가짜 인증문자 폭탄에 수십억 날릴 뻔…카카오의 별별 어뷰징 대처법

[이데일리 김현아 기자] 아프리카 콩고민주공화국에서 일주일 동안 카카오톡 가입 요청이 23만건 넘게 쏟아졌다. 분당 50건이 넘는 요청이 몰렸지만 실제 가입을 마친 이용자는 100명도 되지 않았다. 카카오는 요청의 약 85%를 차단했지만, 나머지 15%가 통과하면서 약 1000만원의 인증 문자 비용이 발생했다.

카카오톡의 인기가 급증해 벌어진 일이 아니었다. 인증 문자를 대량으로 발생시켜 서비스 사업자에게 비용을 떠넘기는 ‘SMS 펌핑’ 공격이었다. 카카오는 인증 방식을 바꿔 문자 발송량을 줄였고, 공격 시도 자체를 억제하는 효과도 거뒀다.

카카오(035720)는 14일 개발자 행사 ‘if(kakao)2026’에서 카카오톡을 겨냥한 어뷰징의 작동 방식과 대응 사례를 공개했다. 박종훈 카카오 안티어뷰징 조직 발표자는 “어뷰저들이 대단한 보안 취약점을 발견하거나 API(응용프로그램인터페이스)를 해킹한 것이 아니다”며 “단순히 인증 문자 요청을 많이 했을 뿐”이라고 설명했다.

출처=카카오

문자 한 통이 수익으로…국제 통신망 악용한 ‘SMS 펌핑’

SMS 펌핑은 가짜 인증 요청을 대량으로 발생시켜 문자 발송 과정에서 수익을 얻는 수법이다.

카카오톡, X, 텔레그램 같은 서비스가 해외 이용자에게 인증 문자를 보내려면 여러 중개 사업자와 현지 통신사를 거쳐야 한다. 이 과정에서 문자 발송량에 따라 수익이 발생하는 구조를 악용해 어뷰저들이 대량의 가짜 인증 요청을 보내고, 일부 사업자와 수익을 나누는 방식이다.

한은경 카카오 안티어뷰징 조직 발표자는 국제 통신망의 복잡한 수익 구조를 원인으로 지목했다. 그는 “이 회사들의 공통점은 문자가 많이 발생하면 많이 발생할수록 돈을 많이 번다는 점”이라고 말했다. 일부 계약에서는 실제 문자 수신 여부와 별개로 발송 요청이나 망 접수를 기준으로 비용이 발생할 수 있어, 인증 요청 자체가 수익으로 이어질 여지가 있다는 설명이다.

특히 아프리카나 러시아 등 일부 국가에서는 문자 발송 단가가 건당 600~1000원에 달한다. 국내 발송 단가가 10원 미만인 것과 비교하면 최대 100배가량 비싸 공격 대상이 되기 쉽다.

카카오는 콩고에서 발생한 요청의 약 85%를 차단했지만, 나머지 약 3만건이 통과하면서 일주일 만에 약 1000만원의 문자 비용을 부담했다. 박 발표자는 어뷰저들이 여러 국가를 동시에 공격한다며 “제대로 방어하지 못하면 하루에 인증 비용 2억~3억원 정도는 아주 손쉽게 나갈 수 있다”고 설명했다. 콩고 사례의 실제 비용을 넘어 여러 국가에서 공격이 확대될 경우 발생할 수 있는 잠재적 손실을 경고한 것이다.

출처=카카오

무조건 차단하면 정상 이용자도 피해

의심스러운 해외 요청을 모두 차단하면 비용 누수를 막을 수 있지만, 정상 이용자의 가입까지 가로막을 수 있다. 반대로 차단 기준을 느슨하게 잡으면 어뷰저가 방어망을 통과해 비용이 발생한다.

전화번호 인증 단계에서는 이용자의 과거 이력이 부족해 정상 이용자와 어뷰저를 구분하기 어렵다. 어뷰저들은 IP 주소와 기기 설정 등을 바꿔 정상 이용자와 비슷한 패턴으로 요청하기도 한다.

