한 보안 연구원이 수십 년 전 설계된 잊힌 전화망 인프라(e164.arpa)의 취약점을 발견해 영국령 해외 영토의 전화 네트워크를 장악하고, 의도치 않게 수십만 건의 전화 통화 기록을 수집하는 사건이 발생했습니다. 이 연구원은 만료된 도메인을 단돈 5유로에 구매하여 세인트헬레나, 영국령 인도양 지역(디에고 가르시아), 어센션 섬 등 세 곳의 국가 코드에 해당하는 전화 통화 라우팅을 제어할 수 있게 되었습니다.
문제의 핵심은 'ENUM(e164.arpa)'이라는 시스템에 있습니다. 이는 2000년대 초반에 전화번호를 인터넷 프로토콜(SIP/VoIP) 주소로 변환하여 값비싼 전화망 대신 저렴한 인터넷으로 통화를 라우팅하려는 아이디어였습니다. 그러나 이 시스템은 제대로 활성화되지 못하고 시간이 지나면서 사실상 '죽은 시스템'이 되었습니다. 연구원은 이처럼 방치된 e164.arpa 영역을 스캔하던 중, 특정 국가 코드들이 만료된 네임서버를 가리키고 있음을 발견했습니다. 그는 해당 네임서버 도메인(ns.enum.org.uk)을 5유로에 구매하여 이들 지역의 전화 라우팅 권한을 확보했습니다. 이론적으로는 이 권한을 이용해 해당 지역으로 걸려오는 모든 통화를 가로채거나 재라우팅할 수 있었으며, 실제로 수십만 건의 DNS 쿼리(전화 통화 시도)가 기록되었습니다.
이 사건은 오래되고 잊힌 디지털 인프라가 얼마나 심각한 보안 위협이 될 수 있는지 명확히 보여줍니다. 비록 ENUM 시스템 자체가 거의 사용되지 않는다고 여겨졌지만, 여전히 일부 통신사나 시스템에서는 이 레거시(legacy) 시스템을 통해 통화 라우팅 정보를 조회하고 있었던 것입니다. 연구원은 이 사실을 영국 정부와 관련 기관에 보고했지만, ITU-T 위원회와 같은 UN 차원의 복잡한 관리 구조 때문에 아무도 문제를 해결하려 하지 않았습니다. 이는 기술적 취약점뿐 아니라 관리 주체의 부재와 복잡한 국제 거버넌스(governance) 문제가 결합될 때 얼마나 큰 위험이 발생하는지를 시사합니다. 이러한 방치된 인프라는 국가 안보와 개인 정보 보호에 심각한 영향을 미칠 수 있음을 경고합니다.