스마트폰과 기타 기기를 사용할 때 아무리 보안에 신경을 써도, 우리가 인지하지 못하는 위험은 여전히 존재합니다. 보안 연구자들은 악의적인 공격자가 개인 데이터에 접근할 수 있는 새로운 위협을 끊임없이 발견하고 있습니다.
의외로 보안 취약점의 원인이 되는 것 중 하나가 바로 스마트폰 하드웨어에 내장된 모션 센서입니다. 이 센서는 폰의 움직임을 감지하도록 설계되어 합법적인 용도가 많지만, 교묘하게 오용될 수도 있습니다.
1. 모션 센서로부터 오디오 데이터를 수집하는 앱
보안 연구자들이 최근 안드로이드 폰의 충격적인 취약점을 시연했습니다. '스피어폰(Spearphone)'이라 불리는 이 공격은 스피커 출력 데이터를 가로채, 폰이 근처에 있을 때 나누는 대화를 도청할 가능성이 있습니다. 이 공격은 기기의 가속도와 기울기, 회전을 측정하는 모션 센서의 가속도계(accelerometer)를 이용하는데, 구글 지도 같은 위치 기반 앱도 위치 파악을 위해 이 가속도계를 사용합니다.
스피어폰은 이 부품을 일종의 마이크로 변환하는 방식으로 작동합니다. 가속도계는 폰의 스피커와 같은 평면에 위치해 있어, 음성으로 인한 미세한 진동을 감지할 수 있습니다. 누군가 스피커 모드로 통화하거나 구글 어시스턴트 같은 스마트폰 비서와 상호작용할 때, 가속도계가 음성 진동을 포착하고 공격자의 서버로 녹음 파일을 전송할 수 있습니다.
arXiv를 통해 해당 결함을 공개한 연구진은 악성 안드로이드 앱을 직접 만들어 작동 방식을 입증했으며, LG G3, 삼성 갤럭시 S6, 삼성 갤럭시 노트 4 등의 기기에서 테스트를 진행했습니다. 이 앱은 가속도계로 음성을 녹음하고, 연구진이 관리하는 서버로 전송한 뒤 머신러닝 소프트웨어로 자동 분석까지 수행했습니다.
그 결과, 연구진은 수집된 데이터만으로 90%의 사례에서 화자의 성별을 식별했고, 80%의 확률로 화자 본인을 정확히 특정하는 데 성공했습니다.
2. 모션 센서 데이터를 이용해 정체를 숨기는 앱
악성코드가 모션 센서를 활용하는 또 다른 교묘한 방식은 자신의 진짜 목적을 숨기는 것입니다. 트렌드마이크로(Trend Micro)의 보고에 따르면, 보안 연구팀은 이러한 행위를 하는 두 개의 안드로이드 앱을 발견했습니다. 환율 변환 도구인 'Currency Converter'와 배터리 관리 앱인 'BatterySaverMobi'는 유용한 유틸리티처럼 보였지만, 실제로는 신용카드 정보와 온라인 뱅킹 로그인 정보를 훔치는 '아누비스(Anubis)' 뱅킹 악성코드를 숨기고 있었습니다.
이 앱들은 모션 센서를 활용해 탐지를 회피했습니다. 보안 연구자들은 악성코드를 분석할 때 일반적으로 컴퓨터에서 구동되는 가상 운영체제에서 테스트를 진행하는데, 이 환경에서는 모션 센서가 어떠한 움직임도 감지하지 못합니다. 반면 실제 사용자는 폰을 들고 이곳저곳 다니기 때문에 센서가 수많은 움직임을 감지하게 됩니다.
문제의 악성 앱들은 모션 센서를 통해 움직임 여부를 확인했습니다. 움직임이 없으면 앱이 분석 환경에서 테스트 중이라고 판단해 악성 코드를 실행하지 않았고, 덕분에 보안 연구자들은 의심스러운 점을 발견하지 못했습니다. 하지만 실제 사용자가 앱을 설치하고 움직이기 시작하면 앱은 악성코드를 활성화해 데이터 탈취를 시작했습니다.