특히 정상 이용자를 어뷰저로 잘못 판단하는 ‘오탐’은 서비스 이용 기회 자체를 차단한다는 점에서 부담이 크다. 카카오가 의심스러운 요청을 모두 막기 어려웠던 이유다. 콩고에서 요청의 85%를 차단하고도 나머지 15%로 비용이 발생한 것은 이 같은 방어의 한계를 보여준다.

출처=카카오

이용자가 직접 문자 보내자…공격 수익 줄었다

카카오가 선택한 해법은 ‘MO(Mobile Originated) 인증’이다. 인증 문자를 서비스가 보내는 대신 이용자가 직접 발송하도록 인증 방식을 바꿨다.

기존에는 카카오톡이 이용자에게 인증번호를 보내면 이용자가 해당 코드를 입력했다. MO 인증에서는 인증 버튼을 누르면 문자 앱으로 전환되고, 이용자가 정해진 문자를 보내면 인증이 완료된다.

카카오는 어뷰징 가능성에 따라 인증 방식을 달리 적용했다. 어뷰저일 가능성이 매우 높으면 요청을 차단하고, 가능성이 낮으면 기존 인증을 유지한다. 정상 이용자인지 어뷰저인지 판단하기 어려운 요청에는 일괄 차단 대신 MO 인증을 적용했다.

박 발표자가 소개한 예시에서는 어뷰저일 확률이 99%에 가까운 요청은 차단하고, 1% 수준으로 낮은 요청은 기존 인증을 유지했다. 판단이 어려운 50% 수준의 요청에는 MO 인증을 적용했다.

정상 이용자는 다소 번거롭더라도 직접 문자를 보내 가입할 수 있다. 반면 대량의 인증 문자를 발생시켜 수익을 얻으려는 어뷰저는 기존 방식으로 공격을 반복하기 어려워진다. 정상 이용자의 가입 기회를 지키면서 어뷰저의 수익 통로를 차단하는 방식이다.

출처=카카오

15개월 만에 문자 발송량 81% 감소

효과는 문자 발송량 감소로 나타났다. 카카오 발표에 따르면 MO 인증 적용 15개월 후 전체 문자 발송량은 최고점 대비 81% 줄었다. 기존 발송량의 약 5분의 1 수준으로 감소한 것이다.

박 발표자는 “저희가 생각했던 것보다 훨씬 많이 줄었다”며 “애초에 인지하고 있었던 어뷰징 범위보다 훨씬 많은 어뷰징이 있었던 것”이라고 말했다.

시간이 지나면서 문자 발송량은 추가로 감소했다. 판단이 어려운 요청까지 대체 인증으로 전환하자 기존 방식으로 얻을 수 있는 수익이 줄었고, 이에 따라 공격 시도 자체도 감소했다는 설명이다.

공격이 줄면서 부정 요청을 식별하기도 쉬워졌다. 공격을 걸러내면 공격 시도가 줄고, 다시 방어가 수월해지는 선순환이 만들어진 것이다.

SMS 펌핑은 카카오톡만의 문제가 아니다. 왓츠앱·텔레그램·위챗·엑스(X) 등 전화번호 인증을 제공하는 글로벌 서비스도 표적이 될 수 있다.

실제로 2022년 일론 머스크는 “해외 통신사들이 봇(Bot)으로 인증 문자를 반복 발생시켜 트위터가 북미 외 지역에서 연간 6000만 달러의 손실을 보고 있다”고 꼬집기도 했다. 이처럼 각 서비스마다 캡차를 적용하거나 유료 멤버십, 대체 인증 수단을 활용하는 등 어뷰징 대응에 사활을 걸고 있다.

카카오의 대응은 어뷰저를 찾아 차단하는 데 그치지 않고, 공격으로 수익을 얻기 어려운 구조를 만들었다는 데 의미가 있다. 정상 이용자의 가입 기회를 보장하면서 인증 비용 누수를 줄이고, 공격 유인까지 낮춘 사례다.