SMS 2FA 안전한가? SilentAir 공격이 보여준 것

SMS 2FA는 안전한가요?

SMS 2단계 인증은 비밀번호만 쓰는 것보다는 낫지만, 문자가 공격받을 수 있는 휴대전화 네트워크를 거치기 때문에 흔히 쓰는 두 번째 인증 요소 중 가장 취약합니다 ^[2][3][4].

2단계 인증(2FA)은 로그인할 때 비밀번호 외에 일회용 코드 같은 다른 요소가 필요하다는 뜻입니다. 그 코드가 문자 메시지(SMS)로 오면, 문자를 돌리거나 읽을 수 있는 사람은 누구든 코드도 얻을 수 있습니다.

미국 사이버보안 및 인프라 보안국(CISA)은 집중 표적이 될 수 있는 개인을 위한 지침에서 "SMS를 인증의 두 번째 요소로 사용하지 마십시오"라고 분명히 밝힙니다 ^[2]. 그 이유는 SMS 메시지가 암호화되지 않고, 통신사 네트워크에 접근할 수 있는 위협 행위자가 이를 읽을 수 있으며, SMS는 피싱에 강하지 않기 때문입니다 ^[2].

미국 국립표준기술연구소(NIST)는 SMS나 음성 같은 공중 전화망으로 전송되는 코드를 유일한 '제한적' 인증 수단으로 다루며, 조직은 추가 위험을 수용하고 대안을 제공한 경우에만 이를 쓸 수 있습니다 ^[4].

대부분의 사람에게 실용적인 답은 이렇습니다. 2FA가 아예 없는 것보다는 SMS 2FA를 유지하는 편이 낫다고 CISA는 말하므로 ^[3] 유지하되, 중요한 계정은 더 강력한 방식으로 옮기세요. Pouyam 가이드 Two-Factor Authentication Explained: Which 2FA Method Is Safest?에서 모든 선택지를 비교합니다.

SilentAir란 무엇인가요?

SilentAir는 통신 보안 업체 Enea가 새로 확인된 위협 행위자에게 붙인 이름으로, 침해된 이동통신망 일부를 통해 휴대전화 가입자를 공격한다고 합니다 ^[1][5].

Enea는 2026년 11월 11일(11월 12일 갱신) 보고서에서 조사 결과를 공개했으며, 이 보고서는 별도로 추적하는 LIMINAL PANDA 조직도 다룹니다 ^[1]. 모두 Enea에 따른 핵심 내용은 다음과 같습니다 ^[1].

• Enea는 2025년 초부터 일부 아시아 이동통신사에서 나온 비정상적인 시그널링 공격을 추적해 왔으며, 그 이전의 의심스러운 활동도 발견했습니다.
• 최소 여섯 개 아시아 국가의 이동통신사에서 SilentAir 관련 네트워크 요소를 찾았고, 다른 곳도 의심되지만 확인되지는 않았습니다.
• 이를 발판으로 십여 개 국가와 지역의 이동통신사와 가입자가 공격 대상이 되었습니다. 대만이 주요 표적이었습니다.
• 일부 표적은 정치와 정부 분야의 VIP 인사였습니다.
• Enea는 SilentAir가 범죄 조직이나 상업적 감시 업체가 아니라 국가 차원의 행위자라고 높은 신뢰도로 평가합니다.

배후에 대한 Enea의 표현은 신중합니다. 대만에 집중된 점, 중국 표적이 없는 점, UTC+8 근무일에 맞는 공격 시간대를 근거로 SilentAir의 활동이 중국 연계 사이버 작전과 일치한다고 낮은 신뢰도로 평가합니다 ^[1]. Enea는 LIMINAL PANDA와의 연관성이 가능하지만 확인되지는 않았다고 밝힙니다 ^[1]. 이 연구를 다룬 SecurityWeek의 보도도 같은 평가를 전합니다 ^[5].

SMS 코드는 어떻게 가로채였나요?

Enea에 따르면 SilentAir는 SS7과 Diameter 시그널링 시스템으로 악의적인 위치 갱신 메시지를 보내, 표적에게 오는 통화와 문자가 공격자가 통제하는 노드를 거치게 만들었습니다 ^[1][5].

이동통신사는 휴대전화가 어디서나 로밍하며 통화와 문자를 받을 수 있도록 시그널링 메시지를 주고받습니다. Enea의 설명에 따르면 오래된 네트워크는 SS7(2G와 3G)을, 4G는 Diameter를, 5G는 HTTP/2 기반 프로토콜을 사용합니다 ^[1]. Enea는 사업자 간의 이러한 신뢰가 글로벌 로밍에는 필수이지만 공격자에게도 매력적인 환경이라고 말합니다 ^[1].

