IP 교환기 전화 사기: 무엇이며 기업을 어떻게 보호할까요

전화 사기란 무엇이며 왜 IP 교환기를 노릴까요

전화 사기(영어로 toll fraud)는 제3자가 여러분의 회선이나 교환기를 이용해 전화를 걸고, 그 요금은 결국 여러분이 내게 되는 것을 말합니다. IP 교환기는 클라우드형 또는 사내 설치형 PBX(사설 교환기)라고도 하며, SIP(세션 개시 프로토콜)를 사용해 인터넷 위에서 동작합니다. SIP는 전화기가 등록하고 통화를 걸 때 쓰는 일종의 「언어」입니다. 덕분에 유연하고 경제적이지만, 설정이 잘못된 시스템을 찾아다니는 사람들의 눈에도 쉽게 띕니다.

결코 작은 문제가 아닙니다. 통신 사기 규모를 측정하는 국제 단체인 Communications Fraud Control Association(CFCA)은 2025년 글로벌 조사에서 업계가 사기로 연간 약 418억 2,000만 달러, 매출의 약 2.46 %를 잃는 것으로 추정했습니다. 같은 보고서는 국제 트래픽을 이용한 사기가 특정 지역을 중심으로 여전히 활발하다고 지적합니다.

가장 흔한 유형

• IRSF(국제 수익 공유 사기): 범죄자는 보통 피해자와 다른 나라에 있는 고요금 국제 번호를 확보하고, 분당 청구되는 요금의 일부를 나눠 받습니다. 그런 다음 남의 교환기에서 그 번호로 수천 통의 전화를 발생시킵니다. Europol과 Trend Micro는 2019년 보고서에서 교환기 해킹이 어떻게 IRSF로 이어지는지 설명합니다.
• Wangiri: 「한 번 울리고 끊기」 정도의 뜻을 가진 일본어입니다. 자동 시스템이 해외 번호로 여러분의 휴대전화를 한 번만 울립니다. 다시 전화를 걸면 높은 요금이 부과되고 그 일부가 사기꾼에게 돌아갑니다. FTC(미국 연방거래위원회)는 간단한 조언으로 정리합니다. 모르는 번호에서 한 번 울리고 끊긴 전화가 오면 다시 걸지 마세요.
• 뚫린 내선과 음성사서함: 「1234」 같은 비밀번호를 쓰는 내선이나 공장 출고 PIN 그대로인 음성사서함은 외부로 전화를 걸 수 있게 해 줍니다. 일단 들어오면 침입자는 여러분의 교환기를 발판으로 삼습니다.
• SIP 계정 탈취: 자동화된 프로그램이 수백만 가지 사용자명과 비밀번호 조합을 시도해 유효한 것을 찾아냅니다. 그 계정으로 공격자는 자신의 「전화기」를 여러분의 계정에 등록하고 마치 직원인 것처럼 전화를 겁니다.

왜 거의 항상 밤이나 주말에 일어날까요

Europol의 2019년 보고서는 이를 분명하게 설명합니다. 교환기를 공격하는 사람들은 공격을 더 오래 지속해 더 많은 돈을 벌기 위해 주로 업무 시간 외에 움직입니다. 금요일 밤이나 연휴는 아무도 교환기를 확인하거나 경보에 응답하지 않는 긴 시간을 줍니다. 그래서 피해가 이런 시간대에 집중되며, 누군가 지켜보고 있지 않아도 보안 통제가 스스로 작동해야 하는 이유입니다.

청구서에는 어떻게 나타날까요

사기는 예고 없이 한꺼번에 나타납니다. 전형적인 모습은 평소보다 몇 배나 많은 국제 통화 사용량이 몇 시간 안에 집중되고, 그 대상이 회사와 아무 관련 없는 국가라는 점입니다. CDR(통화 상세 기록)이라고 부르는 통화 내역을 보면, 사무실이 닫혀 있던 시간에 낯선 국가 번호로 비슷한 길이의 동시 통화가 많이 걸려 있고, 대개 같은 내선이나 트렁크에서 발생한 것을 볼 수 있습니다.

예를 들어: 내선 25개를 쓰는 한 물류 회사가 금요일 오후 6시에 문을 닫습니다. 월요일에 회계팀이 통신사 포털을 열어 보니 몇 달 치 전화 요금에 해당하는 국제 통화 사용량이 찍혀 있습니다. CDR을 확인해 보니 토요일 새벽부터 이미 퇴사한 인턴이 쓰던 내선에서 다른 대륙으로 수백 통의 전화가 걸렸고, 동시에 최대 10통까지 통화가 이루어졌습니다. 그 내선의 비밀번호는 내선 번호와 같았습니다. 아무도 그 내선을 삭제하지 않았고, 교환기에는 사용 한도가 없었으며, 국제 전화는 모든 사용자에게 열려 있었습니다.

