KAIST의 Devilray, 시험한 가짜 기지국 탐지기 7종 모두의 사각지대 찾아내

휴대전화 방어 체계를 시험하는 2,592가지 방법

KAIST 연구팀이 가짜 이동통신 기지국이 작동할 수 있는 2,592가지 방식을 재현해 기존 탐지 시스템 7종을 시험했다. 모든 탐지기가 최소 192가지 구성을 놓쳐 감시, 위치 추적, 피싱에 쓰이는 장비를 식별하기 위한 도구의 허점이 드러났다.

KAIST는 2026년 11월 4일 연구 결과를 발표했다. 전기및전자공학부 김용대 교수가 이끈 연구팀은 상용 감시 장비와 선행 연구, 국제 이동통신 표준을 살펴 Devilray라는 테스트 플랫폼을 구축했다. 각 구성이 실제 스마트폰에서 통신 절차대로 작동하는지도 확인했다.

최소 누락 건수는 시험한 2,592가지 구성의 약 7.4%에 해당한다. 핵심 발견은 이 수치에만 그치지 않는다. 익숙한 경고 징후를 중심으로 설계된 탐지기는 메시지 순서를 바꾸거나 눈에 덜 띄는 무선 신호를 이용해 같은 결과를 얻는 공격자를 놓칠 수 있다.

IMSI 캐처, 셀 사이트 시뮬레이터 또는 StingRay라고도 불리는 가짜 기지국은 합법적인 이동통신 기지국을 가장해 주변 휴대전화가 접속하도록 유도한다. 정부는 이를 감시에 활용한다. 범죄자들도 차량에 장비를 싣고 도심을 돌아다니며 은행이나 배송업체를 사칭한 메시지를 보내는 데 이용해 왔다.

휴대전화 이용자는 가입자 식별정보 노출, 위치 추적, 서비스 중단, 통신사의 일반 메시지 경로를 벗어난 사기성 메시지 수신 등의 피해를 볼 수 있다. 통신사와 수사기관은 Devilray를 이용해 고가의 구매 제한 상용 장비를 모두 확보하지 않고도 더 폭넓은 의심 행태를 시험할 수 있다.

익숙한 시험 방식에 허점이 생기는 이유

연구자들은 약 20년 동안 가짜 기지국을 탐지하는 방법을 개발해 왔다. 하지만 상용 감시 장비는 비싸고 구매와 운용에 제한이 따른다. 대학 연구팀은 자체적으로 모방 기지국을 만들고 작동 방식을 관찰한 뒤, 그 관찰 결과를 토대로 탐지기를 설계하는 경우가 많았다.

같은 가정에 기반해 만든 장비로 평가한 탐지기는 좋은 성능을 보이면서도 다른 방식을 놓칠 수 있다. 공격자는 메시지 순서를 바꾸거나 다른 주파수를 선택하고 송신 전력을 낮추면서도 수집하려는 정보를 얻을 수 있다.

연구를 이끈 KAIST 전기및전자공학부 김용대 교수는 문제를 이렇게 설명했다.

탐지 기술은 우리가 이미 알고 있는 공격을 중심으로 만들어졌습니다. 실제 공격자들은 그 자리에 머물지 않습니다. 지금까지는 공격자에게 유리한 판이었습니다.

Devilray는 평가의 출발점을 바꾼다. 특정 모방 기지국 하나를 탐지하는지 묻는 대신, 공격자가 선택할 수 있는 여러 방식을 정리하고 탐지기가 그런 변형을 잡아내는지 시험한다.

이번 연구에는 한국 국가보안기술연구소, 경희대학교, 플로리다대학교, 이동통신사 케이프가 참여했다. 연구진은 법 집행기관과 정보기관에 판매되는 상용 가짜 기지국을 분석한 첫 학술 연구라고 설명했다.

LTE에서 가장이 가능한 이유

흔히 4G 이동통신과 연관되는 LTE 기술에서는 휴대전화가 네트워크의 신원을 확인하기 전에 일부 네트워크 메시지에 반응할 수 있다. 초기 접속 과정에서 모방 기지국은 이 틈을 이용해 휴대전화의 다음 동작에 영향을 줄 수 있다.

