Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

매일 수십억 명의 사람들이 주머니 속에 자신의 은행 계좌, 개인 사진, 그리고 가장 사적인 대화로 통하는 직통 연결망 역할을 하는 기기를 휴대하고 다닙니다. 우리가 이 기기들에 너무나 많은 것을 의존하기 때문에, 범죄자들은 우리의 그 신뢰를 우리에게 불리하게 이용하는 방법을 찾아냈습니다. 그들은 신뢰할 수 있는 기업, 배송 서비스, 또는 심지어 친구로부터 온 것처럼 보이는 문자 메시지를 보냅니다. 이러한 메시지들은 종-종 수신자에게 계정이 잠겼다거나, 택배가 기다리고 있다거나, 혹은 경품에 당첨되었다는 식의 공포나 긴박함을 조성합니다. 목표는 상대방을 속여 링크를 클릭하게 하거나 비밀번호를 입력하게 만드는 것입니다. '스미싱(smishing)'이라고 알려진 이 특정한 유형의 속임수는 거대한 글로벌 문제가 되었습니다. 미국에서만 최근 1년 동안 이러한 문자 기반 사기로 인해 사용자들이 입은 손실은 거의 6억 4천만 달에 달하며, 이 수치는 불과 5년 만에 6배 이상 급증했습니다. 상황은 점점 악화되고 있는데, 이는 범죄자들이 단순히 예전과 같은 메시지를 보내는 것이 아니라, 자신들의 거짓말을 더 설득력 있고 알아채기 어렵게 만들기 위해 새로운 도구들을 사용하고 있기 때문입니다.

테네시 공과대학교와 콜로라도 대학교 콜로라도 스프링스의 연구진은 이 커지는 위협의 전체 범위를 이해하기 위해 한 걸음 물러나 보기로 했습니다. 그들은 단지 한 종류의 나쁜 메시지를 차단하는 새로운 도구를 만드는 대신, 스미싱에 대해 알려진 모든 것을 포괄적으로 검토했습니다. 그들은 수백 개의 과학적 연구, 법적 문서, 그리고 공개 데이터 세트를 수집하고 분석하여 문제에 대한 완전한 지도를 만들었습니다. 그들의 작업은 사람들이 이러한 메시지에 어떻게 반응하는지, 공격이 어떻게 구조화되는지, 현재 어떤 방어책이 존재하는지, 그리고 연구자들이 이 문제를 연구하기 위해 사용할 수 있는 데이터는 무엇인지라는 네 가지 주요 영역을 다룹니다. 이 모든 조각들을 하나로 모음으로써, 그들은 현재의 노력이 어디에서 부족한지를 보여주고 모두를 위한 더 나은 보호 방향을 제시하고자 합니다.

연구진은 먼저 메시지를 받는 사람들을 살펴보았습니다. 그들은 이러한 사기에 대한 취약성이 단순히 부주의하거나 교육을 받지 못해서 발생하는 것이 아님을 발견했습니다. 어떤 사람들은 다른 사람들보다 속임수에 빠질 가능성이 높지만, 그 위험은 습관, 감정, 그리고 맥락의 복잡한 혼합에 의해 영향을 받습니다. 예를 들어, 소셜 미디어나 뱅킹 앱을 자주 사용하는 사람은 해당 서비스와 관련된 메시지를 더 믿을 만하다고 느낄 수 있는데, 이는 단순히 익숙함 때문입니다. 또한 이 연구는 공격자들이 인간 심리를 이용하는 전문가라는 점을 강조했습니다. 그들은 공포, 탐욕, 또는 긴박감을 유발하는 메시지를 정교하게 만들어, 사람들이 생각 없이 빠르게 행동하도록 몰아붙입니다. 연구진은 기술적인 세부 사항에 집중하는 방어책들이 존재하지만, 인간이라는 요소가 여전히 가장 취약한 고리로 남아 있다고 언급했습니다. 사기에 대해 알고 있는 사람들조차도 메시지가 그들의 특정 두려움이나 욕망을 이용하도록 잘 설계되어 있다면 속을 수 있습니다.

