요즘 서비스들은 비밀번호를 기억하는 번거로움을 덜어주려고 휴대전화 문자로 바로 접속할 수 있는 주소를 보내주곤 해요. 그런데 이런 SMS 로그인 링크 방식이 오히려 수백만 명의 개인정보를 노리는 해커들에게 문을 열어주고 있다는 사실을 알고 계셨나요? 최근 발표된 연구를 보면 생각보다 보안 체계가 허술한 곳이 많아서 깜짝 놀랐어요.
SMS 로그인 링크가 위험한 진짜 이유는 무엇일까요?
우리가 무심코 클릭하는 문자 속 주소에는 접속 권한을 증명하는 토큰이라는 값이 붙어 있어요. 문제는 이 토큰이 너무 단순하게 만들어진 경우가 많다는 점이에요. 해커들이 숫자나 문자를 하나씩 바꿔가며 입력하다 보면 다른 사람의 계정에 아주 쉽게 들어갈 수 있더라고요.
게다가 SMS 메시지는 기본적으로 암호화가 되지 않은 상태로 전송되는데요. 중간에 메시지가 가로채기 당할 위험도 있고, 발송 기록이 남는 공개 게이트웨이를 통해 정보가 줄줄 새어나가는 경우도 흔하게 발생하고 있었어요.
- 암호화되지 않은 메시지 전송 방식
- 유추하기 너무 쉬운 보안 토큰 구조
- 링크의 유효 기간이 지나치게 길게 설정됨
간편하지만 치명적인 SMS 인증 시스템의 허점
연구진이 175개가 넘는 서비스를 조사했더니 보안이 취약한 경로가 무려 700곳이 넘게 발견되었어요. 사용자가 가입할 때 휴대전화 번호만 입력하면 되니까 참 편하긴 한데, 그 이면에는 심각한 개인정보 유출 가능성이 도사리고 있었던 셈이죠.
실제로 유출될 수 있는 정보들을 살펴보니 단순한 이름이나 주소 수준이 아니었어요. 보험 가입 정보부터 시작해서 심지어 계좌 번호나 신용 점수까지 들여다볼 수 있는 곳들이 꽤 많더라고요. 이렇게 민감한 데이터가 문자 한 통에 담긴 주소 하나로 보호받고 있다는 사실이 참 걱정스러웠어요.
- 주민등록번호 및 생년월일 노출 위험
- 은행 계좌 및 금융 정보 유출 가능성
- 구인 구직 관련 사적 기록 노출
해커들이 타인 계정에 접속하는 아주 간단한 방법
전문적인 해킹 기술이 없어도 일반적인 수준의 보안 지식만 있으면 이런 취약점을 악용할 수 있다는 점이 가장 큰 문제였어요. 연구에 따르면 해커들은 일명 열거 공격이라는 방식을 주로 사용하는데요.
예를 들어 링크 끝에 붙은 숫자가 123이라면 이걸 124, 125로 하나씩 바꿔보는 거예요. 운 좋게 다른 사람의 유효한 링크를 찾아내면 그대로 해당 사용자의 계정을 탈취하게 되는 거죠. 별도의 비밀번호 입력 과정이 없으니 문을 열어준 것이나 다름없었어요.
내 SMS 로그인 링크 정보를 안전하게 관리하는 법
그렇다면 사용자 입장에서는 어떻게 대처해야 할까요? 사실 이 문제는 서비스를 만드는 기업들이 보안을 강화해야 해결되는 부분이 크긴 해요. 하지만 우리 스스로도 몇 가지 주의를 기울이면 피해를 줄일 수 있답니다.
무엇보다 신뢰할 수 없는 사이트에는 가급적 민감한 개인정보를 남기지 않는 것이 중요해요. 그리고 문자로 온 링크를 클릭해 접속한 뒤에는 반드시 로그아웃을 하거나 브라우저의 기록을 삭제하는 습관을 들이는 것이 좋더라고요.
- 출처가 불분명한 서비스에 전화번호 등록 자제하기
- 보안 설정에서 2단계 인증 옵션이 있다면 반드시 켜두기
- 더 이상 사용하지 않는 서비스는 계정 삭제 요청하기
매직 링크는 문자로 받는 방식보다 더 안전할까요?
요즘은 문자 대신 이메일로 접속 링크를 보내주는 매직 링크 방식을 쓰는 곳도 늘고 있어요. 보안 전문가들은 이메일 방식이 상대적으로 조금 더 낫다고 평가하기도 하는데요. 이메일 계정 자체에 이미 2단계 인증 같은 보안 장치가 되어 있는 경우가 많기 때문이에요.
하지만 이 역시 링크의 유효 기간이 얼마나 짧으냐에 따라 안전성이 크게 달라져요. 보통 24시간 이내에 만료되도록 설계하는 것이 정석인데, 어떤 서비스들은 몇 달이 지나도 링크가 살아있는 경우가 있어서 주의가 필요했어요.
서비스 제공자가 보안 사고를 예방하는 대처 방법
기업들이 이 문제를 해결하려면 단순히 편리함만 쫓아서는 안 될 것 같아요. 보안 토큰을 무작위로 길게 만들어서 해커가 때려 맞추지 못하게 하는 엔트로피를 높이는 작업이 꼭 필요하거든요.
또한 짧은 시간에 여러 번 접속을 시도하는 비정상적인 접근을 차단하는 기술도 적용해야 해요. 편리한 로그인을 제공하되, 그 뒤에서는 철저한 보안 검증이 이루어지는 시스템을 구축하는 것이 앞으로의 과제라고 볼 수 있겠어요.
- 유추 불가능한 복잡한 토큰 생성
- 링크 유효 시간 최소화 (예: 10분 이내)
- 비정상적 접근에 대한 접속 횟수 제한 설정
마지막 정리
편리함과 보안은 항상 같이 가기가 어려운 것 같아요. 우리가 무심코 사용하는 SMS 로그인 링크 방식이 생각보다 큰 보안 구멍이 될 수 있다는 점을 이번 기회에 꼭 기억하셨으면 좋겠어요. 기술이 우리 삶을 편하게 만들어주는 만큼, 우리 소중한 정보를 지키기 위한 개인적인 주의도 잊지 말아야겠더라고요.
같이 보면 좋은 글
#sms보안 #개인정보보호 #로그인링크 #보안취약점 #해킹예방 #문자보안 #사이버보안 #개인정보유출 #매직링크 #인증보안