[IT/보안뉴스] 국내 첫 심스와핑 사건 그 후, 유심 ‘기지국 정보’ 놓고 피해자 vs KT

기사 한줄요약(22.5.9.):

심스와핑이라는 새로운 공격 기법을 이용한 공격 피해자가 계속 늘어나고 있다. 피해자와 동일한 유심을 복제한 후에 새벽시간 대를 이용해 유심을 장착해 공격자의 전화기로 기기변경 한 것처럼 만들어 피해자의 정보로 가상화폐를 챙기는 수법의 공격이다. 그러나 여러명의 피해자가 피해사실을 인지하고 신고하였지만, 심스와핑 공격의 피해자임을 증명하는 기지국 정보를 KT에서 주지않아 개인정보분쟁조정위원회에 분쟁요청을 하여 두번 승소하였지만 아직도 제공되지 않아 싸움이 계속되고 있다.

심스와핑 공격

스마트폰에 장착된 유심(u-SIM) 칩의 정보를 훔쳐 ‘복사 유심’을 만든 뒤, 이를 다른 스마트폰에 장착해 똑같은 복제 전화기를 만드는 공격.
통신사와 스마트폰은 기존 유심을 새로운 폰에 장착해 기기 변경을 했다고 판단하고, 나중에 동작한 복사된 유심을 실제 유심으로 인식하기 때문에, 실제 고객이 보유한 유심과 전화기는 통신이 끊어지게 된다.
이 때문에 이번 심스와핑 공격은 피해자가 통신이 끊어지는 것을 인식하지 못하도록 새벽시간대에 주로 이뤄졌다.

* 피해사항
- 새벽에 공격을 하여 누군가 카카오/네이버 비번 변경하여 가상화폐 거래소 접근하여 암호화폐를 빼감.

* 쟁점
1. 심스와핑이 범죄인지 아닌지
- 일반적인 경우 유심변경 시 전산상 기록되지만, 심스와핑은 기록이 남지 않고 같은 유심이 2개가 되는 것. 전산상엔 해킹 흔적이 없어 단순 기기변경으로 인식됨
2. 기지국 정보
- 심스와핑으로 복제된 유심으로 피해자와 공격자의 기지국 정보가 다르면 공격 의심 가능
- 하지만 KT에서는 이정보를 제공하지 않음

> 피해자는 개인정보분쟁조정위원회(이하 위원회)를 통해 정보 제공을 요구
> 이에 위원회는 KT에 정보제공하도록 조정
> KT가 거부
> 위원회에 재 요청
> 공개하도록 다시 조정

(조정안에 따르면 개인정보보호법에 따라 개인정보 처리자가 정보주체의 개인정보 열람 요구를 받았을 때는 정당한 사유가 없는 한 10일 이내에 정보주체가 해당 개인정보를 열람할 수 있도록 해야 한다)

---

원병철 기자, 국내 첫 심스와핑 사건 그 후, 유심 ‘기지국 정보’ 놓고 피해자 vs KT, 보안뉴스, https://m.boannews.com/html/detail.html?tab_type=1&idx=106573

국내 첫 심스와핑 사건 그 후, 유심 ‘기지국 정보’ 놓고 피해자 vs KT