지갑과 보안
심스와핑
휴대폰 번호를 제3자에게 이전시켜 문자 인증을 뚫는 공격. 문자를 2FA로 쓰는 계정이 표적이 됩니다.
심스와핑은 공격자가 본인을 사칭해 통신사에 번호 이전을 신청하고, 문자를 자기 기기로 받게 만드는 수법입니다. 성공하면 인증 코드와 비밀번호 재설정 링크를 공격자가 받게 되므로, 문자 기반 2FA는 방어가 되지 않습니다.
준비 단계에서 쓰이는 것은 SNS 게시물과 유출 데이터입니다. 이름, 생년월일, 전화번호, 자주 쓰는 이메일이 모이면 창구 본인 확인을 뚫기 쉬워집니다. 가상자산 보유를 SNS에서 구체적으로 이야기하는 것은 그대로 표적 명단 작성에 협조하는 행위가 됩니다.
대책은 세 가지입니다. ①거래소 2FA를 문자에서 인증 앱이나 보안 키로 바꾼다, ②통신사 계약에 번호도용 방지나 본인 확인 강화 설정을 넣는다, ③거래소용 이메일을 SNS·일상 연락에 쓰지 않는 것으로 분리한다. 갑자기 통화가 되지 않는 상태가 되면 심스와핑 진행을 의심하고 즉시 거래소 출금을 정지하세요.