Enea에 따르면 ^[1]:

• SilentAir는 SS7 UpdateLocation과 Diameter Update-Location-Request 같은 명령으로 표적의 등록 위치를 바꿔, 이후 관심 대상의 SMS와 통화를 가로챘습니다.
• Enea는 일부 표적에서 가로챈 직후 2FA 코드가 수신되는 것을 관찰했습니다.
• 공격은 외부 스푸핑이 아니라 감염된 통신사 내부의 침해된 네트워크 노드에서 이루어졌습니다.
• SilentAir는 단말기에 표시되지 않고 알림도 생성하지 않는 문자인 사일런트 SMS를 매우 대규모로 사용했습니다. 활동이 급증하는 자정 무렵의 트래픽 대부분은 대만 가입자를 겨냥했습니다. Enea는 주로 다른 통신망 가입자에게 간 주간 메시지는 앞선 가로채기가 성공했는지 시험하는 것으로 보이며, 야간 트래픽의 목적은 확인되지 않았다고 밝힙니다.

이런 공격은 휴대전화 네트워크 내부에서 일어납니다. Enea에 따르면 공격은 이용자의 단말기가 아니라 통신사 네트워크 내부의 침해된 노드에서 오므로, 개인이 취할 실용적인 방어는 중요한 로그인에서 SMS에 의존하지 않는 것입니다 ^[2].

가장 안전한 2FA 방식은 무엇인가요?

보안 키와 패스키처럼 FIDO 표준에 기반한 피싱에 강한 방식이 가장 강력하고, 인증 앱이 그다음이며, SMS와 음성 코드가 가장 취약합니다 ^[2][3].

CISA는 피싱에 강한 다중 인증(MFA)을 "골드 스탠더드"라 부르며, FIDO/WebAuthn 인증을 피싱에 강한 방식 중 하나로 꼽습니다 ^[3]. CISA의 팩트 시트는 SS7 및 SIM 스왑 공격이 피싱에 강한 MFA나 앱 기반 일회용 코드에는 해당되지 않으며, SMS와 음성이 가장 취약한 범주라고 밝힙니다 ^[3].

CISA의 모바일 지침은 세부 내용을 더합니다 ^[2].

• 하드웨어 FIDO 보안 키가 가장 효과적이며, FIDO 패스키는 받아들일 만한 대안입니다.
• 인증 앱 코드는 SMS보다 낫지만 여전히 피싱당할 수 있습니다.
• FIDO 인증만이 피싱에 강합니다.

FIDO Alliance는 패스키를 휴대전화, 컴퓨터 또는 하드웨어 보안 키에 저장되고 지문이나 PIN처럼 기기를 잠금 해제하는 방식과 같게 풀리는 FIDO 기반 자격 증명이라고 설명합니다 ^[6]. NIST는 SMS나 앱에서 받아 직접 입력하는 코드는 가짜 사이트가 이를 진짜 사이트에 전달할 수 있으므로 피싱에 강하지 않다고 설명합니다 ^[4].

아래 표는 주요 선택지를 요약한 것입니다.

SMS 2FA에서 더 안전한 방식으로 바꾸려면?

가장 중요한 계정부터 패스키나 보안 키를 추가하고, 다른 곳에는 인증 앱을 추가한 다음, 마지막으로 가능한 곳에서 SMS를 끄세요 ^[2].

1. 핵심 계정 목록 만들기. CISA는 이메일과 소셜 미디어를 포함해 가치 있는 계정을 목록으로 정리하고, 특히 Microsoft, Apple, Google 계정을 중심으로 각각 FIDO 기반 인증에 등록하라고 권고합니다 ^[2]. 이메일은 다른 비밀번호를 재설정할 수 있으므로 가장 중요합니다.
2. 패스키나 보안 키 추가. 각 계정의 보안 설정에서 패스키, 보안 키, 2단계 인증 항목을 찾으세요. FIDO Alliance에 따르면 패스키는 모든 주요 운영 체제와 브라우저에서 지원됩니다 ^[6].
3. 패스키가 없는 곳에서는 인증 앱 사용. CISA는 덜 중요한 계정에 Google Authenticator, Microsoft Authenticator, Authy 같은 무료 앱을 예로 듭니다 ^[2].
4. 이후 SMS 끄기. CISA는 앱에 등록해도 SMS가 자동으로 제거되지 않아 "취약하고 악용 가능한 대체 수단"이 남는다고 경고합니다 ^[2].
5. 복구 코드 저장. 휴대전화를 잃어도 계정에 접근하지 못하는 일이 없도록 안전한 곳에 오프라인으로 보관하세요.
6. 비밀번호 관리자 사용. 비밀번호를 길고 고유하게 유지하세요. CISA도 이를 권장합니다 ^[2].

