[정보통신신문=박남수기자]

스마트폰의 개인정보를 노리는 가짜 기지국 공격에 대응하기 위해 다양한 공격 수법을 재현하고 탐지 기술의 취약점을 검증할 수 있는 연구 플랫폼이 개발됐다. 공격자가 통신 메시지와 절차를 바꾸더라도 탐지 기술이 이를 찾아낼 수 있는지 시험할 수 있어 이동통신 보안 강화에 활용될 전망이다.

KAIST는 전기및전자공학부 김용대 교수 연구팀이 국가보안기술연구소, 경희대학교, 미국 플로리다대학교, 케이프와 공동으로 가짜 기지국 시험 플랫폼 '데빌레이(Devilray)'를 개발했다고 4일 밝혔다.

가짜 기지국은 정상 이동통신 기지국처럼 위장해 주변 스마트폰의 접속을 유도하는 장비다. 단말 식별정보 수집과 위치 추적, 통신 방해 등에 악용될 수 있다. 최근에는 차량 등에 장비를 싣고 다니며 금융기관이나 배송업체를 사칭한 문자를 발송하는 'SMS 블라스터(SMS Blaster)' 범죄도 발생하고 있다.

기존에는 다양한 상용 가짜 기지국 장비를 확보하기 어렵고 구매·운용에도 제약이 있어 탐지 기술을 충분히 검증하기 힘들었다. 공격자는 같은 목적을 달성하면서도 메시지와 통신 절차를 바꿀 수 있어 일부 공격 방식만으로 시험한 탐지 기술에는 사각지대가 발생할 수 있다.

연구팀은 실제 상용 장비의 동작과 기존 연구, 국제 이동통신 표준인 3GPP 규격을 분석해 가짜 기지국의 동작을 네 단계로 구분하고, 공격자가 변경할 수 있는 7개 핵심 요소를 도출했다. 여기에 통신 절차상 불가능한 조합을 걸러내는 21개 규칙을 적용해 총 2592가지 동작 구성을 구현했다.

이는 실제 공격 발생 건수나 탐지 우회 횟수가 아니라 플랫폼에서 재현할 수 있는 동작 방식의 수다. 연구팀은 모든 구성을 실제 스마트폰과 연결해 통신 절차가 정상적으로 수행되는지 확인했다.

데빌레이를 활용해 기존 가짜 기지국 탐지 시스템 7종을 평가한 결과, 각 시스템이 최소 192개의 동작 구성을 탐지하지 못하는 것으로 나타났다. 특정 메시지를 공격 단서로 삼는 탐지기는 다른 절차를 이용한 공격을 놓쳤으며, 정상 통신과 유사한 행동을 구별하지 못하는 사례도 확인됐다.

머신러닝 기반 탐지기에 놓쳤던 공격 사례를 추가 학습시킨 경우 탐지율은 높아졌지만 정상 통신을 공격으로 잘못 판단하는 오탐도 증가했다. 탐지 성능을 높이려면 공격 탐지율뿐 아니라 정상 통신을 정확히 구분하는 능력도 함께 검증해야 한다는 의미다.

연구팀은 전자프런티어재단(EFF)의 가짜 기지국 탐지 도구 '레이헌터(Rayhunter)'가 놓치는 공격 사례를 제공했으며, EFF는 이를 탐지할 새로운 방법을 연구하고 있다. 세계이동통신사업자협회(GSMA) 산하 사기 방지 및 보안 워킹그룹에서도 연구 결과를 발표하고 향후 탐지 기술 발전 방향을 논의했다.

김용대 교수는 데빌레이가 공격자의 다양한 행동을 방어자도 시험할 수 있도록 해 공격과 방어 기술이 함께 발전하는 연구 기반을 제공한다고 설명했다. 이동통신사와 정보·수사기관도 모든 상용 장비를 직접 확보하지 않고 다양한 공격 조건에서 탐지 기술을 검증할 수 있을 것으로 기대된다.

이번 연구 결과는 국제 정보보안 학술대회 'IEEE 컴퓨터 보안 응용 학술대회(ACSAC 2026)'에 채택됐으며, 오는 12월 미국 로스앤젤레스에서 발표될 예정이다.