가짜 기지국은 이동통신 가입자를 특정 인물과 연결할 수 있는 정보인 영구 가입자 식별정보를 요청할 수 있다. 전자프런티어재단(EFF)의 Rayhunter 탐지기는 이런 요청을 감시한다. 또 다른 절차에서는 거부 메시지를 이용해 휴대전화가 다시 접속하도록 유도하고, 같은 직접 요청 없이 식별정보를 공개하게 할 수 있다.

따라서 직접 요청만 감시하는 탐지기는 같은 정보를 얻는 또 다른 경로를 놓칠 수 있다. 이 취약점은 LTE 표준이 허용하는 절차에서 비롯돼 특정 휴대전화 모델이나 제조사 소프트웨어의 오류보다 더 폭넓은 문제다.

LTE는 5G 휴대전화 이용자에게도 여전히 중요하다. 많은 5G 네트워크가 여전히 LTE에 의존하며, 5G 통신이 불가능하거나 공격자가 전환을 유도하면 휴대전화가 LTE로 되돌아갈 수 있다. 5G 지원 휴대전화를 구매해도 LTE 접속 과정에서의 노출이 사라지지는 않는다.

현실적인 공격 유형 범위 구축

연구팀이 살펴본 상용 장비는 합법적인 기지국의 신원을 복제하고, 주파수를 바꾸며, 두 네트워크를 동시에 운용할 수 있었다. 송신 전력을 낮춰 몇 미터 범위만 커버하는 기능도 있었다. 의심스러운 기지국이 비정상적으로 강한 신호를 보낼 것으로 예상하는 탐지기를 시험할 때 중요한 능력이다.

연구진은 이런 관찰 결과를 선행 연구 및 국제 이동통신 표준을 개발하는 협력체 3GPP의 규격과 결합했다. 기지국 운용을 주변 네트워크 탐색, 가짜 셀 가동, 휴대전화 접속 유도, 공격 실행의 네 단계로 나눴다.

연구팀은 이 단계들에서 공격자가 바꿀 수 있는 일곱 가지 요소를 확인했다. 모든 선택지를 단순히 조합하면 실제 통신에서 함께 작동할 수 없는 조합도 생기므로, 연구진은 21가지 종속성 규칙을 적용해 양립할 수 없는 조합을 제외했다.

그 결과 2,592가지 구성이 만들어졌다. 각각 실제 스마트폰으로 시험해 표준과 상용 장비를 바탕으로 한 평가에 현실적인 검증을 더했다. 이 수치는 연구팀이 구성한 시험 범위를 의미하며, 실제 공격에서 해당 구성들이 얼마나 자주 나타나는지는 연구에 집계돼 있지 않다.

방어 측면에서는 반복 가능한 시험이 중요하다. 소프트웨어를 변경한 뒤에도 탐지기를 다시 평가할 수 있기 때문이다. 개발자는 같은 운용 조건에서 업데이트가 이전에 놓친 행태를 포착하는지, 다른 부분에 문제를 일으키지는 않는지 확인할 수 있다.

작은 변화만으로도 경고 징후를 피할 수 있어

평가 대상 시스템 7종은 시그널링 메시지, 기지국이 방송하는 정보, 무선 신호, 통계적 패턴, 머신러닝 등 여러 종류의 증거를 사용했다. 모든 시스템에 사각지대가 있었으며, 대체로 설계자가 선택한 특정 단서와 관련돼 있었다.

메시지를 탐지하는 시스템은 다른 교환 절차를 통해 식별정보를 수집하는 방식을 놓칠 수 있었다. 과도하게 강한 신호를 찾는 탐지기는 상용 장비가 저전력으로 작동할 때 이를 놓칠 수 있었다. 좁은 범위만 감시하는 근거리 공격자는 동네 전체에 신호를 보낼 이유가 거의 없다.

