스마트폰 배터리가 부족할 때 공공 충전소는 정말 유용한 존재입니다. 하지만 안타깝게도 연구에 따르면 이러한 충전소는 해커들에게도 유용한 도구가 될 수 있다고 합니다.
USB 충전소는 악성코드를 심거나 사용자의 데이터를 빼내도록 설계될 수 있기 때문입니다. 이러한 공격 기법을 주스 재킹(Juice Jacking)이라고 부릅니다.
주스 재킹은 어떻게 작동하나요?
주스 재킹이 가능한 이유는 USB 포트의 구조적 특성 때문입니다. 스마트폰의 USB 포트는 주로 충전용으로 사용되지만, 데이터 전송에도 똑같이 활용될 수 있습니다. 즉, 휴대폰을 충전하기 위해 꽂는 순간 데이터 전송의 문도 함께 열리는 셈입니다.
다만 현재로서는 '잠재적 위협'으로 분류되는 이유가 있습니다. 대부분의 최신 스마트폰은 데이터 전송이 시작되기 전에 사용자에게 허락을 요청하기 때문입니다. 따라서 사용자가 주의만 기울인다면 해킹 시도는 즉시 차단됩니다. 문제는 해커들이 언제 이 보안 장치를 우회하는 방법을 찾아낼지 아무도 알 수 없다는 점입니다.
주스 재킹 피해자가 되면 어떻게 될까요?
주스 재킹은 데이터 유출 또는 기기에 악성코드를 심는 데 악용될 수 있습니다.
데이터 도난
데이터가 도난당했다면 그 피해 규모는 휴대폰에 저장된 내용에 따라 달라집니다. 대부분의 사람들은 사진과 연락처 정도만 저장하고 있어 큰 피해가 없을 수 있습니다.
그러나 가치 있는 정보를 보유한 특정 인물을 노린 표적형 공격에는 주스 재킹이 매우 효과적인 수단이 될 수 있습니다.
악성코드 감염
악성코드는 누구에게나 잠재적인 위협입니다. 충전소에 프로그램을 심어 키로거(keylogger)를 설치하면 휴대폰에 입력하는 모든 비밀번호가 기록될 수 있습니다.
또한 악성코드를 통해 휴대폰 위치를 추적하거나 통화 내용을 녹음할 수도 있고, 최악의 경우 휴대폰 자체를 잠겨 아예 사용하지 못하게 만들 수도 있습니다.
주스 재킹의 탄생 배경
주스 재킹 개념은 2011년 세계적인 보안 컨퍼런스인 DEF CON에서 처음 공개되었습니다. 당시 무료 충전소가 행사장에 설치되었고, 기기를 연결한 사람들에게는 공공 충전 포트의 위험성을 알리는 경고 메시지가 화면에 나타나는 방식이었습니다.
DEF CON은 윤리 해커들이 다수 참석하는 보안 컨퍼런스임에도 불구하고 무려 360명 이상이 자신의 기기를 충전소에 연결했습니다. 전문가들조차 무심코 넘어갈 수 있다는 점을 보여주는 사례입니다.
주스 재킹은 실제 위협인가요?
일반인이 일상에서 주스 재킹을 마주할 가능성은 낮습니다. 이 공격은 보안 연구원들에 의해 입증된 기법일 뿐, 실제 환경에서 발생한 사례는 아직 단 한 건도 확인된 바 없습니다.
다만 주목할 점은, 보안 연구원들이 이런 공격을 시연하는 이유가 이론상 기법들이 결국 실제로 악용되는 경우가 많기 때문이라는 사실입니다. 미래의 위협에 대비하는 차원에서 경각심을 갖는 것이 좋습니다.
주스 재킹을 예방하는 4가지 방법
다행히 주스 재킹은 비교적 쉽게 피할 수 있습니다. 공공장소에서 안전하게 휴대폰을 충전하는 방법을 소개합니다.
