알아야 할 모든 정보, 불필요한 정보는 없습니다.
SMS 펌핑 공격의 작동 원리
AIT는 가입, 로그인, 전화 인증, "인증번호 재전송"과 같이 요청 시 SMS를 발송하는 모든 웹 또는 앱 양식을 악용합니다. 사기꾼은 봇을 스크립트로 실행하여 해당 SMS를 수천 또는 수백만 번 요청하며, 자신이 제어하는 번호 범위나 전송 경로에 가담한 업체(수익을 나누는 애그리게이터 또는 착신 통신사)를 통해 경로가 지정된 번호를 타겟팅합니다. 브랜드의 서비스 제공업체가 보내는 메시지 한 건마다 과금되는 착신 수수료가 발생하며, 이 중 일부가 사기꾼에게 흘러 들어갑니다.
- 진입점: 인증되지 않은 모든 "SMS 발송 요청" 엔드포인트(OTP, 인증, 재전송).
- 봇이 사기꾼이 제어하거나 공모한 번호 범위로 대량 요청을 생성합니다.
- 전송 체인의 수익 공유 결탁을 통해 물량을 수익으로 전환합니다.
- 브랜드는 비용을 지불하지만, 실제 사용자는 어떠한 가치도 얻지 못합니다.
사기 경제학 — 왜 AIT가 비즈니스가 되는가
AIT는 수익 공유형 사기입니다. 이는 착신 체인 내의 누군가(부정적인 애그리게이터 또는 묵인하는 통신사)가 부풀려진 착신 수수료를 트래픽을 생성하는 당사자와 공유할 때만 발생합니다. 펌핑된 메시지 하나당 분배할 수수료가 더 크기 때문에 고비용 국제 번호 대역이 특히 매력적입니다. 승인된 통신사 직접 연동 경로는 모니터링 및 정산 과정을 거치기 때문에 그레이 라우트가 자연스러운 통로가 됩니다.
- 수익화를 위해서는 착신 체인 내의 공모가 필요합니다.
- 비용이 높은 목적지 범위는 메시지당 사기범의 수익을 극대화합니다.
- 그레이 라우트는 선호되는, 정산하기 더 어려운 통로입니다.
- 산업화된 규모 — Juniper Research에 따르면 2023년 국제 A2P SMS의 약 18%가 알려진 AIT로 추정됩니다.
업계에 미치는 비용적 손실
추정치는 범위에 따라 달라질 수 있으므로 주의해서 인용하십시오. Juniper Research(2024년 3월 발행, VOX Solutions 공동 조사)에 따르면, 기업이 겪는 AIT 및 SMS 트래싱의 전 세계적 비용은 2023년 기준 약 85억 달러였으며, 2027년에는 약 234억 달러에 이를 것으로 전망됩니다. 참고로, CFCA Global Fraud Loss Survey 2023에서는 전체 통신 사기 규모를 약 389.5억 달러로 추산했습니다.
- Juniper Research: 2023년 기업 비용 약 85억 달러; 2027년까지 약 234억 달러.
- CFCA 2023: 총 통신 사기 규모 약 389.5억 USD.
- 모든 수치는 출처와 연도를 명시합니다 — 범위는 다를 수 있습니다.
탐지 신호 — SMS 펌핑을 식별하는 방법
AIT는 트래픽이 사용자가 아닌 수수료를 목적으로 설계되기 때문에 뚜렷한 특징을 남깁니다. 가장 명확한 징후는 OTP/인증 요청은 급증하지만 가입, 로그인 또는 기타 후속 활동으로 이어지지 않는 경우입니다. 즉, 발송량은 매우 높지만 참여도는 거의 제로에 가깝습니다. 펌핑된 번호는 네트워크에 존재하지 않는 경우가 많아, 전송 결과 보고가 수신자 없음 코드로 반송됩니다. 목적지별 발송 대비 전환율을 모니터링하는 것이 가장 유효한 지표입니다.
- 가입/로그인 전환 없이 발생하는 OTP 요청 급증.
- 트래픽이 갑자기 비정상적인 국가나 번호 범위로 집중되는 현상.
- 자동화로 인해 발생하는 특정 시간대 및 버스트 패턴.
