영국의 사기 방지 기관 Cifas가 기록한 무단 SIM 스와프는 2024년에 1,055% 급증해 3,000건에 육박했고, 2025년에는 다시 38% 늘었다. 반면 미국에서는 FBI에 접수된 SIM 스와프 신고 건수가 2022년 정점인 2,026건에서 2024년 982건으로 줄었다. 두 수치는 서로 반대 방향을 가리키지만 둘 다 사실이다. SIM 스와프는 다른 범죄로 이어지는 관문 범죄이며, 그 피해액은 대개 다른 명목으로 계상되기 때문이다. 더 큰 틀은 계정 탈취로, Javelin Strategy and Research에 따르면 2025년 미국 소비자에게 150억 달러가 넘는 피해를 입혔고, Cifas는 같은 해 영국에서 78,000건이 넘는다고 집계한다. 신원 범죄의 전반적인 그림은 저희 신원 도용 통계를 참고하세요. 저희는 FBI 인터넷범죄신고센터, FTC, FCC, Cifas, Javelin Strategy and Research, NIST, 프린스턴 대학 연구진, 인도, 호주, 스페인, 벨기에의 통신 규제 당국, 그리고 Commsrisk가 보도한 법원 기록의 데이터를 종합했다.
요약
- 2024년 FBI에 보고된 SIM 스와프 신고는 982건, 피해액은 25,983,946달러로, 2022년의 2,026건, 72,652,571달러에서 감소 (FBI IC3 인터넷 범죄 보고서).
- 2021년 SIM 스와프 신고는 1,611건, 피해액은 6,800만 달러 이상으로, 2018년부터 2020년까지 합산 320건, 약 1,200만 달러와 대비됨 (FBI IC3 PSA, 2022년 2월).
- 영국의 무단 SIM 스와프는 2024년에 1,055% 늘어 3,000건에 육박 (Cifas Fraudscape 2025).
- 무단 SIM 스와프는 2025년에 다시 38% 증가 (Cifas Fraudscape 2026).
- 2025년 영국의 계정 탈취는 78,000건 이상으로 전체 신고의 18% (Cifas Fraudscape 2026).
- 2024년 영국 계정 탈취의 48%가 휴대전화 계정과 관련 (Cifas, 2025년 5월).
- 2025년 미국의 계정 탈취 피해액은 150억 달러를 넘었고 600만 명의 소비자가 피해 (Javelin Strategy and Research, 2026년 신원 사기 연구).
- 2025년 FBI에 보고된 신고는 1,008,597건, 총 피해액은 208억 7,700만 달러로 26% 증가 (FBI IC3 2025년 보고서).
- SIM 변경 및 번호 이동 요청의 99% 이상이 정당한 요청 (FCC 보고서 및 명령 23-95, 2023년 11월).
- SIM 스와프만으로 계정을 탈취할 수 있는 웹사이트 17곳 확인 (Lee 외, 프린스턴 대학, SOUPS 2020).
- T-Mobile에서 2016년부터 2020년 2월 사이에 27,000건의 무단 SIM 스와프가 발생, 3,300만 달러 규모 중재 사건의 증거에 따름 (Commsrisk, 2025년 9월).
- 인도는 SIM 교체 후 번호 이동 전에 7일 대기를 의무화했으며 2024년 7월 1일부터 시행 (TRAI, Commsrisk 경유).
1. 미국에서 보고된 SIM 스와프 피해: 2022년 정점, 이후 긴 하락
FBI는 매년 SIM 스와프를 별도 항목으로 발표하는 유일한 미국 기관이며, 그 계열은 독특한 모양을 하고 있다. 인터넷범죄신고센터의 2022년 2월 공공 서비스 공지는 2018년부터 2020년까지 신고 320건, 피해액 약 1,200만 달러를 집계했고, 이어 2021년 한 해에만 신고 1,611건, 피해액 6,800만 달러 이상을 집계했다. 보고된 피해액은 2022년에 2,026건, 72,652,571달러로 정점을 찍은 뒤 매년 감소해 2024년에는 25,983,946달러가 되었다(FBI IC3 2024년 인터넷 범죄 보고서).
