사람들은 종단간 암호화(end-to-end encryption)가 적용된 안전한 메신저 서비스를 이용하면서 자신의 메시지와 기기가 더욱 안전하게 보호되리라 믿습니다. 실제로 대체로 그렇지만, 이러한 앱에도 사용자가 반드시 알아야 할 보안 문제가 존재합니다.
최근 안드로이드 기기의 WhatsApp와 텔레그램에서 '미디어 파일 재킹(media file jacking)'이라 불리는 익스플로잇이 공개되었습니다. 두 앱 중 하나를 사용하고 있다면, 스스로와 기기를 보호하기 위해 꼭 취해야 할 조치들이 있습니다.
미디어 파일은 어떻게 보안 위험이 되는가?
보안 회사 시만텍(Symantec)이 이 취약점을 공개했습니다. 이 취약점은 가짜 뉴스를 유포하거나 사용자가 잘못된 계좌로 돈을 송금하도록 유도하는 데 악용될 수 있습니다. 공격은 메시징 앱이 친구에게 사진이나 동영상을 받는 등 미디어 파일을 수신하는 시스템을 통해 작동합니다.
파일을 수신하려면 안드로이드 기기에 '외부 저장소 쓰기(write to external storage)' 권한이 필요합니다. 즉, 앱이 전달받은 파일을 기기의 SD 카드에 저장할 수 있다는 뜻입니다.
이상적으로는 텔레그램이나 WhatsApp 같은 앱이 내부 저장소에만 쓰기 권한을 가져야 합니다. 그렇다면 파일은 앱 안에서만 열람할 수 있고 다른 앱은 접근할 수 없습니다. 다만 이 경우 누군가 보낸 사진을 카메라 갤러리에서 자동으로 확인할 수 없다는 단점이 생깁니다.
WhatsApp는 기본적으로 외부 저장소에 파일을 저장하며, 텔레그램은 '갤러리에 저장(Save to gallery)' 옵션이 켜져 있으면 SD 카드에 저장합니다.
미디어 파일 재킹이란?
이 공격은 메시징 앱이 미디어 파일을 저장하는 과정 자체를 가로채는 방식으로 작동합니다.
먼저 사용자는 무료 게임처럼 무해해 보이는 앱을 다운로드하지만, 실제로는 기기 백그라운드에서 몰래 실행되는 악성코드가 숨어 있습니다.
이후 사용자가 메시징 앱을 열었을 때, 앱이 외부 저장소에 미디어 파일을 저장하는 구조라면 악성 앱은 파일이 저장 장치에 기록되는 시점과 앱 화면에 표시되는 시점 사이의 찰나를 노려 개입할 수 있습니다.
이미지 출처: Symantec
이는 중간자(man-in-the-middle) 공격과 유사한 방식입니다. 악성 앱은 외부 저장소의 변화를 끊임없이 감시하다가 변화를 감지하는 즉시 끼어듭니다. 메시징 앱에서 실제 파일이 기기에 저장되는 순간 악성 앱이 해당 파일을 자신이 준비한 가짜 파일로 덮어쓰고, 그 결과 가짜 파일이 메시징 앱 화면에 그대로 표시됩니다.
이 공격은 이미지와 오디오 파일 모두에 적용됩니다. 심지어 메시징 앱의 썸네일까지 교체되기 때문에, 사용자는 지금 열고 있는 파일이 상대방이 보낸 원본이 아니라는 사실을 전혀 눈치채지 못합니다.
어떤 정보가 조작될 수 있을까?
대표적인 악용 사례로, WhatsApp나 텔레그램으로 거래처에 세금계산서를 보내는 판매자를 들 수 있습니다. 고객의 기기에 악성코드가 있다면 진짜 계산서를 가짜 계산서로 바꿔치기할 수 있고, 가짜 계산서에는 판매자 대신 사기꾼의 계좌 정보가 담겨 있습니다.
고객은 계산서 금액을 사기꾼에게 송금하게 되며, 자신이 속고 있다는 사실조차 인식하지 못합니다. 고객 입장에서는 평범한 거래처의 계산서로 보이므로 의심할 이유가 없기 때문입니다.
