공공장소에서 블루투스를 켜둔 상태로 있다면, 근처의 누군가 자신의 휴대폰과 내 휴대폰을 페어링해 사진까지 몰래 내려받을 수 있다는 사실을 알고 계셨나요?
무섭게 들리지만 이런 일은 누구에게나 일어날 수 있습니다. 그 이유는 '블루스노핑(bluesnarfing)'이라는 공격 기법을 아는 사람이 많지 않기 때문입니다.
본인이 시도한 적 없는 블루투스 관련 활동이 휴대폰에서 감지된다면, 이미 누군가 블루스노핑 공격을 시도했을 가능성이 높습니다. 이번 글에서는 이러한 활동을 식별하는 방법과 예방 대책을 자세히 살펴보겠습니다.
블루스노핑(bluesnarfing)이란 무엇일까요?
블루스노핑은 경계심을 늦춘 피해자의 데이터를 블루투스 연결을 통해 훔치는 해킹 기법입니다. 숙련된 사이버 공격자는 블루투스 기술의 취약점을 교묘히 악용해 블루투스가 켜져 있는 모든 기기에 침입합니다.
블루투스 해킹은 스마트폰에만 국한되지 않습니다. 노트북, 태블릿 등 블루투스를 지원하는 거의 모든 디지털 기기에서 발생할 수 있으며, 해커는 연락처, 사진, 메시지, 동영상은 물론 기기에 저장된 비밀번호까지 짧은 시간 안에 빼낼 수 있습니다.
사이버 범죄자들은 먼저 블루투스가 활성화되어 있고 검색 가능(discoverable) 상태인 기기를 찾아냅니다. 이후 취약점 스캐닝 기법으로 휴대폰의 OBEX(Object Exchange, 객체 교환 프로토콜)의 허점을 파악한 뒤, 이를 통해 자신의 기기와 피해자 기기 간에 데이터를 주고받습니다.
대부분의 경우 피해자는 누군가 자신의 휴대폰에 접근했다는 사실조차 인지하지 못합니다. 해커는 '블루다이빙(Bluediving)'이라는 도구를 사용해 블루투스가 활성화된 기기에서 데이터를 내려받습니다.
블루다이빙은 취약한 기기를 식별하는 유틸리티입니다. 숙련된 프로그래머는 직접 블루스노핑 프로그램을 만들기도 하고, 일부는 다른 전문가에게 의뢰해 도구를 제작하기도 합니다.
블루스노핑을 '블루재킹(bluejacking)'과 혼동하는 경우가 많습니다. 두 기법은 엄연히 다릅니다. 둘 다 블루투스와 관련된 범죄라는 점은 같지만, 블루재킹은 주로 광고 목적으로 타인의 휴대폰에 원치 않는 메시지를 보내는 행위입니다. 블루재킹 역시 불법이지만, 블루스노핑만큼 심각한 수준은 아닙니다.
누군가 당신을 블루스노핑하려 한다면, 기기에서 민감한 정보를 빼내려는 것입니다. 해커가 기기에 침입하면 데이터를 마음대로 사용할 수 있으며, 피해자는 자신의 기기 통제권을 잃고 남이 자신의 휴대폰을 조작하는 꼴을 지켜보게 됩니다. 참고로 블루스노핑 공격자는 대체로 30피트(약 9미터) 이내에 위치한 경우가 많습니다.
공격자는 고급 장비를 사용하지 않는 한 멀리서 공격하기 어렵습니다. 멀리서 블루투스 기기에 연결하는 공격 기법을 '블루스나이핑(Bluesniping)'이라고 하는데, 해커들이 근거리 밖의 기기를 공격할 때 사용하며 일반적인 블루투스 통신 범위를 넘어설 수 있습니다.
블루스노핑, 어떻게 알아차릴 수 있을까요?
당신의 데이터는 금광과 같습니다. 누가 어떤 이익을 위해 노리고 있을지 모르기 때문에 반드시 스스로 지켜야 합니다. 실제로 여러분이 좋아하는 기업 중에도 데이터 수집을 업으로 삼는 곳이 있습니다.
많은 사람이 블루스노핑의 희생양이 되는 이유 중 하나는 대부분의 기기에 적용된 기본 블루투스 설정 때문입니다. 요즘 스마트폰 상당수는 출고 시 블루투스가 검색 가능 모드로 설정되어 있어, 해커가 30피트(약 9m) 범위 안에만 들어오면 손쉽게 기기에 접근할 수 있습니다.