이 감소는 신중하게 읽어야 한다. 신고 건수는 2022년에서 2024년 사이 51.5% 줄었지만(2,026건에서 982건), 피해액은 그보다 빠른 64.2%(7,265만 달러에서 2,598만 달러) 줄었고, 그래서 신고 1건당 평균 보고 피해액은 2022년 약 35,860달러에서 2024년 약 26,460달러로 떨어졌다(IC3 합계를 저희가 나눈 값). 2023년의 신고 1건당 약 45,394달러가 최고치였다. SIM 스와프는 보통 암호화폐 절도, 은행 계정 탈취, 이메일 침해의 첫 단계이고, 피해자는 수법이 아니라 최종 결과를 신고하는 경우가 많기 때문에, IC3 항목이 측정하는 것은 SIM 스와프로 분류된 것일 뿐 그것을 이용한 모든 공격은 아니다.
| 지표 | 값 | 출처 |
|---|---|---|
| SIM 스와프 신고 및 피해액, 2018년~2020년 합산 | 신고 320건, 약 1,200만 달러 | FBI IC3 PSA 220208, 2022년 2월 |
| SIM 스와프 신고 및 피해액, 2021년 | 신고 1,611건, 6,800만 달러 이상 | FBI IC3 PSA 220208, 2022년 2월 |
| SIM 스와프 신고 및 피해액, 2022년 | 신고 2,026건, 72,652,571달러 | FBI IC3 인터넷 범죄 보고서 |
| SIM 스와프 신고 및 피해액, 2023년 | 신고 1,075건, 48,798,103달러 | FBI IC3 인터넷 범죄 보고서 2024 |
| SIM 스와프 신고 및 피해액, 2024년 | 신고 982건, 25,983,946달러 | FBI IC3 인터넷 범죄 보고서 2024 |
| 신고 건수 변화, 2022년~2024년 | 51.5% 감소 (2,026건에서 982건) | FBI IC3 데이터로부터 산출 |
| 신고 1건당 평균 보고 피해액, 2022년 / 2023년 / 2024년 | 약 35,860 / 45,394 / 26,460달러 | FBI IC3 데이터로부터 산출 |
참고: 2025년 IC3 보고서는 위협 내역에서 SIM 스와프를 주요 위협의 약 10%로 제시하며, 데이터 유출(39%)과 랜섬웨어(36%)에 이어 악성 코드(9%), 봇넷(7%)과 비슷한 수준이라고 CyberScoop이 보도했다. 확보한 보고서 사본에서 2025년 SIM 스와프 신고 행을 읽을 수 없었으므로, 위의 계열은 2024년에서 멈춘다.
2. 계정 탈취: SIM 스와프가 뒷받침하는 범죄
SIM 스와프의 피해액이 작아 보인다면, 그것은 돈이 다른 항목 아래에서 움직이기 때문이다. 2025년 미국의 계정 탈취 피해액은 150억 달러를 넘었고 600만 명의 소비자에게 영향을 미쳤으며, 피해자 수는 2024년보다 18% 늘었다(Javelin Strategy and Research, 2026년 신원 사기 연구). 이는 피해자 1인당 약 2,500달러(150억 달러를 600만으로 나눈 값)로, IC3의 SIM 스와프 신고 평균보다 한 자릿수 작다. 이는 가장 비싼 전화번호 탈취는 FBI에 신고되고, 일상적인 카드 및 은행 계정 탈취는 발급사가 흡수한다는 패턴과 맞아떨어진다.
Javelin의 소비자 조사는 전체 피해가 완화되고 있음을 보여주지만, FBI의 사기 총액은 여전히 늘고 있다. IC3는 2025년에 1,008,597건의 신고를 접수했고 피해액은 208억 7,700만 달러로, 2024년의 166억 달러보다 26% 늘었다(SecurityWeek). 반면 Javelin은 신원 사기와 스캠 피해액의 합계가 2025년에 380억 달러로, 90억 달러 줄었다고 측정했으며, 신원 사기는 273억 달러로 변동이 없었고 스캠 피해액은 45% 감소한 107억 달러였다. 고령 피해자는 FBI 총액의 불균형하게 큰 몫을 부담하고 있으며, 이 주제는 저희 고령자 사기 통계에서 추적하고 있다.