1. 전기 콘센트 활용하기
주스 재킹 공격은 반드시 USB 연결을 통해서만 가능합니다. 악성 전기 콘센트를 만드는 것은 불가능하므로, 개인 충전기를 지참해 공공 콘센트를 이용하는 것이 안전한 대안입니다.
2. 보조배터리 구비하기
보조배터리나 여분 배터리는 가격도 부담스럽지 않습니다. 성능 좋은 제품은 휴대폰을 일주일 이상 충전 상태로 유지할 수 있으며, 악성 충전소를 피하는 목적이 아니더라도 일상적으로 매우 편리합니다.
3. 휴대폰 잠금 설정하기
부득이하게 공공 충전소를 사용해야 한다면 반드시 휴대폰을 잠그세요. PIN 번호 입력 없이는 기기에 접근할 수 없도록 설정되어 있다면 이러한 공격은 성립하지 않습니다.
4. 충전 전용 케이블 사용하기
충전 전용(charge-only) USB 케이블을 구입할 수 있습니다. 이 케이블은 전력만 전송할 뿐 데이터 전송 기능이 없어 악성 데이터가 오갈 위험이 없습니다.
이런 케이블을 휴대하고 있다면 의심스러운 포트에 연결하더라도 안심할 수 있으며, 신뢰할 수 없는 컴퓨터로 휴대폰을 충전할 때도 유용합니다.
비디오 재킹(Video Jacking)이란?
공공 충전소는 비디오 재킹에도 악용될 수 있습니다. 주스 재킹과 유사하지만, 데이터를 빼가는 대신 휴대폰 화면에 표시되는 내용을 그대로 다른 기기로 전송하는 공격입니다.
휴대폰을 연결한 후 공격자는 메시지나 비밀번호 등 화면에 나타나는 모든 정보를 볼 수 있습니다. 피해자는 다른 화면이 어디에 있는지 알 수 없기 때문에 자신이 감시당하고 있다는 사실조차 인지하지 못합니다.
이 역시 연구원들이 고안한 이론상 공격이지만, 휴대폰을 어디서 충전할지 신중하게 선택해야 하는 또 하나의 이유가 됩니다.
USB 기기가 주는 다른 위협들
주스 재킹 외에도 불법 USB 기기가 만들어내는 위협은 다양합니다. 해커들은 휴대용 USB 드라이브를 이용해 개인은 물론 대형 조직까지 공격해 왔습니다.
USB 드라이브의 문제점은 프로그램을 통해 무엇이든 실행하도록 만들 수 있다는 점입니다. 악성코드, 랜섬웨어, 트로이 목마 설치가 모두 가능합니다.
일부 컴퓨터는 경고 메시지 없이 USB 드라이브를 자동으로 열기도 합니다. 게다가 USB 드라이브는 값이 저렴해 대량으로 뿌릴 수 있어, 공격자는 수백 개를 흘려두고 단 하나라도 사용되면 이익을 얻는 구조입니다.
해커들은 사람들을 유인하기 위해 온갖 명분을 동원합니다. 2016년 한 연구에 따르면, 캠퍼스 곳곳에 약 300개의 USB를 흘려두었을 때 아무런 요청도 없었음에도 48%가 누군가에 의해 컴퓨터에 꽂혔다고 합니다.
이러한 공격이 만연한 만큼, 출처를 알 수 없는 USB 기기는 절대 사용해서는 안 됩니다.
그 밖의 스마트폰 해킹으로부터 자신을 보호하는 방법
불법 충전소의 위험은 이미 널리 알려져 있으며, 이것이 요즘 휴대폰이 데이터 전송 전에 사용자에게 경고를 띄우는 이유 중 하나입니다. 하지만 스마트폰이 저절로 막아주지 못하는 해킹 기법도 여전히 많습니다.
전통적인 위협으로부터 스스로를 지키는 최선의 방법은 다운로드하는 앱과 파일을 신중하게 검토하고, 연결하는 네트워크를 가려내며, 휴대폰을 다른 사람에게 빌려줄 때 각별히 주의하는 것입니다.