회사 전화 보안 문제 대부분은 영화 속 해킹이 아니에요. 관리자 페이지에서 재사용한 비밀번호, 여전히 0000인 음성사서함 PIN, 속아서 번호를 다른 SIM으로 옮긴 통신사 직원, 회사 번호를 표시하며 고객에게 전화하는 사기범이에요. 모두 예방할 수 있고 대부분의 조치는 오후 한나절이면 돼요.
이 가이드는 중소기업의 VoIP와 이동통신 회선에 실제로 발생하는 위협, 징후, 대응 방법을 다뤄요. 마지막에는 체크리스트와 전화 제공업체에 물어볼 질문이 있어요. 규정과 날짜는 2026년 10월 19일 확인한 FCC 공식 페이지를 기준으로 해요. 일반 정보이며 법률 자문은 아니에요.
VoIP 보안을 별도로 생각해야 하는 이유
VoIP 전화 시스템은 인터넷에서 작동하는 소프트웨어예요. 사용자 계정, 관리자 포털, 휴대폰·노트북 앱, 공중 전화망 연결이 있어요. 기존 전화 위험인 사기 통화·사회공학에 비밀번호 도난·취약한 기기 같은 인터넷 위험이 더해져요. 해결책도 익숙해요. 안전한 로그인, 최소 권한, 모니터링, 대응 계획이에요.
1. 통화 요금 사기
뜻: 누군가 전화 시스템이나 계정에 침입해 내 비용으로 전화를 걸어요. 보통 비싼 국제전화나 할증 번호이며, 아무도 지켜보지 않는 밤이나 주말에 발생해요. 알아차리기 전에 청구서가 올 수 있어요.
침입 경로: 추측하거나 훔친 관리자 비밀번호, 외부 발신이 가능한 기본 PIN 음성사서함, 노출된 사내 PBX, 속아서 외부 회선으로 통화를 넘긴 직원 등이에요. FCC는 오래전부터 경고해 왔어요. 90# 전화 사기 안내는 외부 회선을 넘겨주는 코드를 직원에게 누르게 하는 수법을 설명해요. 음성사서함 해킹 가이드는 기본 PIN이 흔한 취약점이며 쓰지 않는 원격 알림, 자동 응대, 착신전환, 외부 호출 기능을 끄라고 안내해요(FCC 90# 사기 가이드, 두 문서 모두 2026년 10월 19일 확인).
- 필요 없는 통화 차단: 쓰지 않으면 국제전화와 할증 번호 발신을 끄세요. 특정 국가만 허용하는 제공업체도 많아요.
- 지출 알림과 한도 설정: 사용량 알림과 통화료의 강제 상한을 제공업체에 요청하세요.
- 음성사서함 보호: 길고 고유한 PIN을 쓰고 음성사서함에서 외부로 거는 기능은 끄세요.
- 접수 담당자 교육: 모르는 발신자를 외부 회선으로 넘기거나 요청받은 코드를 누르지 마세요.
2. 계정 탈취
뜻: 누군가 전화 시스템의 사용자나 관리자 계정으로 로그인해요. 관리자 계정이면 문자 열람, 녹음 청취, 통화 라우팅 변경, 사용자 추가, 연락처 내보내기가 가능해요. 사용자 계정 하나로도 고객에게 해당 직원인 척할 수 있어요.
- 모든 계정에 2단계 로그인: 모든 관리자, 가능하면 모든 사용자에게 인증 앱 코드를 요구하세요. SMS 코드는 없는 것보다 낫지만 아래의 SIM 스와핑 때문에 더 취약해요.
- 가능하면 통합 로그인: Google이나 Microsoft 로그인을 지원한다면 열 곳보다 한 곳에서 접근을 끊는 편이 안전해요.
- 퇴사 당일 접근 제거: 퇴사하면 전화 시스템 접근, 앱 세션, 개인 휴대폰으로 연결된 번호를 제거하세요.
- 관리자 최소화: 관리 권한은 가능한 한 적은 사람에게 주고 분기마다 목록을 검토하세요.