| 지표 | 값 | 출처 |
|---|---|---|
| 미국의 계정 탈취 피해액, 2025년 | 150억 달러 이상 | Javelin Strategy and Research, 2026년 신원 사기 연구 |
| 계정 탈취 피해자, 2025년 | 600만 명 (2024년 대비 18% 증가) | Javelin Strategy and Research, 2026년 |
| 신규 계좌 사기, 2025년 | 70억 달러, 피해자 540만 명 (31% 증가) | Javelin Strategy and Research, 2026년 |
| 신원 사기와 스캠 피해액 합계, 2025년 | 380억 달러 (90억 달러 감소), 피해자 3,600만 명 | Javelin Strategy and Research, 2026년 |
| FBI IC3 신고 및 피해액, 2025년 | 신고 1,008,597건, 208억 7,700만 달러 (26% 증가) | FBI IC3 2025년 보고서 (SecurityWeek 경유) |
| 60세 이상 피해자, 2025년 | 약 201,000건의 신고, 77억 5,000만 달러 (피해액의 37%) | FBI IC3 2025년 보고서 (CyberScoop 경유) |
| FTC에 접수된 신원 도용 신고, 2024년 | 110만 건 이상 (Sentinel 전체 신고는 650만 건) | FTC Consumer Sentinel 데이터, 2025년 3월 |
| 사기를 신고한 사람 중 돈을 잃은 비율, 2024년 | 38% (2023년 27%에서 상승) | FTC Consumer Sentinel 데이터, 2025년 3월 |
참고: FTC의 2025년 3월 데이터 발표는 2024년 보고된 사기 피해 총액을 125억 달러로, 25% 늘었다고 밝혔다. FTC는 SIM 스와프 범주를 발표하지 않으며, 가장 가까운 분류인 ‘Phone Carrier Switching’은 섹션 6에서 다룬다.
3. 영국: 1,055% 급증과 집계의 문제
영국은 이번 10년에서 가장 극적인 SIM 스와프 수치를 만들어냈다. Cifas 회원들은 2024년에 3,000건에 육박하는 무단 SIM 스와프 사건을 국가 사기 데이터베이스에 접수했고, 이는 전년의 289건에서 1,055% 늘어난 것이다(Cifas, 2025년 5월). 이 급증은 통신 부문으로의 더 넓은 이동과 함께 나타났다. 휴대전화 상품과 연계된 신원 사기는 87% 늘어 16,000건이 넘었고, 무단 휴대전화 업그레이드는 96% 늘었으며, 전체 계정 탈취의 48%가 휴대전화 계정과 관련돼 있었다. 2026년 3월 12일에 발표된 Fraudscape 2026 업데이트는 2025년에 무단 SIM 스와프가 다시 38% 늘었다고 기록했는데, Cifas는 이를 도난당한 개인 데이터와 점점 더 자동화되는 공격 방식 탓으로 본다.
영국은 이러한 집계가 얼마나 취약한지도 보여준다. 국가 신고 센터인 Action Fraud는 SIM 스와프 신고를 2022년에 558건, 2023년에 1,070건, 2024년 11월 말까지 2,037건으로 기록했는데, 이는 10배 급증이 아니라 대략 2배 증가에 해당한다. 2023년에는 Action Fraud의 수치가 Cifas 수치의 거의 4배였다가 2024년에 그 비율이 뒤집혔다(Commsrisk, 2025년 7월). 두 계열은 방향에는 동의하지만, 속도에서는 크게 엇갈린다.