주의해서 살펴야 할 경고 신호

• 거래하지 않는 국가로 거는 발신 전화.
• 사무실에 아무도 없는 시간대의 활동.
• 실제 근무 중인 직원 수보다 많은 동시 통화 급증.
• 다른 나라의 IP 주소(인터넷에서 장비의 「주소」)에서 등록되는 내선.
• 교환기 로그에 남은 다수의 등록 실패 기록: 누군가 비밀번호를 시도하고 있다는 뜻입니다.
• 전화를 걸고 있지 않은데 「회선이 통화 중」이라는 사용자 불만.

교환기를 단계별로 보호하는 방법

1. 강력하고 고유한 비밀번호: 모든 내선, 음성사서함, 트렁크에는 길고 무작위적인 비밀번호가 있어야 합니다. 내선 번호나 공장 기본 비밀번호는 절대 사용하지 마세요. Europol은 공격당한 교환기 상당수가 기본 비밀번호나 약한 비밀번호로만 보호되고 있었다고 경고합니다.
2. 사용하지 않는 목적지 차단: 콜롬비아, 에콰도르, 페루로만 전화한다면 나머지 국가는 모두 막으세요. 국제 목적지는 필요한 사람에게만 허용하고, 기본값으로 열어 두지 마세요.
3. 사용 금액 및 동시 통화 한도: 통신사에 국제 통화의 일일 또는 월간 사용 상한과 내선별·트렁크별 최대 채널 수를 요청하세요. 누군가 침입하더라도 피해 규모가 제한됩니다.
4. 시간대 제한: 정말 필요한 사용자를 제외하고 업무 시간 외에는 국제 전화를 제한하세요.
5. 자동 경보: 사용량, 통화 건수, 목적지가 평소 범위를 벗어나면 이메일이나 메시지로 알림이 오도록 설정하세요.
6. 방화벽과 fail2ban: 방화벽은 허가된 네트워크에서만 교환기에 접근할 수 있도록 해야 합니다. Fail2ban은 비밀번호를 연속으로 여러 번 틀린 IP 주소를 자동으로 차단하는 도구입니다. 가장 널리 쓰이는 IP 교환기 소프트웨어 중 하나인 Asterisk의 문서는 접근 목록으로 연결할 수 있는 대상을 제한하고, 관리 인터페이스를 VPN(가상 사설망)으로 보호할 것도 권장합니다.
7. 수신과 발신 분리: 같은 문서는 외부에서 들어오는 전화가 유료 통화 서비스를 절대 사용할 수 없어야 한다고 강조합니다. 자주 발생하는 설정 오류입니다.
8. 업데이트: 교환기, 전화기, 라우터의 소프트웨어를 최신 상태로 유지하세요. 많은 침해 사고가 이미 수정된 결함을 악용합니다.
9. 트렁크와 사용자 점검: 트렁크는 교환기와 통신사를 잇는 연결입니다. 분기마다 어떤 트렁크, 내선, 음성사서함이 있는지 점검하고, 예시의 인턴 내선처럼 더 이상 쓰지 않는 것은 삭제하세요.

교환기가 클라우드에 있다면 이 중 여러 보안 계층이 기본으로 포함되어 있어야 합니다. 19 80 TIC Cloud의 엔지니어 팀은 자체 IP 전화 플랫폼을 직접 운영하고 있어, 한도와 경보가 일상 업무에서 얼마나 중요한지 직접 체감하고 있습니다. 저희 클라우드 PBX가 어떻게 작동하는지 확인하시거나, 필요한 목적지만 허용할 수 있는 국제 전화 옵션을 살펴보세요.

이미 피해를 입었다면 해야 할 일

1. 즉시 트래픽 차단: 국제 전화를 막고 침해된 내선이나 트렁크를 비활성화하세요.
2. 통신사에 연락: 통신사 측에서 해당 목적지를 차단하고 해당 기간의 CDR을 제공해 달라고 요청하세요. 한 시간 한 시간이 중요합니다.
3. 모든 비밀번호 변경: 피해를 입은 것만이 아닙니다. 공격자가 한 번 들어왔다면 다른 문도 열어 두었을 수 있습니다.
4. 증거 보관: 교환기 로그, CDR, 이메일, 화면 캡처를 보관하세요. 신고와 각종 이의 제기에 필요합니다.
5. 신고: 콜롬비아에서는 국가경찰의 Centro Cibernético Policial(사이버 경찰 센터)이나 검찰(Fiscalía)에 신고할 수 있으며, 에콰도르와 페루에서는 각국 당국의 컴퓨터 범죄 전담 부서에 신고할 수 있습니다.
6. 원인 해결: 서비스를 다시 열기 전에 앞 섹션의 조치를 적용해 재발을 막으세요.

교환기 설정 점검을 원하시면 문의 페이지로 연락해 주세요.