앞서 언급했듯이 해커는 블루스노핑으로 데이터에 접근하지만, 위험은 그것만이 아닙니다. 공격자가 피해자 명의로 전화를 걸거나 연락처에 문자를 보내는 일도 가능합니다. 사이버 범죄자들은 휴대폰에 침입한 뒤 피해자의 이미지를 실축시키거나 지인들을 사기하는 데까지 나아갈 수 있습니다. 따라서 공격을 조기에 식별해 즉시 대응하는 것이 무엇보다 중요합니다.
흥미롭게도 블루스노핑은 노트북 없이는 실행할 수 없습니다. 공격자는 보통 노트북에 블루투스 동글(dongle) 등의 도구를 연결해 공격을 수행합니다.
블루스노핑은 고도화된 사이버 공격에 속하기 때문에 프로그래밍 전문가만 실행할 수 있습니다. 이들은 종종 더 큰 범죄 조직의 일원으로 활동하며, 빼낸 데이터를 다크웹에서 판매해 수익을 올립니다.
'이 정도는 소액 범죄자들의 짓'이라고 생각하기 쉽지만, 놀랍게도 유명 기술 기업들도 이와 유사한 행위에 연루된 적이 있습니다.
실제로 뉴욕타임스(The New York Times)에 따르면 구글(Google)은 2013년 보안이 설정되지 않은 무선 네트워크에서 데이터를 무단 수집한 혐의로 유죄 판결을 받았습니다. 구글의 스트리트 뷰 차량이 도로를 주행하면서 암호화되지 않은 무선 네트워크를 스캔해 이메일, 비밀번호 등 소유자의 동의 없이 데이터를 수집한 사실이 밝혀졌고, 회사는 이 위반 행위로 700만 달러의 벌금을 부과받았습니다.
물론 구글은 블루투스가 아닌 보안이 취약한 Wi-Fi 네트워크를 이용했기 때문에 엄밀히 말해 블루스노핑은 아니지만, 보안이 허술한 기기에서 데이터를 훔친다는 점에서 해커들의 행위와 본질적으로 다르지 않았습니다.
진짜 위험은 블루투스를 항상 켜두는 습관에서 비롯됩니다. 블루투스가 켜져 있으면 기기는 언제든 공격에 노출될 수 있습니다. 또한 해커마다 의도가 다르다는 점도 유념해야 합니다. 예컨대 테러범이나 납치범은 신원을 숨기기 위해 블루스노핑을 악용할 수 있으며, 특히 협박이나 요구 과정에서 추적을 어렵게 만들기 위해 사용될 수 있습니다.
블루스노핑 공격을 예방하는 방법
지금까지 블루스노핑의 위험성과 공격 방식을 살펴봤습니다. 하지만 이 공격에 대응하는 최선의 방법은 예방입니다. 미리 대비해두면 사후 처리에 대해 걱정할 필요가 없습니다.
블루스노핑이 까다로운 이유는 제3자가 개입하지 않기 때문에 데이터 유출 피해에 대한 보상 청구가 사실상 불가능하다는 점입니다. 결국 데이터를 지키는 일은 오롯이 본인의 책임이므로 충분한 보호 조치를 취해야 합니다.
블루스노핑 공격을 막기 위해 실천할 수 있는 방법은 다음과 같습니다.
- 기밀성이 필요한 데이터는 블루투스를 사용하지 않는 기기에 보관하기
- 모바일 기기에 최신 업데이트 설치하기
- 사용하지 않을 때는 블루투스 연결 끄기
- 출처를 알 수 없는 기기와의 페어링 요청 거절하기
- 기기에 강력한 비밀번호 설정하기
- 비밀번호 주기적으로 변경하기
특히 블루투스를 평소에 꺼두면 무단 접근 자체를 차단할 수 있습니다. 공격자에게는 활성화된 연결이 있어야만 공격할 거리가 생기기 때문입니다.
블루투스를 꺼서 블루스노핑을 막으세요
수많은 기기가 사이버 위협에 노출되는 이유는 소유자가 기기를 제대로 보호하지 않기 때문입니다. 블루투스 사용자들 사이에서 인식이 부족한 탓에 블루스노핑은 점점 기세를 얻고 있습니다. 더 많은 사람이 블루스노핑을 인지하고 데이터를 스스로 보호할수록, 증가하는 피해 사례를 걱정할 일도 줄어들 것입니다.
구형 기기에서는 블루투스를 끄는 것만으로도 충분히 안전했습니다. 하지만 최신 스마트폰에는 인증 기능이 내장되어 있음에도 해커가 이를 우회해 신뢰할 수 없는 기기와 페어링하는 사례가 보고됩니다. 이는 최신 기술이 항상 최선은 아니라는 뜻입니다. 때로는 구식 방법이 더 효과적일 수 있습니다. 블루투스를 끄는 것만으로 블루스노핑을 예방할 수 있다면, 다소 올드스쿨처럼 보여도 실행할 가치가 충분합니다.