| 지표 | 값 | 출처 |
|---|---|---|
| 무단 SIM 스와프, 2024년 | 3,000건에 육박 (2023년 289건에서 1,055% 증가) | Cifas Fraudscape 2025 |
| 무단 SIM 스와프, 2025년 | 전년 대비 38% 증가 | Cifas Fraudscape 2026 |
| Action Fraud에 접수된 SIM 스와프 신고 | 558건 (2022년), 1,070건 (2023년), 2,037건 (2024년 11월 말까지) | Action Fraud (Commsrisk 경유), 2025년 7월 |
| 계정 탈취 건수, 2024년 | 74,000건 이상 (76% 증가) | Cifas Fraudscape 2025 |
| 휴대전화 계정과 관련된 계정 탈취, 2024년 | 48% | Cifas, 2025년 5월 |
| 휴대전화 상품과 연계된 신원 사기, 2024년 | 16,000건 이상 (87% 증가) | Cifas, 2025년 5월 |
| 무단 휴대전화 업그레이드 접수, 2024년 | 96% 증가 | Cifas, 2025년 5월 |
| 61세 이상이 계정 탈취에서 차지하는 비중, 2024년 | 29% (접수는 전년 대비 90% 증가) | Cifas, 2025년 5월 |
참고: Cifas 데이터는 회원 조직이 접수한 사건을 반영하므로, 신규 회원의 가입이나 접수 관행의 변화가 수치를 크게 움직일 수 있다. 1,055%라는 수치는 작은 모수에서 나타난 변화의 신호로 받아들여야 하며, 영국 전체 발생 건수의 척도로 보아서는 안 된다.
4. 2025년의 국가 사기 데이터베이스: 탈취가 기본 수법이 되다
Cifas의 2025년 수치는 범죄자들이 가짜 계정을 만드는 데서 진짜 계정을 가로채는 쪽으로 옮겨 가고 있음을 보여준다. 2025년에 78,000건이 넘는 시설(계정) 탈취가 접수되어 전체 접수의 18%를 차지했고, 2024년보다 6% 늘었다. 반면 신원 사기 접수는 3% 줄어 242,000건이었다(Cifas Fraudscape 2026). 휴대전화 상품과 연계된 사건이 계속 대부분을 차지했고, 온라인 소매 및 개인 신용카드와 합쳐 전체 탈취의 약 90%를 차지했다.
수법은 점점 조용해지고 있다. Cifas에 따르면 범죄자들은 탐지를 피하려고 알림을 끄고 계정 정보를 조금씩 바꾸며, AI를 활용해 악성 메시지를 다듬고 자격 증명 공격을 자동화하고 있는데, 이는 저희 AI 음성 사기 통계에서 다루는 사칭 전화 뒤에 있는 것과 같은 도구 모음이다. 전체 접수 건수는 사상 최고를 기록해, 2024년의 421,000건에 이어 444,000건이 넘었고 하루 1,200건 이상이었다(Cifas Fraudscape 2025).
| 지표 | 값 | 출처 |
|---|---|---|
| 국가 사기 데이터베이스 전체 사건 수, 2025년 | 444,000건 이상 (6% 증가), 하루 1,200건 이상 | Cifas Fraudscape 2026 |
| 국가 사기 데이터베이스 전체 사건 수, 2024년 | 421,000건 (13% 증가) | Cifas Fraudscape 2025 |
| 계정 탈취 건수, 2025년 | 78,000건 이상 (접수의 18%, 6% 증가) | Cifas Fraudscape 2026 |
| 탈취에서 휴대전화, 온라인 소매, 신용카드가 차지하는 비중, 2025년 | 약 90% | Cifas Fraudscape 2026 |
| 전체 사건 중 신원 사기와 계정 탈취의 비중, 2025년 | 72% | Cifas Fraudscape 2026 |
| 신원 사기 접수, 2025년 | 242,000건 (사건의 54%, 3% 감소) | Cifas Fraudscape 2026 |
| Cifas 회원이 막아낸 사기 피해액 | 21억 파운드 (2024년), 24억 파운드 (2025년) | Cifas Fraudscape 2025 및 2026 |
5. 통신사 내부: 내부자, 사회공학, 법정 증거
대부분의 SIM 스와프는 매장 카운터나 지원 데스크에서 성공하며, 최근의 소송은 이에 대해 드문 수치를 제시했다. 3,300만 달러의 배상 판정으로 끝난 T-Mobile US 상대 중재 사건에서, 증거는 2016년부터 2020년 2월 사이 이 통신사에서 27,000건의 무단 SIM 스와프가 있었음을 설명했고, 내부 보고서는 침해된 직원 1명의 자격 증명으로 478개 고객 계정에 접근한 사실을 확인했다(Commsrisk, 2025년 9월). 이 사건에서 인용된 가해자는 직원 자격 증명을 얻는 데 90%에서 100%의 성공률을 보였다고 주장했다. 이는 한 통신사의 소송에서 나온 수치이지 업계 전체의 비율은 아니지만, 규제 당국이 이제 직원의 접근을 겨냥하는 이유를 보여준다.
