스마트폰을 정상 이동통신망인 것처럼 속여 개인정보를 빼내거나 피싱 문자를 보내는 ‘가짜 기지국’에 대응할 새로운 연구 기반이 마련됐다.

국내 연구진이 가짜 기지국의 동작을 2,592가지로 재현하고 기존 탐지 기술의 취약점을 검증할 수 있는 플랫폼을 개발했다.

공격 수법이 달라져도 탐지 기술이 제대로 작동하는지 폭넓게 시험할 수 있다는 점에서 통신 보안 역량 강화에 기여할 것으로 기대된다.

KAIST는 전기및전자공학부 김용대 교수 연구팀이 국가보안기술연구소, 경희대학교, 미국 플로리다대학교, 케이프(Cape)와 공동으로 가짜 기지국 시험 플랫폼 ‘데빌레이(Devilray)’를 개발했다고 4일 밝혔다.

가짜 기지국은 정상적인 이동통신 기지국처럼 신호를 송출해 주변 스마트폰이 연결하도록 유도하는 장비다.

이를 통해 휴대전화 식별 정보를 수집하거나 이용자의 위치를 추적하고 통신을 방해할 수 있다.

최근에는 차량 등에 장비를 탑재해 금융기관이나 배송업체를 사칭한 피싱 문자를 직접 발송하는 ‘SMS 블라스터(SMS Blaster)’ 범죄도 세계 각국에서 발생하고 있다.

문제는 공격 수법이 계속 변하는 반면 탐지 기술을 검증할 수 있는 환경은 제한적이라는 점이다.

상용 가짜 기지국 장비는 가격이 비싸고 구매와 운용에도 제약이 따른다.

대학 연구진은 물론 이동통신사와 정보·수사기관도 다양한 장비와 변종 공격을 모두 확보해 시험하기 어렵다.

공격자는 같은 목적을 달성하기 위해 통신 메시지나 절차를 바꿀 수 있다.

기존에 알려진 몇 가지 공격 방식만을 기준으로 탐지 기술을 개발하면 새로운 변형 공격을 놓칠 가능성이 커지는 이유다.

연구팀은 이 같은 한계를 해결하기 위해 실제 상용 가짜 기지국의 동작과 기존 연구 사례, 국제 이동통신 표준인 3GPP 규격을 종합적으로 분석했다.

이를 바탕으로 공격 과정을 통신망 탐색, 가짜 기지국 신호 송출, 스마트폰 연결 유도, 공격 수행 등 네 단계로 구분하고, 공격자가 변경할 수 있는 동작을 7개 핵심 요소로 체계화했다.

여기에 실제 통신 절차상 함께 사용될 수 없는 조합을 제외하는 21개 규칙을 적용해 총 2,592개의 동작 구성을 구현했다.

연구진은 각 구성을 실제 스마트폰과 연결해 통신 절차가 정상적으로 수행되는지도 검증했다.

이 수치는 실제 발생한 공격 건수나 탐지 우회 횟수가 아니라 플랫폼이 재현할 수 있는 공격 동작의 종류를 뜻한다.

연구팀은 데빌레이를 이용해 통신 메시지와 기지국 정보, 무선 신호, 통계적 특성, 머신러닝 등 서로 다른 탐지 원리를 적용한 기존 시스템 7종을 평가했다.

그 결과 각 시스템이 최소 192개의 동작 구성을 탐지하지 못하는 것으로 나타났다.

탐지 실패 원인은 크게 두 가지였다.

특정 통신 메시지를 공격 징후로 활용하는 시스템은 메시지와 절차를 바꾼 변형 공격에 취약했다.

공격자의 행동이 정상적인 통신망 동작과 유사한 경우에도 공격 여부를 구별하기 어려웠다.

탐지 기준을 강화하는 것만으로는 문제를 해결하기 어렵다는 사실도 확인됐다.

연구팀이 머신러닝 기반 탐지기에 기존에 놓친 공격 사례를 추가 학습시키자 탐지율은 높아졌지만, 정상적인 통신을 공격으로 잘못 판단하는 오탐도 함께 증가했다.

공격 탐지 성능뿐 아니라 정상 통신을 정확히 구별하는 능력까지 함께 평가해야 한다는 점을 보여준 결과다.

데빌레이는 연구자가 제한된 수의 상용 장비에 의존하지 않고 다양한 공격 조건을 반복적으로 시험할 수 있도록 설계됐다.

새로운 공격 방식이 등장하면 이를 플랫폼에 반영하고, 개선된 탐지 기술을 동일한 조건에서 다시 검증할 수 있다.

이동통신사와 정보·수사기관 역시 모든 상용 장비를 직접 확보하지 않고도 여러 공격 상황을 재현해 방어 기술을 점검할 수 있을 것으로 기대된다.

연구팀은 실제 보안 생태계와의 협력도 진행하고 있다.

전자프런티어재단(EFF)의 가짜 기지국 탐지 도구인 ‘레이헌터(Rayhunter)’가 탐지하지 못한 공격 사례를 EFF에 전달했으며, EFF는 이를 보완할 탐지 방법을 연구하고 있다.

세계이동통신사업자협회(GSMA)의 사기 방지 및 보안 워킹그룹(FASG) 회의에도 초청돼 데빌레이를 소개하고 국제 표준·산업 관계자들과 가짜 기지국 대응 방안을 논의했다.

김용대 교수는 “가짜 기지국 공격과 탐지는 본질적으로 공격자와 방어자가 서로 발전하는 경쟁 관계여야 하지만, 지금까지는 공격자에게 유리한 ‘기울어진 운동장’이었다”며 “데빌레이의 목적은 기존 탐지기를 무력화하는 것이 아니라, 공격자가 선택할 수 있는 다양한 행동을 방어자에게도 제공해 공격과 방어가 함께 발전할 수 있는 연구 기반을 만드는 것”이라고 말했다.

이번 연구 결과는 국제 정보보안 학술대회인 ‘IEEE 연례 컴퓨터 보안 응용 학술대회(ACSAC 2026)’에 채택됐다. 오는 12월 7일부터 11일까지 미국 로스앤젤레스에서 열리는 학회에서 발표될 예정이다.

이번 성과는 가짜 기지국 방어의 초점을 개별 공격을 차단하는 데서 다양한 변형 공격을 사전에 재현하고 검증하는 체계로 확장했다는 데 의미가 있다.

특히 탐지율을 높이는 과정에서 오탐이 증가할 수 있다는 점까지 확인한 만큼, 향후 통신 보안 기술은 공격 식별 능력과 정상 서비스의 안정성을 함께 확보하는 방향으로 발전해야 할 것으로 보인다.

고수연 기자 다른기사 보기