co:sim 팀네, eSIM은 실물 유심보다 안전성이 떨어지지 않으며 오히려 여러 면에서 더 안전합니다. eSIM 프로필은 GSMA의 SGP.22 원격 프로비저닝 표준에 따라 인증된 단일 칩(eUICC)에 고정되어 다운로드되기 때문에, 실물 유심처럼 빼내서 다른 기기에 복제하거나 옮길 수 없습니다.
#eSIM 보안은 실제로 어떻게 작동할까
eSIM(내장형 유심)은 탈부착이 가능한 카드 대신 기기 내부에 납땜된 작은 칩입니다. 여러 통신사의 "프로필"을 저장할 수 있지만, 동시에 활성화되는 것은 하나뿐입니다. 이동통신 업계의 글로벌 표준 단체인 GSMA는 소비자용 원격 유심 프로비저닝 프로토콜에 대한 보안 분석 자료를 공개하고 있으며, 이는 SGP.22 표준의 내용을 다룹니다. 모든 프로필 다운로드는 기기의 eUICC 칩과 통신사의 SM-DP+ 서버 사이에서 상호 인증된 TLS 통신을 거치며, 어느 쪽도 위조할 수 없는 기기 전용 인증서가 사용됩니다.
칩 자체에도 별도의 보안 인증이 있습니다. GSMA의 eUICC 보안 보증(eSA) 체계는 Common Criteria 기준에 따라 독립적으로 인가된 실험실이 eUICC의 하드웨어와 소프트웨어 보안성을 평가하는 제도로, 결제 카드나 여권 칩에 쓰이는 것과 같은 평가 방식이며, 칩은 이 인증을 통과해야만 기기에 탑재되어 출고됩니다.
co:sim의 일본 eSIM처럼 데이터 전용 eSIM도 이와 동일한 SGP.22 기반 파이프라인을 통해 발급됩니다. 결제 후 스캔하는 QR 코드는 단순한 설정 파일 전송이 아니라, 여러분 기기의 eUICC와 공급사 SM-DP+ 서버 사이의 인증서 기반 인증 절차를 시작하는 신호입니다. co:sim의 각 요금제 페이지에는 실제 사용하는 통신망과 설치 기한이 함께 표시되어 있어, 구매 전에 무엇에 연결하는지 정확히 알 수 있습니다.
#유심 스와핑 사기는 eSIM에서 더 쉽게 일어날까
SIM 형태가 달라져도 실제 취약점은 동일합니다. 미국 연방거래위원회(FTC)의 유심 스와핑(SIM swap) 사기 안내에 따르면, 이 사기는 사기범이 통신사를 속여 여러분의 전화번호를 자신이 관리하는 기기로 옮기게 만들면서 성립합니다. 이는 통신사의 본인 확인 절차를 노린 사회공학적 공격이지, SIM 하드웨어 자체의 기술적 결함이 아닙니다. eSIM은 물리적으로 빼내 다른 기기에 다시 꽂을 수 없기 때문에 "분실한 기기에서 유심을 빼내 도용당하는" 경로는 사라지지만, 누군가 통신사 상담원을 말솜씨로 속이는 것까지 막지는 못합니다.
데이터 전용 요금제는 이런 종류의 사기 자체에서 자유롭습니다. co:sim의 eSIM에는 전화번호가 없기 때문에, 계정 로그인에 연결된 음성 회선을 노리는 번호 이전형 유심 스와핑 사기는 co:sim의 eSIM에 시도할 대상 자체가 없습니다. 만약 주 전화번호에서 문자 인증번호로 2단계 인증을 사용하고 있다면, 그 번호를 보호하는 것(문자 대신 인증 앱 사용, 통신사 PIN 설정)이 어떤 SIM 형태를 쓰느냐보다 훨씬 중요합니다.