내부자 위험은 통신사에 국한되지 않는다. 프랑스의 Société Générale에서는 인턴이 고객 데이터를 SIM 스와프 조직에 넘겨 50명의 고객에게서 100만 유로 이상을 훔쳤고, 이들 모두 보상받았다(Commsrisk, 2025년 6월). 통신사의 데이터 유출은 위험을 한층 더 높인다. Orange Belgium 유출로 SIM 카드 번호와 PUK 코드를 포함한 850,000개 고객 계정이 노출되었고, 규제 당국 BIPT는 번호 이동 요청에 대해 경고 SMS를 보내고 STOP으로 답장할 수 있는 8일의 기간을 두도록 요구했다(Commsrisk, 2025년 9월).
| 지표 | 값 | 출처 |
|---|---|---|
| T-Mobile US의 무단 SIM 스와프, 2016년~2020년 2월 | 27,000건 | Jones 대 T-Mobile 중재 증거 (Commsrisk 경유), 2025년 9월 |
| SIM 스와프 피해자 1명에 대한 중재 판정액 | 3,300만 달러 | Jones 대 T-Mobile (Commsrisk 경유), 2025년 9월 |
| 침해된 직원 1명의 자격 증명으로 접근된 계정 | 478개 | T-Mobile 내부 보고서 (Commsrisk 경유), 2025년 9월 |
| Société Générale의 내부자 SIM 스와프 조직 | 고객 50명, 100만 유로 이상 도난 | Le Parisien (Commsrisk 경유), 2025년 6월 |
| Orange Belgium 유출 | 고객 계정 850,000개 노출 | BIPT 및 Orange Belgium (Commsrisk 경유), 2025년 9월 |
| 2021년 Rogers SIM 스와프 사건에서 도난당한 Bitcoin | 당시 534,000 캐나다 달러, 현재 약 130만 달러 | 브리티시컬럼비아주 대법원 (Commsrisk 경유), 2025년 7월 |
| 허술한 보안을 탓하는 미국의 암호화폐 절도 소송 | 2023년 11건 대 2022년 20건, 50% 넘게 SIM 스와프를 언급 | Bloomberg Law (Commsrisk 경유), 2024년 4월 |
참고: 통신사 직원은 콜센터 상담원과 마찬가지로 계속 사회공학의 표적이 되고 있다. 미국 사이버안전검토위원회의 Lapsus$ 공격 검토 보고서(2023년 8월 10일)는 이 그룹이 대규모 조직을 상대로 SIM 스와프를 어떻게 활용했는지 살폈다.
6. 규제와 집행: FCC에서 TRAI까지
SIM 스와프와 번호 이동 사기에 관한 FCC 명령은 미국의 주요 정책 대응이다. 2023년 11월 15일에 채택된 이 명령은 무선 통신사가 SIM 변경 전에 안전한 인증을 하고, SIM 변경 및 번호 이동 요청을 고객에게 즉시 알리고, 계정 잠금을 제공하고, 고객이 인증되기 전까지 직원이 고객 데이터에 접근하지 못하게 하고, 기록을 보관하도록 요구한다(FCC 보고서 및 명령 23-95). 이 명령은 신고의 기준선도 가늠하게 해준다. FCC는 2020년에 약 300건, 2021년에 400건, 2022년에 500건의 SIM 스와프 또는 번호 이동 신고를 접수했고, FTC는 ‘Phone Carrier Switching’ 신고를 2020년에 966건, 2021년에 157건, 2022년에 188건 기록했다.
