전직 AT&T 직원이 회사 내부망 접근 권한을 악용해 고객들의 휴대전화 번호를 해커들이 통제하는 기기로 몰래 옮겨주는 이른바 ‘SIM 스와핑’ 범죄에 가담한 혐의로 연방교도소형을 선고받았다.
연방 검찰에 따르면 오리건주 포틀랜드에 거주하는 케네스 카터(44)는 고객들의 휴대전화 번호를 해커들에게 넘겨 은행 계좌에 접근하도록 도운 혐의로 지난 8일 연방법원에서 징역 16개월을 선고받았다. 법원은 또 피해액 9만9,528달러를 배상하도록 명령했다.
SIM 스와핑은 이동통신사 시스템을 이용해 피해자의 휴대전화 번호를 범죄자가 통제하는 SIM 카드나 기기로 옮기는 수법이다.
전화번호가 범죄자에게 넘어가면 피해자에게 전송되는 은행 계좌 비밀번호 재설정 문자나 2단계 인증 코드까지 가로챌 수 있어 온라인 금융계좌 탈취로 이어질 수 있다.
연방 검찰에 따르면 카터는 2018년 5월부터 2019년 11월까지 포틀랜드의 AT&T 매장에서 근무하면서 공범들이 전달한 고객 이름과 휴대전화 번호 등 개인정보를 이용해 불법 SIM 변경 작업을 해줬다.
공범들은 온라인으로 은행 계좌에 접근할 수 있는 피해자를 미리 골라 개인정보와 전화번호를 확보한 뒤 이를 카터에게 전달했다.
카터는 AT&T 직원 권한을 이용해 피해자의 전화번호를 공범들이 통제하는 휴대전화로 옮겼다.
이후 은행이 피해자에게 보내는 비밀번호 재설정 정보와 2단계 인증 코드가 범죄자들의 휴대전화로 전달되면 공범들이 이를 이용해 피해자 은행 계좌에 접속해 돈을 해외 계좌로 송금하는 방식이었다.
카터는 SIM 스와핑 한 건당 통상 1,000~2,000달러를 대가로 받은 것으로 조사됐다.
특히 불법 SIM 스와핑 가운데 최소 한 건은 캘리포니아주 랭커스터의 AT&T 매장에서 이뤄진 것으로 확인됐다.
검찰이 확인한 피해자는 최소 3명으로, 이들의 은행 계좌에서 빼돌리려 한 돈은 모두 59만3,963달러에 달했다.
이 가운데 한 피해자의 계좌에서는 실제로 9만9,528달러가 빠져나가 포르투갈에 있는 공범 명의 은행 계좌로 송금됐다.
다른 송금 시도들은 은행들의 사기 방지 시스템에 포착돼 해외 송금 직전 차단되면서 추가 피해를 막을 수 있었다고 검찰은 밝혔다.
연방 수사당국은 2019년 11월 오리건주에 있는 카터의 자택을 수색해 피해자들의 휴대전화 번호와 이름, 소셜시큐리티번호 등 개인정보를 확보했다.
카터는 확인된 피해자 3명 외에도 다른 AT&T 고객들을 대상으로 SIM 스와핑을 해줬다고 인정했다.
AT&T는 2019년 카터를 해고했다.
카터는 지난 3월 24일 전신사기 및 은행사기 공모 혐의 1건에 대해 유죄를 인정했다.
검찰은 카터가 회사가 부여한 내부망 접근 권한과 고객들의 신뢰를 범죄자들에게 사실상 판매했다며, 내부 직원의 협조가 대규모 금융사기로 이어진 사건이라고 지적했다.
이번 사건은 연방예금보험공사 감사관실(FDIC-OIG)과 연방수사국(FBI), 국세청 범죄수사국(IRS-CI)이 공동 수사했으며, 연방 캘리포니아 중부지검이 기소했다.
박성철 기자(sungparkknews@gmail.com)