통계 기반 탐지기에는 또 다른 문제가 있었다. 휴대전화가 식별정보를 공개하도록 요청받는 빈도를 감시했지만, 공격자는 식별정보를 천천히 수집하고 주변 휴대전화 일부에만 접근할 수 있었다. 그 결과 발생하는 패턴은 감시 요청이 뚜렷하게 몰리는 상황이 아니라 버스터미널의 평범한 활동처럼 보일 수 있다.

이런 사례는 가짜 기지국을 찾아내는 일이 의심스러운 메시지 목록을 만드는 것보다 복잡한 이유를 보여준다. 공격자는 합법적인 네트워크에서도 나타나는 행태와 비슷한 수준을 유지하면서 시간, 전력, 통신 절차를 조정할 수 있다.

탐지율 개선과 함께 늘어난 오경보

연구팀은 머신러닝이 이런 허점을 메울 수 있는지도 조사했다. 이전에 놓쳤던 공격 사례를 이용해 탐지기를 다시 학습시킨 뒤, 일반적인 통신사 트래픽에서 탐지 성공률과 오경보율을 모두 측정했다.

무선 자원 제어(RRC) 메시지를 분석하는 모델의 탐지율은 51%에서 96%로 올랐다. RRC 메시지는 휴대전화와 네트워크 사이의 무선 연결을 관리하는 데 쓰인다. 오경보율도 1.4%에서 5.3%로 증가해 이전보다 거의 네 배 높아졌다.

비접속 계층(NAS) 메시지를 분석하는 모델의 탐지율은 27%에서 63%로 올랐다. NAS 시그널링은 휴대전화와 이동통신 코어 네트워크 사이의 등록 및 이동성 관리 등을 처리한다. 오경보율은 4.7%에서 8.8%로 상승했다. 가장 어려운 조건에서는 NAS 모델의 오경보율이 15%에 달했다.

쉽게 말해 오경보율 5.3%는 해당 시험 조건에서 정상 사례 1,000건을 평가할 때 약 53건의 경고가 발생한다는 뜻이다. 오경보율이 1.4%일 때는 약 14건이다. 그만큼 사람이나 시스템이 조사해야 할 정상 활동이 늘어난다.

RRC 탐지기의 탐지율은 45%포인트, NAS 탐지기는 36%포인트 개선됐다. 두 개선 모두 오경보 증가를 동반했다. 따라서 연구진은 사용자가 일상적인 운용 환경에서 더 넓은 공격을 탐지하는 일이 현실적인지 판단할 수 있도록 탐지율과 오경보율을 함께 제시해야 한다고 주장한다.

한국의 경험이 연구의 시급성을 보여줘

한국에서는 불법 이동통신 장비와 관련된 금전 피해가 이미 발생했다. 2025년 8월 알려진 KT 관련 사건을 조사한 정부는 무단 소액결제로 피해자 368명과 약 2억 원의 피해가 발생했다고 집계했다.

이 사건에는 불법 펨토셀이 사용됐다. 펨토셀은 일반적으로 이동통신망의 통신 범위를 넓히거나 트래픽을 분산하기 위해 사용하는 소형 기지국이다. 당시 공격자들은 위조 장비로 이용자 정보를 가로채 무단 결제를 가능하게 했다.

김 교수는 4월 8일 .HACK Conference 2026에서 이동통신망 시험에 관해 발표했다. 연구실은 휴대전화와 기지국 사이에 오가는 무선 메시지를 수신하는 장치인 LTE 스니퍼를 개발했다. 연구진은 암호화되지 않은 정보가 기기의 물리적 위치를 추적하는 데 활용될 수 있음을 확인했다.

식별정보나 접속 정보 같은 메타데이터는 메시지나 대화의 내용이 아니라 통신에 관한 정보를 말한다. 메시지 내용이 암호화돼 있더라도 노출된 접속 정보는 기기와 이동 경로에 관한 유용한 단서를 드러낼 수 있다.

연구실은 가짜 긴급 알림과 관련된 실험도 진행했으며, Devilray를 이용해 SMS 블래스터 공격과 기기의 인터넷 연결을 끊는 SigOver 공격을 재현했다. 이 시연은 기만성 메시지 발송부터 휴대전화 연결 방해까지 연구진이 시험하려는 결과의 범위를 보여준다.