준수는 늦게 도래했다. 2024년 7월 8일이라는 당초 기한은 2024년 7월 5일의 FCC 면제로 관리예산국의 서류 검토가 끝날 때까지 미뤄졌고, OMB 승인은 2025년 1월 15일에 내려졌다(Nelson Mullins). 다른 규제 당국은 더 직접적인 수단을 썼다. 인도의 TRAI는 2024년 7월 1일부터 SIM 교체 후 번호 이동 전에 7일 대기를 부과했고(Commsrisk), 호주의 ACMA는 9건의 무단 스와프 이후 Medion Australia에 259,440 호주 달러의 벌금을 부과했으며(Commsrisk), 스페인의 개인정보 보호 당국 AEPD는 통신사에 반복적으로 벌금을 부과해 왔다(Commsrisk).
| 지표 | 값 | 출처 |
|---|---|---|
| FCC에 접수된 SIM 스와프 및 번호 이동 신고 | 약 300건 (2020년), 400건 (2021년), 500건 (2022년) | FCC 보고서 및 명령 23-95, 2023년 11월 |
| FTC에 접수된 ‘Phone Carrier Switching’ 신고 | 966건 (2020년), 157건 (2021년), 188건 (2022년) | FCC 23-95에 인용된 FTC Consumer Sentinel 데이터 |
| SIM 변경 및 번호 이동 요청 중 정당한 요청의 비율 | 99% 이상 | FCC 보고서 및 명령 23-95 |
| FCC 규정: 당초 준수 기한 / OMB 승인 | 2024년 7월 8일 (면제) / 2025년 1월 15일 | FCC DA 24-649, Nelson Mullins, 2025년 |
| 인도의 SIM 교체 후 번호 이동 전 대기 | 7일, 2024년 7월 1일부터 | TRAI (Commsrisk 경유), 2024년 6월 |
| Medion Australia에 대한 ACMA 벌금 | 259,440 호주 달러, 고객 피해 160,000 호주 달러, 신원 확인 없는 SIM 교체 1,697건 | ACMA (Commsrisk 경유), 2024년 1월 |
| 스페인 통신사에 대한 AEPD 벌금 | Digi 12건에 970,000 유로, Movistar 3건에 900,000 유로 | AEPD (Commsrisk 경유), 2024년 4월 |
참고: Commsrisk는 유럽에서 알려진 GDPR 벌금 전체의 20건 중 1건이 넘는 수가, 주로 사기꾼에게 발급된 중복 SIM을 이유로 AEPD가 스페인 통신사에 부과한 것이라고 지적한다.
7. 인증: 전화번호가 가장 약한 고리인 이유
방어 측면의 이야기는 신원 증명 수단으로서의 전화번호에서 서서히 벗어나는 흐름이다. 미국 선불 통신사 5곳을 대상으로 한 프린스턴 연구는 이들의 인증 절차가 우회될 수 있음을 밝혔고, 전화 기반 인증을 쓰는 140개가 넘는 웹사이트의 정책을 역설계한 끝에 저자들은 비밀번호 없이 SIM 스와프만으로 계정을 탈취할 수 있는 사이트 17곳을 찾아냈으며, 그중 9곳은 공개 이후에도 결함을 고치지 않았다(Lee 외, SOUPS 2020). 이 연구는 2020년의 것(구할 수 있는 가장 최근의 학술 측정)이지만, FCC 명령이 근거로 인용하는 증거 기반이다.
표준화 기구들은 이후 따라잡았다. 2025년 8월 26일에 확정된 NIST의 SP 800-63B-4는 공중 전화망을 통한 대역 외 코드를 ‘제한적’ 범주로 유지하며, 검증자가 코드를 보내기 전에 SIM 변경이나 번호 이동 같은 위험 지표를 확인해야 한다고 말한다. 통신사들은 이제 그 신호를 직접 제공한다. 2025년 9월부터 버전 2.1.0인 오픈소스 CAMARA SIM Swap API를 이용하면 은행이 SMS 코드를 신뢰하기 전에 해당 번호의 SIM이 최근 바뀌었는지 물어볼 수 있다(CAMARA 프로젝트). 앱 기반 및 패스키 대안의 보급은 저희 2단계 인증 통계에서 다룬다.