#휴대폰을 분실하면 eSIM 데이터는 어떻게 될까
SIM 자체를 잃어버리는 것보다 기기 자체를 잃어버리는 것이 더 큰 위험입니다. Apple의 iPhone 또는 iPad 도난 시 공식 안내에서는 "나의 찾기" 앱으로 기기를 즉시 분실 상태로 표시하도록 권장합니다. 이렇게 하면 "활성화 잠금"이 걸려, 다시 활성화하려면 계정 비밀번호가 필요해집니다. 또한 기기를 "나의 찾기" 목록에서 제거하지 말라고도 안내하는데, 목록에서 빼면 잠금이 해제되어 도둑이 기기를 초기화해 되팔기 쉬워지기 때문입니다. 안드로이드의 "내 기기 찾기"도 동일한 잠금과 위치 확인 방식을 사용합니다.
실물 유심이든 eSIM이든, 원격 초기화 기능은 네트워크 단에서 SIM 자체를 비활성화하지는 않으므로, 통신사에 연락해 회선을 정지시키는 절차는 여전히 필요합니다. eSIM의 경우 빼낼 수 있는 물리 카드가 없는 만큼, 통신사 측에서 정지시키는 것이 유일한 비활성화 수단입니다. co:sim 계정 대시보드에 언제든 로그인해 eSIM의 활성 상태를 확인할 수 있습니다. 이 요금제 자체에는 전화번호나 결제 정보가 포함되어 있지 않으므로, 도둑이 훔친 기기로 직접 악용할 수 있는 것도 없습니다.
#자주 묻는 질문
#내 eSIM 프로필을 다른 휴대폰으로 복제할 수 있을까
현실적으로 거의 불가능합니다. eSIM 프로필은 상호 인증된 TLS 세션을 통해 단 한 번만 다운로드되며, GSMA의 SGP.22 표준에 따라 여러분 기기의 특정 eUICC 칩 식별자에 고정됩니다. 즉, 수십 년 전 보안이 취약했던 일부 실물 유심이 겪었던 구식 복제 공격처럼 도둑이 그대로 복사해 다른 기기에 넣을 수 있는 파일 자체가 존재하지 않습니다. GSMA 자체 보안 분석에서도 이 프로토콜이 네트워크 공격자에 대해 보안 목표를 달성한다는 점이 확인되었는데, 이는 다운로드 트래픽을 가로챈 외부인이라도 사용 가능한 프로필 사본을 얻어낼 수 없다는 뜻입니다. 실제 위험은 eSIM 자체가 아니라 한 단계 위, 즉 통신사 계정이나 프로비저닝 서버가 침해당하는 경우에 있으며, 이는 실물 유심에도 똑같이 해당하는 위험입니다. co:sim이 설정 파일을 단순히 이메일로 보내는 대신 이 인증된 파이프라인을 통해 프로비저닝을 진행하고, 요금제 페이지에 어떤 통신망과 공급사가 쓰였는지 명시하는 이유도 여기에 있습니다.
#유심 스와핑 사기에는 eSIM이 실물 유심보다 안전할까
특정한 위험 하나는 확실히 없앱니다. 물리적으로 빼낼 수 있는 부분이 없으므로 도둑이 eSIM을 빼서 다른 기기에서 재사용할 수 없습니다. 하지만 FTC의 유심 스와핑 사기 안내에서 분명히 밝히듯, 주된 공격 대상은 통신사의 본인 확인 절차이지 SIM 하드웨어 자체가 아니므로, 실물이든 내장형 eSIM이든 이 특정 사기 경로에 대한 취약성은 동일합니다. 사기범이 통신사 상담원을 설득해 번호를 이전시킬 수만 있다면, 플라스틱 카드든 eUICC 칩이든 상관없이 사기는 성립합니다. co:sim 같은 데이터 전용 eSIM은 완전히 다른 각도에서 이 문제를 해결합니다. 애초에 전화번호가 없으므로 유심 스와핑 사기가 전제하는 번호 이전이라는 수법 자체가 co:sim의 eSIM에는 통하지 않습니다. 다만 주 전화번호에 대해서는 통신사 본인 확인과 관련된 위험이 여전히 남아 있습니다.