3. SIM 스와핑과 무단 번호 이동
뜻: 범죄자가 통신사를 속여 내 번호를 자신이 관리하는 SIM으로 옮기거나(SIM 스와핑) 다른 통신사로 이동시켜요(번호 이동 사기). 이후 로그인 코드를 포함한 전화와 문자가 그쪽으로 가요. 사업주 번호, 웹사이트 번호, 은행 계좌에 연결한 번호가 대상일 수 있어요.
FCC는 2023년 11월 15일 무선 통신사가 SIM 변경이나 번호 이동 전에 안전한 방식으로 고객을 인증하고 요청 즉시 알리도록 하는 규칙을 채택했어요(FCC 보도자료, 2026년 10월 19일 확인). 준수 시점은 별도 공지로 발표했으니 현재 상태는 FCC 사이트를 확인하세요. 어느 경우든 직접 마련하는 보호 조치가 중요해요.
- 번호 이동 PIN 또는 번호 잠금 추가: 대부분의 미국 통신사에서 계정 PIN이나 번호 이동 PIN을 설정할 수 있고 일부는 번호 잠금도 제공해요. 통신사에 물어보고 사업주 개인 휴대폰을 포함한 모든 업무 회선에 가능한 기능을 켜세요.
- 로그인 코드를 SMS에서 옮기기: 이메일, 은행, 전화 시스템에는 인증 앱이나 보안 키를 쓰세요.
- 경고 징후 알아두기: 평소 잘 터지는 곳에서 갑자기 서비스 없음이나 SOS 전용이 뜨면 번호가 옮겨졌을 수 있어요. 즉시 다른 전화로 통신사에 연락하세요.
- 번호 이동 서류 보호: 계정 번호와 이동 PIN은 범죄자가 필요로 하는 정보예요. 비밀번호처럼 관리하세요. 번호 이동 가이드에서 각각의 용도를 설명해요.
4. 발신 번호 위조와 STIR/SHAKEN
뜻: 발신자가 표시 번호를 위조해요. 사기범은 전화를 받게 하려고 지역 번호를 쓰거나 실제 회사 번호로 고객을 속여요. FCC의 발신 번호 위조 가이드에 따르면 Truth in Caller ID Act는 사기, 피해 유발, 부당한 가치 취득을 목적으로 오해를 주거나 부정확한 발신 정보를 보내는 행위를 금지하며 위반 건당 최대 US$10,000의 벌금이 있어요. 모든 번호 대체가 불법은 아니에요. 의사가 개인 휴대폰으로 걸면서 진료실 번호를 표시하는 것은 정당한 사용이에요(2026년 10월 19일 확인).
STIR/SHAKEN은 전화 회사가 통화에 디지털 서명을 붙여 발신자가 표시 번호를 쓸 권한이 있음을 보증하는 업계 체계예요. FCC는 2021년 6월 30일까지 망의 IP 구간에 도입하도록 했고 소규모 업체에는 2023년 6월 30일까지 연장했어요. 현재 게이트웨이·중간 제공업체를 포함한 대부분의 업체가 전달하는 통화의 발신 번호를 인증해야 해요(FCC 발신 번호 인증 페이지, 2026년 10월 19일 확인). STIR/SHAKEN 용어도 참고하세요.
- 신뢰할 수 있는 제공업체 선택: 발신 통화에 어떻게 서명하고 어떤 인증 등급을 받는지 물어보세요. 업체가 번호 사용을 보증할 수 있으면 스팸으로 표시될 가능성이 낮아요.
- 문자 발송 등록: 지역 번호의 업무 문자는 10DLC 등록, 수신자 부담 번호는 인증이 필요해요. 등록된 트래픽은 더 신뢰받아요. 10DLC 가이드와 수신자 부담 번호 인증 가이드를 참고하세요.
- 절대 요구하지 않는 정보 알리기: 예를 들어 “전화나 문자로 카드 번호 전체나 로그인 코드를 요청하지 않아요”라고 사이트와 주문 이메일에 명시하세요.
- 고객 신고 살피기: 걸지 않은 전화를 고객이 회사에서 왔다고 하면 FCC에 신고하고 고객에게 알리세요. 번호 위조 자체를 막지는 못해도 사기를 덜 믿게 만들 수 있어요.