| 지표 | 값 | 출처 |
|---|---|---|
| 테스트한 미국 선불 통신사 | 5곳, 모두 우회 가능한 인증 방식을 사용 | Lee 외, 프린스턴 대학, SOUPS 2020 |
| 분석한 전화 기반 인증 사용 웹사이트 | 140곳 이상 | Lee 외, SOUPS 2020 |
| SIM 스와프만으로 탈취에 취약한 웹사이트 | 17곳 | Lee 외, SOUPS 2020 |
| 공개 이후에도 결함을 고치지 않은 기업 | 17곳 중 9곳 | Lee 외, SOUPS 2020 |
| 전화망 일회용 코드에 대한 NIST의 지위 | ’제한적’ (SP 800-63B-4, 2025년 8월 26일) | NIST SP 800-63B-4 |
| 통신사에 요구되는 인증 방식 검토 | 최소 연 1회 | FCC 보고서 및 명령 23-95 |
| CAMARA SIM Swap API | v2.1.0 안정 버전, 2025년 9월 | CAMARA 프로젝트 (Linux Foundation) |
숫자로 보는 SIM 스와프 사기
| 지표 | 값 | 출처 |
|---|---|---|
| 미국 SIM 스와프 신고 및 피해액, 2024년 | 신고 982건, 25,983,946달러 | FBI IC3 인터넷 범죄 보고서 2024 |
| 미국 SIM 스와프 정점, 2022년 | 신고 2,026건, 72,652,571달러 | FBI IC3 인터넷 범죄 보고서 |
| 미국 SIM 스와프 신고 및 피해액, 2021년 | 1,611건, 6,800만 달러 이상 | FBI IC3 PSA, 2022년 2월 |
| SIM 스와프 신고 1건당 평균 보고 피해액, 2024년 | 약 26,460달러 | FBI IC3 데이터로부터 산출 |
| 주요 위협에서 SIM 스와프가 차지하는 비중, 2025년 | 약 10% | FBI IC3 2025년 보고서 (CyberScoop 경유) |
| FBI IC3 총 피해액, 2025년 | 208억 7,700만 달러 (26% 증가) | FBI IC3 2025년 보고서 |
| 미국의 계정 탈취 피해액, 2025년 | 150억 달러 이상, 피해자 600만 명 | Javelin Strategy and Research, 2026년 |
| 영국의 무단 SIM 스와프, 2024년 | 3,000건에 육박 (1,055% 증가) | Cifas Fraudscape 2025 |
| 영국의 무단 SIM 스와프, 2025년 | 38% 증가 | Cifas Fraudscape 2026 |
| Action Fraud에 접수된 영국 SIM 스와프 신고, 2023년 | 1,070건 | Action Fraud (Commsrisk 경유) |
| 영국의 계정 탈취 건수, 2025년 | 78,000건 이상 (접수의 18%) | Cifas Fraudscape 2026 |
| 영국 계정 탈취에서 휴대전화가 차지하는 비중, 2024년 | 48% | Cifas, 2025년 5월 |
| 61세 이상이 계정 탈취에서 차지하는 비중 (영국, 2024년) | 29% | Cifas, 2025년 5월 |
| 60세 이상 미국 피해자의 피해액, 2025년 | 77억 5,000만 달러 (전체의 37%) | FBI IC3 2025년 보고서 |
| T-Mobile의 무단 SIM 스와프, 2016년~2020년 | 27,000건 | 중재 증거 (Commsrisk 경유) |
| SIM 변경 및 번호 이동 요청 중 정당한 요청의 비율 | 99% 이상 | FCC 23-95 |
| FCC에 접수된 SIM 스와프 및 번호 이동 신고, 2022년 | 약 500건 | FCC 23-95 |
| SIM 스와프만으로 탈취 가능한 웹사이트 | 조사한 140곳 이상 중 17곳 | 프린스턴 대학, SOUPS 2020 |
| 인도의 SIM 교체 후 번호 이동 대기 | 7일 | TRAI, 2024년 7월 |
방법론과 출처
위의 모든 수치는 이 글을 위한 조사 과정에서 직접 확인했다. 1차 문서를 직접 읽을 수 없었던 경우(FBI IC3 연례 보고서 PDF는 텍스트로 표시되지 않았고, fcc.gov, GSMA, IDCARE 페이지는 자동 접근을 차단했다)에는 원문서를 인용하는 이름이 밝혀진 중개 출처를 사용했고, 각 표에 그 사실을 밝혔다. 1차 출처 없이 업체 블로그에서 떠도는 SIM 스와프 통계는 ‘피해자 1인당’이나 ‘계좌를 비우는 데 걸리는 시간(분)’ 같은 딱 떨어지는 수치를 포함해 제외했다.