그 외에도 개인 및 업무 문서가 위험에 노출될 수 있습니다. 이 익스플로잇은 개인 사진이나 동영상, 음성 메모, 업무 문서까지 조작할 수 있습니다. 앱으로 주고받은 사진을 부적절한 이미지로 바꾸는 수준의 장난일 수도 있고, 더 정교하게는 임원이 녹음한 음성 메모를 비서에게 보내 받아 적게 하는 과정에서 내용을 통째로 바꿔버리는 일도 가능합니다.
음성 메모는 공격자가 원하는 어떤 내용으로든 바뀔 수 있으며, 이는 큰 혼란을 초래할 수 있습니다.
이 상황이 특히 우려되는 이유는, 많은 사람들이 종단간 암호화 서비스로 주고받는 메시지는 안전하다고 믿기 때문입니다. SMS나 이메일은 조작될 수 있다는 점을 아는 사람들은 지인에게 온 메시지라도 사기를 경계하지만, 암호화 메신저에 대해서는 그런 경계심이 약합니다. 이들 앱이 잠재적 보안 위협이 될 수 있다는 점을 충분히 인식하지 못하는 것이죠.
미디어 파일 재킹은 어떻게 가짜 뉴스를 퍼뜨릴 수 있을까?
이 공격이 초래할 수 있는 또 하나의 예상치 못한 문제는 가짜 뉴스 확산입니다. 많은 사람이 텔레그램의 '채널(channels)' 기능을 이용합니다. 채널은 관리자가 다수의 구독자에게 메시지를 보낼 수 있는 포럼으로, 어떤 이들은 신뢰하는 채널에서 매일 뉴스를 확인하는 뉴스 피드로 활용하기도 합니다.
문제는 미디어 파일 재킹이 뉴스 채널을 교란하는 데 악용될 수 있다는 점입니다. 신뢰할 만한 뉴스 채널 관리자가 뉴스 가치가 있는 이미지를 보내면, 수신자의 휴대폰에 깔린 악성 앱이 그 이미지를 가로채 가짜 뉴스 이미지로 바꿔치기합니다. 관리자는 이런 일이 벌어졌다는 사실을 알지 못하고, 수신자는 그 이미지가 진짜 뉴스라고 믿게 됩니다.
미디어 파일 재킹으로부터 기기를 보호하는 방법
이 취약점에 대한 근본적인 해결책은 개발자가 안드로이드에서 파일을 저장소에 저장하는 방식 자체를 재고하는 것입니다. 하지만 그동안 사용자가 취할 수 있는 빠른 해결책이 있습니다. 바로 외부 저장소에 파일을 저장하는 기능을 비활성화하는 것입니다.
텔레그램에서 설정하려면 앱 화면 왼쪽에서 오른쪽으로 밀어 메뉴를 연 뒤 설정(Settings)으로 이동하고, 채팅 설정(Chat Settings)을 엽니다. 그리고 갤러리에 저장(Save to Gallery) 토글을 꺼짐(off)으로 변경합니다.
WhatsApp에서 외부 파일 저장을 비활성화하려면 설정(Settings)으로 이동한 후 채팅(Chats)을 선택합니다. 그리고 미디어 표시(Media Visibility) 토글을 꺼짐(off)으로 설정합니다.
이 설정을 변경하면 메시징 앱이 미디어 파일 재킹 공격으로부터 보호됩니다.
미디어 재킹을 피하려면 WhatsApp·텔레그램 설정을 지금 확인하세요
미디어 파일 재킹은 공격자가 메시징 앱을 통해 여러분의 기기를 교란할 수 있는 교묘한 수법을 보여주는 사례입니다. 기기가 취약하지 않도록 설정을 미리 바꿔두는 것이 좋습니다.
보안과 메시징 앱에 대해 더 알고 싶다면, 사용자가 반드시 알아야 할 WhatsApp 보안 위협들도 함께 살펴보세요.