공격 자체에 관해 연구진은 그 양상이 매우 다양해졌음을 발견했습니다. 과거의 스미싱 메시지는 종종 문법이 틀리거나 명백히 수상한 링크가 포함된 조잡한 형태였습니다. 오늘 وہ, 공격은 훨씬 더 정교해졌습니다. 메시지는 합법적인 기관의 번호와 똑같이 보이거나, 무작위의 사람들에게 대규모로 발송될 수 있습니다. 연구진은 이러한 공격이 가짜 세금 환급, 배송 알림, 또는 계정 보안 경고와 같은 특정 주제를 따르는 경우가 많다는 것을 확인했습니다. 또한 범죄자들이 인공지능을 사용하여 이러한 메시지를 작성함으로써, 메시지가 완벽하게 자연스럽고 피해자에게 맞춤화된 것처럼 들리게 하고 있다는 점을 관찰했습니다. 이러한 진화는 단순한 나쁜 단어나 알려진 나쁜 링크 목록에 의존했던 기존의 차단 방식들이 더 이상 충분하지 않음을 의미합니다. 공격자들은 필터를 통과하기 위해 끊임없이 전술을 바꾸고 있습니다.

이에 맞서 싸우기 위해 연구진은 현재의 방어 상태를 조사했습니다. 그들은 대부분의 현대적 솔루션이 대량의 데이터로부터 패턴을 학습하는 컴퓨터 프로그램의 일종인 머신러닝에 의존한다는 것을 발견했습니다. 이러한 프로그램들은 의심스러운 텍스트를 포착하는 데 매우 뛰어나며, 최근의 일부 모델은 99% 이상의 정확도를 달성하기도 했습니다. 그러나 연구진은 중대한 문제를 지적했는데, 많은 강력한 시스템들이 '블랙박스'라는 점입니다. 이 시스템들은 메시지가 사기라고 말해줄 수는 있지만, 왜 그런지를 쉽게 설명하지 못합니다. 이러한 투명성의 결여는 사용자가 경고를 신뢰하기 어렵게 만들고, 규제 기관이 결정이 어떻게 내려지는지 이해하는 것을 어렵게 만듭니다. 더욱이, 이러한 메시지를 차단하기 위해 설계된 많은 모바일 앱이 있지만, 그 효과는 매우 다양합니다. 어떤 앱은 사기를 잡아내는 데 탁월하지만, 어떤 것들은 많은 사기를 놓치거나 너무 많은 무해한 메시지를 차단하기도 합니다. 연구는 또한 법률과 규정을 살펴보았는데, 일부 국가에서는 이러한 관행에 대해 강력한 규칙을 가지고 있지만, 집행이 지역마다 어렵고 일관되지 않다는 것을 발견했습니다.

연구진의 작업 중 중요한 부분은 과학자들이 이러한 탐지 시스템을 훈련시키는 데 사용하는 데이터 세트를 분석하는 것이었습니다. 그들은 많은 데이터 세트가 구식이거나 제한적이라는 것을 발견했습니다. 예를 들어, 일부 오래된 데이터 세트는 10년 전의 메시지를 포함하고 있어 오늘날의 사기꾼들이 어떻게 활동하는지를 반영하지 못합니다. 다른 데이터 세트들은 영어에 지나치게 편향되어 있어, 다른 언어에서 이러한 공격이 어떻게 작동하는지에 대한 이해에 격차를 남깁니다. 연구진은 또한 많은 데이터 세트에 더 이상 존재하지 않는 웹사이트로 연결되는 링크가 포함되어 있어, 실제 사기의 목적지를 연구하는 것을 어렵게 만든다는 것을 발견했습니다. 이를 해결하기 위해 그들은 기존 정보를 정리하고 정제하여 미래의 연구자들이 더 나름의 방어 체계를 구축할 수 있도록 돕는 '스미싱 데이터 허브(Smishing Data Hub)'라는 새로운 통합 데이터 컬렉션을 만들었습니다.

이 검토는 기술이 발전하고 있지만, 스미싱에 맞선 싸움에는 더 넓은 접근 방식이 필요하다는 결론을 내립니다. 연구진은 미래의 노력이 단순히 더 나은 필터를 만드는 것을 넘어서야 한다고 주장합니다. 그들은 사용자가 단어 뒤에 숨겨진 감정적 조작을 인식할 수 있도록, 사기꾼들이 사용하는 심리적 속임수에 대한 더 깊은 이해를 강조합니다. 또한 텍스트뿐만 아니라 다양한 언어와 형식을 포함하는 더 다양한 데이터 세트를 요구합니다. 마지막으로, 그들은 기술 기업, 법 집행 기관, 그리고 정책 입안자들 사이의 더 긴밀한 협력을 통해 더 조율된 대응을 만들어낼 필요가 있다고 강조합니다. 이 연구는 문제를 해결했다고 주장하는 것이 아니라, 점점 더 기만적인 디지털 세상에서 사용자를 보호하기 위해 과학계가 나아가야 할 명확한 로드맵을 제공하는 것입니다.