- FBI 인터넷범죄신고센터: PSA 220208, 2022년 2월, 2024년 인터넷 범죄 보고서 (2022년~2024년 SIM 스와프 행은 MessageCentral과 Efani의 보고서 요약을 통해 확인), 2025년 인터넷 범죄 보고서 (SecurityWeek 및 CyberScoop 경유)
- 연방거래위원회: Consumer Sentinel 2024년 데이터 발표, 2025년 3월
- Javelin Strategy and Research: 2026년 신원 사기 연구 보도자료, 2026년 4월 21일
- Cifas: Fraudscape 2026, Fraudscape 2025, SIM 스와프와 통신 부문 발표, 2025년 5월
- 연방통신위원회: 보고서 및 명령 FCC 23-95, 명령 DA 24-649, OMB 승인일은 Nelson Mullins, 준수 지연은 Commsrisk를 통해 확인
- NIST: SP 800-63B-4, 2025년 8월
- 프린스턴 대학: Lee, Kaiser, Mayer, Narayanan, An Empirical Study of Wireless Carrier Authentication for SIM Swaps, SOUPS 2020
- CAMARA 프로젝트: SIM Swap API
- 미국 사이버안전검토위원회: Review of the Attacks Associated with Lapsus$, 2023년 8월
- Commsrisk (법원 기록, 규제 당국, Action Fraud에 대한 보도): 영국 SIM 스와프 통계, T-Mobile 중재, Orange Belgium과 BIPT, Société Générale, Rogers 사건, Bloomberg Law 암호화폐 소송, TRAI 7일 규칙, ACMA 벌금, AEPD 벌금
- 데이터 참고 사항: FBI IC3의 2025년 SIM 스와프 신고 및 피해액 행은 확보한 보고서 사본에서 확인할 수 없었으므로 미국 계열은 2024년에서 끝난다. 2025년 행도 보고된 피해액의 하락 추세를 이어갈 것으로 예상된다. 2022년
2024년 IC3 수치는 공식 보고서의 2차 요약을 통해 확인했으며 그 요약들 사이에서 일치한다. 영국 출처들은 서로 상충한다. Cifas는 2024년에 1,055% 증가(289건에서 3,000건에 육박)를 보고한 반면 Action Fraud는 대략 2배 증가(1,070건에서 2024년 11월 말까지 2,037건)를 보여주며, 289 × 11.55는 ‘3,000건에 육박’과 정확히 맞아떨어지지 않으므로 이 비율은 근삿값으로 받아들여야 한다. Javelin의 조사는 2025년 사기 피해 총액이 줄었다고 보여주는 반면 FBI IC3 신고 피해액은 26% 늘었는데, 이 둘은 서로 다른 모집단을 측정한다(소비자 조사 대 자발적 신고). FCC와 FTC의 신고 건수 및 프린스턴 연구는 2020년2022년의 것이다(구할 수 있는 가장 최근 데이터). T-Mobile 수치는 한 건의 중재 사건에서 나온 것이며 업계 전체의 비율이 아니다. OMB 승인 이후의 정확한 FCC 준수 일자는 조사 중 FCC 페이지에서 확인되지 않았다. 한 업계 출처는 면제 명령 이전에 2025년 3월 10일을 제시했으나, 면제 명령은 오히려 준수 시점을 OMB 검토와 연동했다. GSMA Open Gateway 도입 건수와 호주 IDCARE 데이터는 접근할 수 없어 제외했다. 2025년판 FTC Consumer Sentinel Data Book은 FTC 공개 데이터 페이지에 아직 올라와 있지 않았다.
마지막 업데이트: 2026년 10월 3일. 저희는 이 정리를 분기마다 업데이트하며, 다음 갱신은 FTC가 2025년판 Consumer Sentinel Network Data Book을 발표하고 Cifas가 다음 Fraudscape 업데이트를 내놓을 때 이루어질 것으로 예상한다.