민간 5G 네트워크도 점검 대상

김 교수는 4월 발표에서 특정 기관이나 산업 현장을 위해 구축된 민간 5G 네트워크까지 문제를 확장했다. 국방 시설, 산업 단지, 의료기관 등이 이런 네트워크를 이용하는 만큼 기기 및 위치 정보의 보안은 실질적으로 중요하다.

그는 장비 소프트웨어의 취약점과 이동통신 절차의 약점이 결합하면 정보 가로채기나 악성 소프트웨어 유포 경로가 생길 수 있다고 경고했다. 기기의 셀룰러 무선통신을 처리하는 하드웨어와 소프트웨어인 베이스밴드 구성요소에 대한 우려도 제기했다.

연구실은 스니퍼의 5G 버전을 개발 중이며, 4월 발표 당시 완성도가 약 90%라고 밝혔다. 김 교수는 노출된 메타데이터를 통해 관찰자가 시설 내부 기기의 존재와 위치를 추론할 수 있다는 우려도 제기했다.

Devilray를 이용한 탐지기 평가는 LTE에 초점을 맞췄다. 5G 관련 연구는 더 새로운 네트워크를 살펴보는 동시에, 여전히 모바일 트래픽을 처리하고 많은 5G 구축을 뒷받침하는 기술에도 대응하려는 연구실의 노력을 보여준다.

통제된 접근과 향후 공개 발표

연구팀은 공격 행태를 재현하는 기능이 악용될 수 있어 검증을 거친 연구자와 기관에만 통제된 방식으로 Devilray 사용을 허용한다. 잠재적 이용자는 더 다양한 장비 동작에 대비해 방어 체계를 시험해야 하는 통신사, 수사기관, 개발자다.

연구팀은 Rayhunter가 놓친 공격 사례를 전자프런티어재단과 공유했으며, 재단은 이를 탐지할 방법을 연구하고 있다. 세계이동통신사업자협회(GSMA)도 연구진을 초청해 Fraud and Security Group에 Devilray를 소개하도록 했다. 이 자리에서는 업계 및 표준 관계자들이 탐지 방안을 논의했다.

연구는 arXiv에 공개됐고 ACSAC 2026 발표 논문으로 채택돼 12월 7일부터 11일까지 로스앤젤레스에서 발표될 예정이다. 주요 공개 일정은 다음과 같다.

• 2026년 4월 8일: 김 교수가 .HACK Conference 2026에서 연구실의 이동통신망 시험 프레임워크를 발표했다.
• 2026년 11월 4일: KAIST가 Devilray와 탐지 시스템 7종 평가 결과를 발표했다.
• 2026년 12월 7~11일: 로스앤젤레스에서 열리는 ACSAC 2026에서 연구 결과를 발표할 예정이다.

김 교수 연구팀은 휴대전화, 통신사 네트워크, 독립형 무선 스니퍼의 관찰 결과를 결합해 가짜 기지국을 탐지하고 위치를 파악하는 탐지기도 개발 중이다. 단일 경고 징후에 의존하는 대신 여러 관측 지점의 정보를 결합하는 방식이다.

김 교수는 테스트 플랫폼의 목적을 이렇게 설명했다.

Devilray는 기존 탐지기를 무력화하려는 것이 아닙니다. 방어자에게 공격자들이 이미 가진 선택지를 제공해 공격과 방어가 마침내 함께 발전할 수 있도록 합니다.

핵심 내용

• Devilray는 가짜 기지국 구성 2,592가지를 재현하며, 각 구성을 실제 스마트폰으로 확인했다.
• 평가 대상 탐지기 7종 모두 최소 192가지 구성을 놓쳤다. 시험 집합의 약 7.4%에 해당한다.
• 공격자는 메시지, 신호 전력, 정보 수집 패턴을 바꿔 익숙한 경고 징후를 피할 수 있다.
• 머신러닝 모델 2종을 재학습시키자 탐지율은 높아졌지만 정상 트래픽에 대한 오경보도 늘었다.
• Devilray 사용은 검증된 이용자로 제한되며, 연구 결과는 12월 ACSAC 2026에서 발표될 예정이다.