5. 도청
뜻: 네트워크를 지나는 통화 음성이나 연결 데이터를 가로채는 거예요. 주된 위험은 공유 네트워크의 암호화되지 않은 트래픽이었으므로 현대적인 호스팅 시스템에서는 드물어요. 그래도 확인할 필요가 있어요.
- 암호화 확인: 통화 신호에는 TLS, 음성에는 SRTP를 사용하는지와 저장된 녹음·음성사서함 암호화를 확인하세요.
- 사무실 네트워크 분리: 탁상 전화기와 방문자 Wi-Fi를 별도 네트워크에 두고 공유기·전화기의 기본 비밀번호를 바꾸세요.
- 공공 Wi-Fi 주의: 민감한 통화는 이동통신 데이터나 신뢰하는 네트워크에서 제공업체 앱으로 하세요.
6. 녹음, 음성사서함, 메시지 이력
전화 시스템에는 주소, 주문 내역, 때로는 건강·결제 정보가 담긴 녹음, 음성사서함, 전사문, 문자가 쌓여요. 외부인만 위험한 게 아니에요. 여전히 로그인하는 퇴사자와 이유 없이 수년간 보관한 녹음도 위험해요.
- 정책을 정한 뒤 녹음: 발신자가 있는 지역의 동의 규칙을 알아두세요. 통화 녹음 동의 가이드에서 미국 연방 규칙과 전원 동의가 필요한 주를 다뤄요.
- 보관 기간 설정: 더는 필요 없는 녹음과 음성사서함을 정해진 일정에 따라 삭제하세요.
- 청취 권한 제한: 모든 사용자가 모든 녹음을 볼 필요는 없어요. 누가 무엇을 재생·다운로드했는지 기록하는 시스템을 선택하세요.
- 음성이나 문자로 카드 번호를 받지 않기: 대신 고객을 체크아웃이나 안전한 결제 페이지로 안내하세요.
7. 팀을 노리는 사회공학
가장 저렴한 공격은 그럴듯한 전화예요. “IT팀인데 방금 보낸 코드가 필요해요.” “고객인데 이사했으니 배송지를 바꾸고 주문을 다시 보내 주세요.” 대응 문구가 도움이 돼요. 수신 전화에서 하지 않을 행동, 예를 들어 코드 공유, 확인 없는 정산·배송 정보 변경, 외부 회선 연결을 미리 정하고 거절한 직원을 지지하세요.
VoIP 보안 체크리스트
- 로그인: 모든 관리자·사용자에게 2단계 인증, 가능하면 통합 로그인, 계정 공유 금지.
- 사람: 관리자 목록 분기별 검토, 퇴사 당일 접근 제거, 접수 담당자의 통화 전환·코드 사기 교육.
- 번호: 사업주 휴대폰을 포함한 모든 회선에 번호 이동 PIN 또는 잠금, 이동 정보는 비밀번호처럼 보관.
- 통화: 필요하지 않으면 국제·할증 통화 차단, 지출 알림과 한도 활성화.
- 음성사서함: 길고 고유한 PIN, 쓰지 않는 원격 기능 끄기.
- 데이터: 녹음 정책 문서화, 보관 기간 설정, 접근 제한과 기록.
- 문자: 10DLC 또는 수신자 부담 번호 인증 완료, 동의 기록 보관.
- 계획: 통신사·제공업체 연락 담당자, 고객 통지 방법, 계정 PIN 위치를 한 페이지에 정리.
전화 제공업체에 물어볼 질문
- 로그인: 2단계 인증과 통합 로그인을 지원하나요? 모든 사용자에게 강제할 수 있나요?
- 사기 통제: 국제·할증 통화를 차단하고 지출 알림이나 한도를 설정할 수 있나요?
- 암호화: 통화 신호와 음성은 전송 중 암호화되나요? 저장된 녹음과 음성사서함도 암호화되나요?
- 발신 번호: STIR/SHAKEN으로 발신 통화에 어떻게 서명하나요?
- 번호 보호: 무단 번호 이동을 어떻게 막나요?
- 로그: 누가 로그인하고 설정을 바꾸고 녹음에 접근했는지 볼 수 있나요?
