SMS 인증 보안 취약점의 배신: 175개 서비스가 당신의 정보를 노출하고 있다

편리함이 독이 되었습니다. 비밀번호 없는 로그인을 위해 전송되는 문자메시지(SMS) 링크가 오히려 수백만 명의 개인정보를 위협하는 통로가 되고 있다는 사실이 밝혀졌습니다.

SMS 인증 보안 취약점 실태와 위험성

최근 발표된 연구 보고서에 따르면, 사용자 편의를 위해 아이디와 비밀번호 대신 휴대폰 번호로 전송된 링크나 코드를 사용하는 인증 시스템에서 심각한 결함이 발견되었습니다. 보험 견적, 구인 구직, 펫시터 매칭 등 다양한 분야의 서비스들이 이 방식을 채택하고 있지만, 정작 보안은 허술한 것으로 나타났습니다.

누구나 추측 가능한 로그인 링크

가장 큰 문제는 '열거 가능성(Enumeration)'입니다. 많은 서비스가 사용하는 URL 끝에 붙는 보안 토큰이 너무 단순해, 공격자가 숫자나 문자를 순차적으로 변경하는 것만으로도 다른 사용자의 계정에 접속할 수 있었습니다. 예를 들어 토큰 123을 124로 바꾸기만 해도 타인의 보험 신청서나 개인 인적 사항을 들여다볼 수 있는 구조입니다.