- 펌핑된 범위 내의 낮은 DLR 성공률 (가입자 없음 코드 발생)
발신자 측 방어 — 브랜드가 제어할 수 있는 영역
AIT는 브랜드 자체 엔드포인트에서 시작되므로, 첫 번째 방어선은 바로 그곳에 있습니다. OTP 엔드포인트에 속도 제한(Rate-limit)을 설정하고 CAPTCHA 또는 봇 탐지 기능을 추가하세요. 지리적 제어 및 속도 제어를 적용하여, 서비스하지 않는 목적지로 향하는 인증 요청을 차단하거나 인증 절차를 요구하세요. 문자를 발송하기 전에 HLR Lookup으로 목적지 번호를 검증하십시오. SMS 펌핑이 발생하는 번호는 대부분 검증에 실패합니다. 가능한 경우, 고위험 플로우를 인증 앱이나 Silent Network Verification으로 전환하여 SMS 펌핑이 가능한 요소를 완전히 제거하십시오.
- OTP 엔드포인트에 대한 속도 제한 및 CAPTCHA/봇 탐지 기능.
- 지역/속도 제한; 서비스하지 않는 목적지는 차단하세요.
- HLR 사전 검증 및 번호 범위 차단 목록.
- 고위험 트래픽을 플래시 콜 또는 사이런트 네트워크 인증으로 전환하십시오.
네트워크 측 방어 — 통신사와 방화벽이 제어하는 항목
네트워크 측면에서는 SMS 방화벽과 경로 모니터링이 브랜드가 놓치는 부분을 포착합니다. 방화벽은 비정상적인 OTP 요청 집중과 목적지 이상 징후를 감지하여 의심스러운 흐름을 제한하거나 차단할 수 있으며, 경로 정산(route reconciliation)을 통해 AIT가 의존하는 그레이 라우트와 고비용 구간을 드러냅니다. 그레이 라우트 대신 승인된 통신사 직접 연동 경로를 사용하면 사기범이 선호하는 통로를 제거할 수 있으며, 핸드셋에서 확인된 정확한 전송 결과 보고를 받을 수 있어 SMS 펌핑을 더 쉽게 식별할 수 있습니다.
- OTP 및 목적지 패턴에 대한 방화벽 수준의 이상 징후 감지.
- 그레이 라우트 및 고비용 범위를 식별하기 위한 경로 정산.
- 통신사 직접 연동을 통해 AIT가 의존하는 그레이 라우트 경로를 제거합니다.
- 정확한 DLR을 통해 SMS 펌핑 및 미수신 트래픽을 가시화합니다.
BroadNet의 지원 방식
BroadNet의 OTP 제품(/products/myotp)은 기본적으로 AIT 보호 기능이 활성화된 상태로 제공됩니다. 여기에는 MSISDN별, IP별, 디바이스별 속도 제한, HLR 사전 검증, 계정 내 과거 전송 성공 이력이 없는 MCC/MNC 범위의 자동 차단, 그리고 여러 고객의 공격 패턴을 학습한 AIT 탐지 모델이 포함됩니다. 통신사 직접 연동과 결합하여, 펌핑된 트래픽이 숨어들어 수익화될 수 있는 범위를 좁힙니다.
- 기본적으로 MSISDN, IP 및 기기별로 속도 제한이 적용됩니다.
- HLR 사전 검증 및 미전송 범위 자동 차단.
- 고객 간 패턴을 분석하는 AIT 탐지 모델.
- 통신사 직접 연동 경로 + 펌핑된 트래픽을 노출하는 정직한 DLR
AIT 방어: 발신 측 vs 네트워크 측
| 발신자 측 (브랜드) | 네트워크 측면 (통신사 / 방화벽) | |
|---|---|---|
| OTP 엔드포인트의 처리량 제한(Rate limiting) + CAPTCHA 적용 | — | |
| 지역/속도 + 번호 범위 차단 목록 | ||
| 발송 전 HLR 사전 검증 | — | |
| 방화벽 이상 탐지 + 스로틀링 | — | |
| 통신사 직접 연동 + 투명한 DLR | — | |
| SMS 이외의 경로로 트래픽 전환 (인증기 / 무음 인증) | — |