[이프카카오-下] 카카오톡, 연 수억원 새게 하는 '가짜 인증' 차단' 나섰다 작성일 10-14 53 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">콩고서 일주일간 인증 요청 23만건···85% 차단에도 1000만원 손실 <br>국제 문자망 수익 구조 악용···정상 이용자 가장한 공격에 탐지 한계 <br>이용자가 문자 보내는 ‘MO 인증’ 도입···비용 떠넘겨 수익 차단</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="tx56obmjiY"> <figure class="figure_frm origin_fig" contents-hash="31f58e879a0a5b1a59aaf446592e07c786ff9b1d0ef159cf76e8d229cb38947e" data-idxno="240891" data-type="photo" dmcf-pid="F5AH7l6bdW" dmcf-ptype="figure"> <p class="link_figure"><img alt="14일 경기 용인시 카카오 AI 캠퍼스에서 열린 개발자 콘퍼런스 'if(kakao)26'에서 박종훈·한은경 카카오 안티어뷰징 담당자가 '카카오톡에서 발생하는 별별 어뷰징 대응기'를 주제로 발표하고 있다. / 사진=김도영 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/14/552777-a6ToU27/20261014173231651yyvo.jpg" data-org-width="960" dmcf-mid="1uh761oMLG" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/14/552777-a6ToU27/20261014173231651yyvo.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 14일 경기 용인시 카카오 AI 캠퍼스에서 열린 개발자 콘퍼런스 'if(kakao)26'에서 박종훈·한은경 카카오 안티어뷰징 담당자가 '카카오톡에서 발생하는 별별 어뷰징 대응기'를 주제로 발표하고 있다. / 사진=김도영 기자 </figcaption> </figure> <p contents-hash="b672f54df661b085b296244a3dae6676a1b81c29edacb12f2a47cea4ff5aadce" dmcf-pid="31cXzSPKey" dmcf-ptype="general">[시사저널e=김도영 기자] 카카오톡이 과거 해외에서 발생한 대규모 가짜 전화번호 인증 공격으로 연간 수억원의 비용 손실을 입은 것으로 나타났다. 공격자가 정상 이용자를 가장해 인증 문자를 반복적으로 요청하고 발송 비용을 발생시키는 'SMS 펌핑' 공격 때문이다. 카카오는 이용자가 직접 인증 문자를 보내도록 해 공격자에게 비용을 부담시키는 방식으로 공격을 차단하고 있다.</p> <p contents-hash="74181b7c646b076e4b0967285d6287b8a7fd3357590cf0e916084fe24b34fda4" dmcf-pid="0tkZqvQ9RT" dmcf-ptype="general">카카오는 14일 경기 용인 카카오 AI 캠퍼스에서 열린 개발자 콘퍼런스 'if(kakao)26'에서 카카오톡을 겨냥한 SMS 펌핑 공격 사례와 대응 전략을 소개했다. 이날 '카카오톡에서 발생하는 별별 어뷰징 대응기' 세션에서 박종훈·한은경 카카오 안티어뷰징 담당자는 실제 피해 규모와 국제 통신망을 악용한 공격 구조, 인증 방식 개편에 따른 대응 효과 등을 설명했다.</p> <p contents-hash="48b7a97b846aefeb68014f9706550552b4bcb5338d0fbb6d6a628b18530feff6" dmcf-pid="pFE5BTx2dv" dmcf-ptype="general">SMS 펌핑은 공격자가 자동화된 방식으로 대량의 인증 문자 발송을 유도해 서비스 사업자에게 비용을 부담시키는 공격이다. 인위적으로 트래픽을 부풀리는 'AIT(Artificially Inflated Traffic)'의 일종으로, 시스템 침입이나 해킹 없이 정상적인 인증 기능을 악용한다는 점이 특징이다. 카카오톡과 왓츠앱, 텔레그램 등 전화번호 기반 서비스는 이용자의 요청에 따라 인증 문자를 발송하고 관련 비용을 부담하기 때문에 공격 대상이 될 수 있다.</p> <p contents-hash="5127ec448e56e3cf55fdbed3e3e71ca2786f482e23a61436e359d5700f2620cd" dmcf-pid="U3D1byMVdS" dmcf-ptype="general">카카오톡에서는 과거 콩고민주공화국에서 일주일간 약 23만건의 전화번호 인증 요청이 발생했다. 분당 50건 이상의 요청이 몰렸지만 실제 가입을 완료한 이용자는 100명 미만이었다. 카카오는 전체 요청의 약 85%인 20만건을 차단했으나 나머지 약 3만건으로 약 1000만원의 문자 발송 비용을 부담했다. 이 같은 부정 요청으로 발생한 연간 비용은 수억원 이상에 달했다.</p> <p contents-hash="416ed162385d891bfae83c0f8f7c5871b6f23af81bb60f8739dd94d5bb528f90" dmcf-pid="u0wtKWRfJl" dmcf-ptype="general">박 담당자는 "어뷰저들은 동시에 수십 개 국가 번호를 돌려가면서 공격한다"며 "제대로 방어하지 못하면 하루에 인증 비용 2억~3억원 정도는 아주 손쉽게 나갈 수 있다"고 설명했다.