[논문 리뷰] Call Me MayBe: Understanding Nature and Risks of Sharing Mobile Numbers on Online Social Networks

Prachi Jain, Ponnurangam Kumaraguru|arXiv (Cornell University)|2013. 12. 12.

Privacy, Security, and Data Protection참고 문헌 27인용 수 6

한 줄 요약

이 연구는 인도의 모바일 번호가 트위터와 페이스북과 같은 온라인 소셜 네트워크(OSN)에서 얼마나 퍼지고, 그 이유는 무엇이며, 어떤 위험이 있는지를 조사한다. 76,347개의 공개 게시된 번호 데이터를 바탕으로, 대부분의 사용자는 비개인적 목적(예: 비상 요청, 마케팅, 숙박 서비스 등)으로 번호를 공유했으며, 이 중 38.3%는 자신의 번호가 공개된 사실을 모른 채 자신이 공유했다. 연구는 노출된 번호가 OSN, Truecaller, 공개 정부 데이터, WhatsApp 등의 자료를 통합함으로써 민감한 개인 정보(예: 유권자 식별번호, BBM 핀)와 연결될 수 있음을 입증했으며, 2,492명의 사용자에게 음성 안내 시스템(IVR)을 통해 위험을 알렸다. 그 결과, 사용자들이 보편적으로 위험을 인지하지 못하고 있으며, 음성 피싱 위협에 노출되어 있음을 확인했다.

ABSTRACT

There is a great concern about the potential for people to leak private information on OSNs, but few quantitative studies on this. This research explores the activity of sharing mobile numbers on OSNs, via public profiles and posts. We attempt to understand the characteristics and risks of mobile numbers sharing behaviour on OSNs and focus on Indian mobile numbers. We collected 76,347 unique mobile numbers posted by 85905 users on Twitter and Facebook and analysed 2997 numbers, prefixed with +91. We observed, most users shared their own mobile numbers to spread urgent information; and to market products and escort business. Fewer female users shared mobile numbers on OSNs. Users utilized other OSN platforms and third party applications like Twitterfeed, to post mobile numbers on multiple OSNs. In contrast to the user's perception of numbers spreading quickly on OSN, we observed that except for emergency, most numbers did not diffuse deep. To assess risks associated with mobile numbers exposed on OSNs, we used numbers to gain sensitive information about their owners (e.g. name, Voter ID) by collating publicly available data from OSNs, Truecaller, OCEAN. On using the numbers on WhatApp, we obtained a myriad of sensitive details (relationship status, BBM pins) of the number owner. We communicated the observed risks to the owners by calling. Few users were surprised to know about the online presence of their number, while a few others intentionally posted it online for business purposes. We observed, 38.3% of users who were unaware of the online presence of their number have posted their number themselves on the social network. With these observations, we highlight that there is a need to monitor leakage of mobile numbers via profile and public posts. To the best of our knowledge, this is the first exploratory study to critically investigate the exposure of Indian mobile numbers on OSNs.

연구 동기 및 목표

• 인도의 OSN(예: 트위터, 페이스북)에서 모바일 번호 공유의 성격과 동기를 이해하기 위해.
• 공개된 모바일 번호로 인한 개인정보 유출 위험, 특히 신원 재식별 및 음성 피싱 공격에 대한 위험을 평가하기 위해.
• 사용자가 자신의 모바일 번호 노출에 대해 얼마나 인지하고 있는지 평가하고, IVR 기반의 위험 알림 시스템을 통해 위험을 통보하기 위해.
• 수집기 및 다중 플랫폼 확산을 포함한 번호 공유의 기술적 및 행동 패턴을 규명하기 위해.
• 사용자 인식 향상과 기술적 보호 조치를 통해 OSN에서의 모바일 번호 노출을 방지하기 위한 권고를 제시하기 위해.

제안 방법

• 키워드 기반 크롤링 및 검증 기법을 사용해 공개 트위터 및 페이스북 게시물에서 76,347개의 인도 모바일 번호를 수집했다.
• +91로 시작하는 2,997개의 번호를 여러 자료원(소셜 네트워크, Truecaller, OCEAN(공개 정부 데이터), WhatsApp)을 통해 검증했다.
• LIWC 및 수동 태깅을 활용한 문맥 및 장르 분석을 통해 번호 공유의 동기를 분류했다(예: 비상, 마케팅, 개인적 목적).
• 트위터에서 번호 확산 네트워크 분석을 수행해 영향 범위와 확산 깊이를 평가했다.
• FreeSWITCH와 자바를 사용한 IVR 시스템을 구현해 2,492명의 사용자에게 연락을 취하고 개인정보 유출 위험을 알렸다.
• 공개 자료에서 OSN, Truecaller, 공개 정부 자료를 통합해 모바일 번호와 민감한 개인 정보(예: 유권자 식별번호, BBM 핀) 간의 연결을 실험했다.

실험 결과

연구 질문

• RQ1 인도 사용자가 온라인 소셜 네트워크에서 자신의 모바일 번호를 공유하는 주요 동기는 무엇인가?
• RQ2 모바일 번호는 OSN에서 얼마나 확산되는가? 이는 비상, 마케팅 등 맥락에 따라 어떻게 다를까?
• RQ3 공개된 모바일 번호에 노출된 사용자는 얼마나 취약한가? 이 번호를 통해 어떤 민감한 정보를 재식별할 수 있는가?
• RQ4 사용자는 자신의 모바일 번호가 온라인에 존재한다는 것을 얼마나 알고 있으며, 위험 알림에 어떻게 반응하는가?
• RQ5 플랫폼과 도구 간 번호 공유의 기술적 및 행동 패턴은 어떠한가?

주요 결과

• 자신의 번호가 온라인에 존재한다는 사실을 모른 채 번호를 공유했던 사용자 중 38.3%는 실제로 자신이 공유했음을 확인했으며, 이는 사용자 인식 격차가 크다는 것을 시사한다.
• 대부분의 번호 공유가 비개인적 목적에서 비롯되었다: 비상 요청 38.3%, 마케팅(예: IT 서비스, 점성술) 25.6%, 숙박 서비스 12.4%.
• 개인적 목적으로 번호를 공유한 사용자는 14.7%에 불과했으며, 이는 맥락에 특화된 키워드가 부족해 식별이 어려웠다.
• OSN, Truecaller, 공개 정부 자료를 통합한 데이터 통합 실험을 통해 유권자 식별번호나 BBM 핀과 같은 민감한 정보를 모바일 번호와 성공적으로 연결할 수 있었다.
• IVR 알림 결과, 많은 사용자가 자신의 번호가 온라인에 존재한다는 것을 놀라워했으며, 일부는 사업 홍보를 위해 의도적으로 공유했다고 인정했다.
• 특히 마케터들 중 상당수는 스팸 또는 위장 요청(예: Textastrophe를 통한 요청)을 받았으며, 이는 의도적인 공유조차도 예상치 못한 결과를 초래할 수 있음을 보여준다.