30대 회사원 A씨는 지난달 24일 출근에 앞서 휴대폰 이상을 발견했다. 개통하기 전 단말기처럼, 전화도 문자도 인터넷 연결도 되지 않았다. 전원을 몇 차례 껐다 켜도 그대로였던 휴대폰은 유심 칩을 뺐다 끼우자 정상적으로 작동했다. 사회관계망서비스(SNS) 로그인 시도 흔적이 확인돼 급히 SNS 계정 비밀번호를 바꾸고 집을 나섰다. 더는 별문제 없겠거니 했지만 오산이었다. 누군가 A씨 계좌에서 이더리움 106만 원어치를 매수해 다른 지갑으로 전송한 것이다. 암호화폐 거래라 피해를 회복할 길도 막막했다.
윤모(25)씨도 이달 12일 새벽 비슷한 일을 겪었다. 야간근무를 앞둔 윤씨의 스마트폰 또한 갑자기 먹통이 됐다가 유심을 재장착하니 다시 작동했다. 휴대폰 전원을 다시 켜자 은행, SNS 등에서 본인확인 인증번호 메시지를 보냈다고 연신 알람을 울리다가는 이내 먹통 상태로 되돌아갔다. 해킹이 아닐까 하는 의심에 전원을 아예 꺼버린 게 더 큰 화를 불렀다. 일을 마치고 휴대폰 전원을 켜자 윤씨가 갖고 있던 암호화폐 리플(XRP) 2,100만 원어치가 다른 사람 손에 넘어가 있었다.
서울경찰청 사이버수사대와 충남 홍성경찰서는 신종 '심 스와핑(SIM Swapping)' 범죄로 의심되는 피해 신고를 각각 접수하고 수사에 착수했다고 17일 밝혔다. 심 스와핑이란 피해자 휴대폰의 유심 정보를 복제해 은행이나 가상화폐 계좌를 손에 넣는 신종 해킹 수법으로, 해외에선 이미 피해 사례가 잇따르고 있다.
해커는 먼저 모종의 방법으로 유심 정보를 탈취해 복제 유심 칩을 만든다. 이를 다른 휴대폰에 장착하면 피해자의 원래 휴대폰 통신은 중단되고, 해커 휴대폰에 피해자의 문자와 전화통화가 수신된다. 은행이나 SNS에서 문자메시지로 전송하는 본인확인 인증번호 역시 해커가 확인할 수 있다. 인증번호를 알아낸 해커는 은행이나 가상화폐 거래소의 인증망을 뚫고 피해자 보유 자산을 빼돌린다.
문제는 통신사가 심 스와핑 해킹을 단번에 알아차리기 어렵다는 점이다. 범인이 사용한 유심 정보가 피해자의 것과 일치하는 탓에, 통신사 시스템상에선 사용자가 정상적으로 '유심기변'(기존 유심칩을 다른 휴대폰에 꽂아 사용하는 것)을 한 것으로 인식하기 때문이다.
A씨와 윤씨는 모두 KT 통신 서비스를 이용하고 있었다. 이들은 통신사가 심 스와핑에 대한 지식이 없어 초기 대응이 지연됐다고 주장했다. 윤씨는 "통신사 직원이 기기변경한 것 아니냐고 묻더라"라며 "해외 사례가 있는데도 '3G 이후에는 유심 복제가 불가능하다'고만 했다"고 전했다. A씨 역시 "상담원은 내가 유심을 꽂은 것이라는 말만 되풀이했다"며 분통을 터뜨렸다.
전문가들은 휴대폰 사용자 차원에서 심 스와핑에 대응하긴 어렵다고 진단했다. 김승주 고려대 정보보호대학원 교수는 "유심을 물리적으로 훔친 경우는 유심 비밀번호를 설정해 해킹을 막을 수 있지만, 정보를 복제해 새 유심을 만든 경우라면 이것도 소용없다"며 "이용자의 노력만으론 막기 어려운 만큼 이통사 등이 협조해 대책을 내놔야 한다"고 지적했다.
피해자들은 KT의 사후 대처 또한 안일했다고 비판했다. A씨는 "내가 처음에 신고했을 때 제대로 조사하고 대응했다면 (윤씨와 같은) 제2의 피해자는 나오지 않았을 것"이라고 지적했다. 윤씨도 "공장에서 2교대 근무하면서 번 돈인데 솔직히 울고 싶다"며 "다른 피해자가 나오기 전에 대책을 마련했으면 좋겠다"고 말했다.
경찰은 "두 피해 사례가 동일한 사건이라는 말이 있긴 한데, 아직 정확히 파악되지 않아 수사 중인 단계"라고 밝혔다. KT 관계자는 "불법 기기변경 의심 건에 대해 경찰 수사에 적극 협조하고 있으며 사건 해결에 노력하고 있다"고 해명했다.