침
• Coinbase 고객 지원: 2단계 인증 설정