3. 모션 센서 데이터로 지문(Fingerprinting)을 생성하는 앱
한 번쯤 들어본 적 있을 '브라우저 지문(Browser Fingerprinting)'은 컴퓨터와 브라우저의 데이터를 활용해 사용자를 식별하고 추적하는 기술입니다. 예를 들어 설치된 브라우저 확장 프로그램이나 시스템 글꼴 등을 조합해 고유한 사용자 프로필을 만들고, 인터넷 전역에서 사용자를 따라다닐 수 있습니다.
안드로이드와 iOS 기기 모두 모션 센서를 활용하는 유사한 기술에 취약합니다. '센서ID(SensorID)'라는 기술을 사용하면 폰의 자이로스코프와 자기계(Magnetometer) 센서 데이터로 지문을 생성할 수 있습니다. 이 센서들은 사용자마다 고유한 방식으로 보정되어 있어 개인 식별이 가능합니다. 앱이나 웹사이트가 모션 센서 접근 권한을 가지고 있다면, 인터넷을 사용하는 내내 사용자를 추적할 수 있습니다.
무서운 점은 VPN 사용이나 브라우저 변경 같은 보안 조치로도 이 기술을 막을 수 없다는 것입니다. 심지어 폰을 공장 초기화해도 지문은 그대로 남습니다. 모션 센서의 보정값은 절대 변하지 않기 때문입니다. 게다가 연구자들에 따르면 지문 생성에 1초도 걸리지 않을 만큼 매우 빠른 공격입니다.
모션 센서 데이터를 악용하는 앱으로부터 자신을 보호하는 방법
이러한 공격은 방어하기 까다롭지만, 폰의 모션 센서를 악용한 보안 위협으로부터 스스로를 지키기 위해 취할 수 있는 몇 가지 조치가 있습니다.
새 앱을 설치하기 전에 요구 권한 확인하기
첫째, 앱 권한을 부여할 때 각별히 주의하세요. 플레이 스토어에서 앱을 설치하면 폰의 다양한 기능 사용 권한을 요청합니다. 예를 들어 카메라 앱은 당연히 카메라 접근 권한을 요구합니다.
많은 사용자가 권한 내용을 제대로 읽지 않은 채 동의 버튼을 누르는데, 이것이 보안 위험의 씨앗이 됩니다. 앱을 설치하기 전에 어떤 권한을 요구하는지 반드시 확인하세요. 모션 센서 접근 권한을 요청한다면 그 이유가 무엇인지 생각해 보세요. 합당한 근거가 없다면 과감히 설치를 거부하는 것이 현명합니다.
폰의 스피커를 물리적으로 보호하기
둘째, 대화가 도청될 가능성이 진심으로 걱정된다면 더 직접적인 조치를 취할 수 있습니다. 폰의 스피커 주변에 진동 흡수 재질을 부착하면 모션 센서가 음성 진동을 감지하는 것을 막을 수 있습니다.
또는 스피커를 사용할 때 폰을 테이블 위 같은 딱딱하고 평평한 표면에 올려두지 않는 것도 좋은 방법입니다. 이렇게 하면 가속도계가 소리 정보를 포착하기 어렵습니다.
폰의 OS를 항상 최신 상태로 유지하기
셋째, 지문 추적으로부터 보호하는 가장 확실한 방법은 운영체제를 최신 버전으로 유지하는 것입니다. iOS 12.2에서는 이미 이 문제가 해결되었으며, 구글 역시 이 문제를 인지하고 안드로이드 시스템을 보호하기 위한 업데이트를 진행하고 있습니다.
안드로이드 폰도 보안 위험이 될 수 있습니다
앱이 모션 센서까지 활용해 교묘하게 데이터를 훔칠 수 있다는 점을 기억하세요. 일부 위협은 개인 차원에서 완벽히 막기 어렵습니다. 그렇기에 항상 안드로이드 폰을 최신 상태로 업데이트하고, 앱 설치 시 권한을 꼼꼼히 검토하는 습관이 무엇보다 중요합니다.