통신사가 지금 내가 어느 열차에 타고 있는지 정확히 안다는 사실, 알고 계셨나요? 기지국은 나를 역과 역 사이의 넓은 구역 안에 놓을 뿐입니다. 그런데 자리에 앉는 순간 휴대폰이 붙잡은 열차 와이파이는 그 열차 한 대에 고정돼 있어서, 나를 훨씬 더 좁은 원 안에 그려 넣습니다.
비밀번호도, 접속 안내 페이지도 없습니다. 통신사의 보안 네트워크가 조용히 나를 들여보냅니다. 분명 편리하고, 백그라운드에서 뭔가 조용히 일어나고 있다는 그 느낌도 맞습니다.
로그인을 대신 처리해 주는 바로 그 자동연결이, 이 정밀함을 만들어 냅니다.
유심이 당신을 인증합니다
SKT와 KT의 보안 와이파이 — T wifi zone_secure, 그리고 KT의 _secure SSID — 에서 휴대폰은 유심(USIM)으로 본인 인증을 합니다. 방식은 SIM 기반 EAP, 요즘 LTE·5G에 쓰이는 EAP-AKA′ 계열이며, 2G 시절의 EAP-SIM이 아닙니다.[1] 이때 제시되는 신원은 유심에서 파생된 값이라, 기기 뒤에 있는 가입자를 그대로 지목합니다. MAC 주소로는 결코 못 하는 일입니다.
AP는 통과 지점일 뿐입니다
접속 지점(AP)은 유심 자격 증명을 RADIUS로 통신사 중앙 AAA 서버에 전달하고, 서버는 이동통신 코어가 쓰는 것과 똑같은 가입자 데이터베이스(HLR/HSS)에 대조해 검증합니다.[1] 통신사는 그 세션을 중앙에서 기록합니다. 공격자는 없습니다. 시스템이 그렇게 설계돼 있을 뿐입니다.
어느 열차인지, 어쩌면 어느 칸인지
그 세션은 특정 열차 와이파이 AP에 기록되고, 열차는 대략 차량 한 칸당 AP 한 세트씩을 둡니다. 그래서 나를 한 칸 단위까지 좁혀 들어올 여지가 생깁니다. 차량 단위 정밀도는 추론입니다. 확실한 건 나를 특정 열차 한 대에 고정한다는 점이고, 이것만으로도 이미 기지국보다 정밀합니다.
LG유플러스 IMSI 논란과는 다릅니다
이건 2026년 4월 LG유플러스 IMSI 논란과는 다른 이야기입니다. 당시 독립 팩트체커들은 실제 추적 위험은 제한적이라고 봤습니다. IMSI는 전원을 껐다 켤 때만 노출되고, 그마저도 단일 셀 안에 기기가 있다는 사실만 확인해 줄 뿐이라는 것이었죠.[2] 오래 남는 문제는 더 조용한 쪽에 있습니다. 통신사가 일상적으로 남기는 세션 기록 말입니다.
법이 보관을 강제합니다
이 기록은 선택 사항이 아닙니다. 통신비밀보호법 시행령 제41조에 따라, 통신사는 인터넷 접속지(접속지) 추적자료를 최소 3개월, 발신기지국 위치추적자료를 최소 12개월 보관해야 합니다.[3]
자동 연결 끄기
이 거래 하나는 끊을 수 있습니다. 와이파이 설정에서 통신사 보안 SSID의 자동 연결을 꺼두면, 탈 때마다 새로 기록되는 세션이 더는 열리지 않습니다. 물론 이동통신망은 여전히 내가 어느 열차쯤에 있는지 대략은 압니다.
이런 거래는 대부분의 편리함 아래에 깔려 있습니다. 비슷한 사례 하나를 사진을 보낼 때 어떤 앱이 위치정보를 남기는지에서 다뤘습니다.
휴대폰이 스스로 무언가에 연결될 때, 그 편리함의 대가로 어떤 신원을 넘기고 있는지 알고 계셨나요?
Instagram