알아야 할 모든 정보, 불필요한 정보는 없습니다.
공격자의 스푸핑 방식
세 가지 패턴이 있습니다. 첫째, 등록된 소유자에 대한 발신자 ID 화이트리스트를 시행하지 않는 관리가 허술한 애그리게이터를 통해 제출합니다(이런 일이 발생해서는 안 되지만 실제로 발생합니다). 둘째, 현지 발신자 ID 검사를 우회하는 해외 SS7 경로를 통해 라우팅합니다(대부분 FS.07을 준수하는 방화벽에 의해 차단됩니다). 셋째, SIM 박스 인프라를 악용하여 실제 MSISDN으로 발송한 뒤, 가짜 브랜드 문자열을 알파뉴메릭 오버레이로 덧씌웁니다(일부 애그리게이터 스택에서 이를 허용합니다).
통신사 방어 방식
발신자 ID 등록(기초적인 방어 수단). 애그리게이터의 아웃바운드 발신자 ID 강제 적용: BroadNet의 제출 게이트웨이는 목적지 국가에 대해 고객이 승인한 발신자 ID 화이트리스트에 포함되지 않은 알파뉴메릭 발신자 필드를 가진 submit_sm를 거부합니다. 통신사 방화벽의 인바운드 발신자 ID 검증: 유입되는 A2P 트래픽의 주장된 발신자를 국가별 등록 소유자와 대조 확인합니다.
기업 고객이 애그리게이터에게 기대해야 할 사항
엄격한 화이트리스트 관리. 만약 사용 중인 애그리게이터가 사전 승인 없이 API 호출 시 발신자 ID를 임의의 문자열로 설정할 수 있게 허용한다면, 해당 애그리게이터는 생태계 전체에 스미싱 위험을 초래합니다. 신뢰할 수 있는 애그리게이터는 반드시 발신자 ID 사전 등록을 요구합니다.
규제 상태
중동·북아프리카(MENA) 규제 기관(TDRA, CST, NTRA, TRC)은 발신자 ID 스푸핑에 대해 점점 더 강력하게 대응하고 있습니다. EU 시장의 통신사들은 EU NIS2 프레임워크에 따라 SMS 발신자 ID 검증을 도입하고 있습니다. RCS Business Messaging가 신뢰가 중요한 SMS를 점진적으로 대체하고 있는 이유는 발신자가 암호학적으로 검증되기 때문입니다.