#eSIM 공급사는 어떤 보안 표준을 따라야 할까
GSMA의 SGP.22는 모든 소비자용 eSIM 공급사가 프로필을 다운로드, 저장, 전환하는 데 사용해야 하는 원격 SIM 프로비저닝 아키텍처를 정의하며, 기기 측 eUICC와 프로비저닝 서버 간에 상호 인증된 암호화 세션을 요구해 어느 한쪽도 사칭될 수 없도록 합니다. 그 프로필을 저장하는 물리적 칩은 별도로, GSMA의 eUICC 보안 보증(eSA) 체계에 따라 독립적으로 인가된 실험실이 Common Criteria 기준으로 평가하며, 칩이 어떤 휴대폰에든 탑재되어 출고되기 전에 인증을 완료해야 합니다. 이 두 층위가 합쳐져 전체 과정의 양끝을 모두 다룹니다. SGP.22는 프로필이 공급사에서 기기로 전달되는 과정을 보호하고, eSA는 프로필을 저장하는 하드웨어 자체를 인증합니다. co:sim이 협력하는 모든 eSIM 공급사와 eSIM을 지원하는 모든 휴대폰 제조사는 저마다의 독자 방식이 아니라 이 동일한 이중 표준 위에서 작동합니다.
#휴대폰을 팔기 전에 eSIM을 미리 삭제해야 할까
네. 먼저 설정에서 기기를 완전히 초기화하면 eSIM 프로필도 다른 모든 설정, 계정과 함께 지워집니다. 그런 다음 별도로 통신사에 연락해 요금제를 해지하거나 이전해야 합니다. 단순 초기화만으로는 네트워크 단에서 서비스가 확실히 해지되지 않을 수 있고, 기기를 초기화한 뒤에도 프로필이 남아 있을 수 있기 때문입니다. Apple의 도난 대응 공식 안내는 자발적으로 기기를 되파는 상황에도 그대로 적용됩니다. 분실 모드가 해제되었는지 확인하고, Apple ID나 구글 계정에서 로그아웃한 뒤, 기기가 완전히 초기화된 상태로 표시되는지 확인한 다음에 상대방에게 넘기세요. 이렇게 하면 다음 사용자가 여러분의 통신사 프로필이나 프로비저닝 이력, 이전 기기에 연결된 co:sim 계정 정보를 볼 수 없고, 전화번호나 데이터 요금제가 기기와 함께 다른 사람에게 계속 사용되는 것도 막을 수 있습니다.
#휴대폰을 분실하면 eSIM 데이터 요금제가 자동으로 해지될까
아닙니다. 기기를 분실했다고 해서 그 아래에 있는 요금제가 자동으로 해지되지는 않습니다. eSIM 프로필은 (이제는 손에 없는) eUICC 칩에 여러분이나 통신사가 직접 해지할 때까지 그대로 남아 있습니다. 바로 이 때문에 분실이나 도난 이후 통신사에 연락해 서비스를 정지시키는 것이 필수 절차이며, 이는 실물 유심의 경우와 완전히 동일합니다. eSIM 표준 자체에는 기기를 분실한 사용자가 통신사를 거치지 않고 스스로 실행할 수 있는 원격 "강제 정지" 기능이 내장되어 있지 않습니다. co:sim의 요금제는 데이터 전용 선불 방식이며 약정이 없어, 후불 음성 회선처럼 청구 위험이 발생하지 않습니다. 요금제 상태 확인, 설치 기한 확인, 도움 요청 등은 프로필이 원래 어떤 기기에 설치되어 있었는지와 관계없이 언제든 co:sim 계정 대시보드에서 할 수 있습니다.
이와 같은 보안 표준을 갖춘 데이터 요금제로 다음 여행을 떠날 준비가 되셨나요?