</p> <p contents-hash="a4791633afee278b9f96e5496f77f6cdabf44c5eac407bf2984efb88bbb7012c" dmcf-pid="7prF9Ye4Rh" dmcf-ptype="general">공격이 반복되는 배경에는 복잡한 국제 통신망의 수익 배분 구조가 있다. 해외 인증 문자는 발송 대행사와 중개업체, 현지 통신사, 가상이동통신망사업자(MVNO) 등을 거쳐 전달되며 발송 비용도 여러 사업자에게 나뉘어 지급된다. 이 과정에서 공격자가 일부 사업자와 부정 트래픽으로 발생한 수익을 나눠 가질 수 있다. 국내 문자 발송 비용은 건당 10원 미만인 반면 아프리카와 러시아 일부 국가에서는 1000원을 넘는 등 국가별 요금 격차도 크다.</p> <p contents-hash="45c076d9b8839fba8319bda3cca1b341dd111fcd10e09f9618885ee6dc99d3cc" dmcf-pid="zUm32Gd8dC" dmcf-ptype="general">한 담당자는 "일부 계약에서는 최종 사용자의 실제 수신 여부와 별개로 발송 요청이나 망 접수를 기준으로 비용이 발생할 수 있다"고 설명했다. 실제 서비스 이용으로 이어지지 않은 인증 요청만으로도 문자 발송 비용이 청구될 수 있다는 의미다.</p> <p contents-hash="58a56c3e0e805b05acd6da722fdec615bce804a4b61ddfa828de32284dc7eb15" dmcf-pid="qus0VHJ6nI" dmcf-ptype="general">글로벌 메신저 업계도 유사한 공격에 대응하고 있다. 위챗은 자동화 프로그램을 구분하는 캡차(CAPTCHA)와 이용자가 직접 인증 문자를 보내는 방식을 병행하고 있으며 텔레그램은 일부 인증 과정에 유료 결제를 적용하고 있다. 서비스 사업자의 문자 발송 비용을 줄이거나 공격자가 인증 비용을 부담하도록 만드는 방식이다.</p> <p contents-hash="4ecb949f1ac38ca12e581de9054a2e9c7f31c89509ca1631cca4e6dd83cd12e0" dmcf-pid="B7OpfXiPnO" dmcf-ptype="general">공격자가 정상 이용자의 행동까지 모방하면서 탐지는 더욱 어려워지고 있다. 글로벌 클라우드 통신업체 트윌리오가 지난 3월 공개한 '2026년 3월 사기 동향 업데이트'에 따르면 공격자들은 자동화 도구와 스크립트를 활용해 일회용 비밀번호(OTP)를 입력하고 전체 인증 절차까지 완료하고 있다. 기존에는 인증 미완료나 OTP 입력 실패 등을 토대로 부정 요청을 탐지했지만 공격자가 정상적인 인증 과정을 재현하면서 기존 방식의 효과가 떨어지고 있다는 분석이다. 공격 대상 전화번호도 통신사와 지역, 번호 유형을 달리해 무작위로 선택하는 등 수법이 정교해지고 있다. </p> <p contents-hash="985c71bdde306905da3bff5100c13a2afc686258f5a839e40e359686f5c6202e" dmcf-pid="bzIU4ZnQJs" dmcf-ptype="general">카카오 역시 기존 탐지 기술만으로 부정 인증 요청을 원천 차단하기 어렵다고 설명했다. 전화번호 인증은 서비스 가입 전에 이뤄지는 만큼 정상 이용자와 공격자를 구분할 정보가 부족하다. 의심스러운 요청을 무조건 차단하면 정상 이용자의 가입까지 막을 수 있고 공격자가 접속 환경과 요청 패턴을 바꿔 차단을 우회하는 문제도 있다. 박 담당자는 "가장 정보가 없는 시점에 가장 중요한 판단을 해야 하는 것"이라고 말했다.</p> <p contents-hash="5fc31a8267ec1cb8ddb63ddf46b8ed8287c4f02b72f2509dd1cb94635ee9f74d" dmcf-pid="KBh761oMim" dmcf-ptype="general">카카오는 이러한 한계를 보완하기 위해 이용자가 직접 인증 문자를 발송하는 'MO(Mobile Originated) 인증'을 도입했다. 부정 요청 가능성이 높으면 기존처럼 차단하고 가능성이 낮으면 카카오가 인증 문자를 발송하되 판단이 어려운 요청은 이용자가 직접 문자를 보내도록 전환하는 방식이다. 공격자가 인증을 반복하려면 직접 문자를 보내야 해 비용을 서비스 사업자에게 떠넘기기 어려워지고 SMS 펌핑의 수익성도 떨어지기 때문이다.</p> <p contents-hash="60427351a25862ab5977003cb00a9924d560158a58435471174d843bf404097a" dmcf-pid="9blzPtgRnr" dmcf-ptype="general">MO 인증 도입 이후 전체 인증 문자 발송량이 예상보다 크게 감소했으며 시간이 지나면서 부정 요청 자체도 줄었다는 게 카카오의 설명이다. 박 담당자는 "서비스에 전화번호 인증 플로우가 있다면 SMS 펌핑은 충분히 타깃이 될 수 있다"며 "순식간에 큰 비용 손실이 날 수 있기 때문에 미리 막아두는 것이 무엇보다 중요하다"고 강조했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 시사저널e 무단전재 및 재배포 금지</p> 관련자료 이전 [SEDEX]삼성전자, “옆이 아닌 위로” HBM 혁신 구조로 AI 승부수 10-14 다음 '5극 3특'에 출연연 분원 활용…전략연구사업에 지역 수요 담는다 10-14 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