- 인증: SOC 2 같은 독립 감사를 무엇을 받았고 보고서를 볼 수 있나요?
Chargezen이 담당하는 부분의 보안
Chargezen은 VoIP 회선이나 PBX가 아니므로 탁상 전화기나 해외 발신 라우팅 같은 항목은 제공하지 않아요. 직접 담당하는 부분에서는 다음과 같이 해요.
- 개인 휴대폰 대신 회사 번호: 고객은 회사 번호로 전화·문자하고 팀원은 Finn이나 브라우저에서 답해요. 고객이 아는 번호가 직원 개인 번호가 되지 않아요. 이것이 중요한 이유를 참고하세요.
- 2단계 로그인: 각 팀원이 자신의 Chargezen 로그인에 2단계 인증을 켤 수 있어요.
- 내 규칙에 따른 녹음: 번호마다 정책을 설정하세요. 녹음 전에 발신자에게 안내가 재생되고 보관 기간을 직접 정하며 모든 재생·다운로드에 사유가 기록돼요. 통화 녹음을 참고하세요.
- 통화와 문자를 지원하는 미국 회사 번호: 미국 지역 또는 수신자 부담 번호를 받거나, 전화번호에서 지역번호별 사용 가능한 번호를 찾거나, 기존 번호를 가져오세요. Chargezen이 문자에 필요한 10DLC 또는 수신자 부담 번호 등록을 제출해요. 회사 전화번호를 참고하세요.
- 승인을 기다리는 변경: 환불이나 크레딧처럼 Concierge가 혼자 할 일과 사람을 기다릴 일을 정하세요. 승인을 참고하세요.
Chargezen이 제공하지 않는 것도 명확히 할게요. VoIP 회선, 탁상 전화기, PBX를 판매하지 않아요. IVR이나 전화 메뉴, 벨 그룹, 개인 휴대폰 착신전환·동시 울림, 영업시간별 라우팅, 내선, 국제 번호도 없어요. 미국(+1) 지역 번호와 수신자 부담 번호만 제공해요. 이런 기능이 필요하면 해당 용도의 전화 시스템을 구매하고 Chargezen은 적합한 곳에 쓰세요.
Concierge Starter는 월 US$20에 20,000크레딧을 제공해요. Pro는 월 US$199에 199,000크레딧 또는 연 US$1,990예요. 문자는 메시지 분할 단위당 US$0.02이고 통화는 사용량에 따라 청구되며 사용자별 요금은 없어요. 요금을 확인하세요.
관련 용어: STIR/SHAKEN, 번호 이동, 통화 녹음 동의, 10DLC. 관련 가이드: VoIP 제공업체 선택 방법, Wi-Fi 통화란, 전화번호 이동 방법.
자주 묻는 질문
VoIP가 유선전화보다 덜 안전한가요?
본질적으로 그렇지는 않아요. 암호화와 2단계 로그인을 갖추고 잘 운영하는 호스팅 VoIP가 수년간 업데이트하지 않은 사무실 PBX보다 안전할 수 있어요. 위험이 달라요. VoIP에는 인터넷 계정 위험이 추가되므로 로그인 보안이 더 중요해요.
소기업에 가장 흔한 VoIP 공격은 무엇인가요?
통화 요금 사기로 이어지는 계정·음성사서함 탈취와 직원 대상 사회공학이 대표적이에요. SIM 스와핑은 주로 은행·이메일 계정에 접근하려고 사업주 휴대폰 번호를 노려요.
회사 번호 위조를 막을 수 있나요?
완전히는 어려워요. STIR/SHAKEN은 통신사가 위조 전화를 찾아 표시하기 쉽게 하지만 누군가 위조 도구에 내 번호를 입력하는 것은 막지 못해요. 고객에게 알리고 FCC에 신고하며 절대 요구하지 않는 정보를 명시하세요.
STIR/SHAKEN이 모든 자동 전화를 막나요?
아니요. 발신자가 표시 번호를 사용할 권한이 있는지 확인해요. 원치 않는 전화인지는 판단하지 않으며 오래된 비IP 망을 지나는 통화에는 서명이 없을 수 있어요.