CISA는 일부 서비스가 계정 복구 과정에서 여전히 SMS로 되돌아갈 수 있어 모든 곳에서 SMS를 완전히 없애지 못할 수도 있다고 짚습니다 ^[2]. 패스키의 작동 방식은 Pouyam 가이드 What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer를 참고하세요.

SMS 가로채기의 위험이 가장 큰 사람은 누구인가요?

Enea의 조사 결과에서 SilentAir는 일부 정치 및 정부 VIP를 표적으로 삼았고, 공격 대상은 한 달 동안 가입자 한 명 또는 소수에서 수천 명에 이르렀습니다 ^[1].

Enea는 공격이 몇 달 이상 이어지는 공백을 두고 폭발적으로 이루어졌으며, 여러 국가의 서로 다른 감염 네트워크에 있는 SilentAir 노드가 가치가 높은 VIP급 표적을 겨냥해 협력했다고 밝힙니다 ^[1]. 또한 시그널링 인터페이스에 대한 공격의 압도적 다수는 감시 업체의 소행이라고 설명합니다. Enea의 분석에서 가로채기는 SilentAir 활동의 18.30%를 차지한 반면 일반적인 감시 업체는 2.07%여서, SilentAir는 가로채기 비중이 두드러졌습니다 ^[1].

CISA의 지침은 고위 정부나 정치 직책에 있는 "집중 표적" 개인을 위해 작성되었습니다 ^[2]. 민감한 정보를 다루는 사람이라면 누구든 더 조심할 이유가 있습니다.

그 밖의 모든 사람도 SMS에서 벗어나면 이익이 있습니다. CISA에 따르면 공격자가 통신사를 속여 전화번호 통제권을 넘기게 하는 SIM 스왑 공격도 SMS 코드를 노출합니다 ^[3]. 같은 조치가 두 가지를 모두 막아 줍니다.

가로채기는 하나의 경로일 뿐이라는 점도 기억하세요. 계정 탈취의 대부분은 피싱에서 시작되며, Pouyam 가이드 What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes가 이를 설명합니다.

이동통신사는 무엇을 해야 하나요?

Enea는 통신사가 모든 상호 연동 프로토콜을 함께 보호하고, 로밍 상호 연동을 신뢰할 수 없는 것으로 취급하며, 자사 네트워크 내부의 시그널링을 감시할 것을 권고합니다 ^[1].

Enea의 권고 사항은 다음과 같습니다 ^[1].

• GTP-C와 GTP-U 보안 방화벽을 도입하고 SS7 및 Diameter 방화벽과 정보를 공유하게 합니다.
• 기본적인 업계 권고를 넘어서야 합니다. Enea는 이것이 시그널링 보안의 종착점이 아니라 출발점이어야 한다고 말합니다.
• 사업자 간 IPX 인터페이스를 신뢰할 수 없는 것으로 보고, 프로토콜 전반의 트래픽을 더 깊이 분석하고 방화벽으로 막습니다.
• 시그널링 프로토콜을 가장자리뿐 아니라 네트워크 내부에서도 분석합니다.

Enea는 SilentAir에 감염된 통신사들에 네트워크 내 악성 시그널링 출처를 알렸으며, 이 조직의 거점이 영향을 받았다고 판단합니다 ^[1]. 또한 같은 기법을 다른 위협 행위자도 사용할 수 있다고 경고합니다 ^[1].

이는 통신사 차원의 조치입니다. 개별 이용자는 이를 볼 수도 통제할 수도 없으며, 이것이 휴대전화 네트워크에 의존하지 않는 로그인 방식을 선택해야 하는 또 하나의 이유입니다.

SMS 코드는 사라질까요?

당장은 아닙니다. NIST는 여전히 SMS를 제한적 선택지로 허용하지만, 보안 기관들은 사람들을 패스키와 피싱에 강한 다른 방식으로 이끌고 있습니다 ^[2][4].

NIST는 위협과 네트워크가 변함에 따라 전화망 인증의 제한적 지위를 조정할 수 있으며, 이를 사용하는 제공자는 최소 하나의 대안과 전환 계획을 제공해야 한다고 밝힙니다 ^[4]. CISA는 이미 집중 표적이 될 수 있는 사람들에게 SMS 기반 MFA에서 벗어나라고 권고합니다 ^[2].

FIDO Alliance는 패스키가 비밀번호에 SMS 코드를 더하는 기존 방식을 대체할 수 있으며 모든 주요 운영 체제와 브라우저에서 지원된다고 말합니다 ^[6].

이 가이드는 일반적인 보안 인식을 위한 것입니다. SilentAir에 관한 사실은 2026년 11월 13일 기준 Enea 자체 보고서에서 나온 것이며, Enea는 SilentAir와 LIMINAL PANDA의 연관성에 대한 평가가 바뀌면 블로그를 갱신하겠다고 밝혔습니다 ^[1].