새 스마트폰 개봉은 기술이 주는 가장 큰 즐거움 중 하나입니다. 셀로판을 벗기고 박스 뚜껑을 열고, 깨끗한 기기의 전원을 켜는 순간. 부팅 로고가 알록달록하게 회전하며 폰은 새로운 운영체제를 준비합니다.
하지만 그 겉모습만큼 깨끗하지 않다면 어떨까요? 밝은 외관 아래에는 더 음험한 무언가가 숨어 있을지도 모릅니다. 실제로 새로 산 안드로이드 폰조차 함부로 믿을 수 없다는 증거가 점점 늘어나고 있습니다.
소비자 가전 제품 공급망의 실태
현대 제조업 공급망은 매우 복잡합니다. 세계화 덕분에 원자재부터 완제품까지 모든 것이 세계 시장에서 거래되며, 소비자 가전도 예외가 아닙니다. 전자제품 최대 생산국 중 하나인 중국은 1980년대경 경제 성장이 시작된 이후 많은 서구 기업들이 생산을 아웃소싱해 온 곳입니다.
중국은 현대 전자공학의 핵심 재료인 실리콘의 최대 생산국이기도 합니다. 전 세계에서 사용되는 소비자 가전의 대부분이 중국에서 만들어지며, 2017년 한 해에만 미국으로 수입된 중국산 제품 규모는 1,890억 달러에 달했습니다. 이러한 폭발적 성장과 시장 지배력이 2018년 내내 양국이 서로에게 높은 관세를 부과한 미중 무역 분쟁의 배경이 되었습니다.
중국이 제조 공급망의 큰 비중을 장악하고 있지만, 재료와 조립 부품은 전 세계에서 조달됩니다. 그래서 애플 기기 뒷면에는 "캘리포니아에서 디자인하고 중국에서 조립했습니다"라는 문구가 새겨져 있는 것입니다. 경제학자 레너드 리드(Leonard Read)는 1958년 에세이 「나, 연필(I, Pencil)」에서 일회용품처럼 보이는 단순한 연필 하나를 만드는 데 필요한 정교한 과정을 상세히 설명한 바 있습니다.
방대하고 복잡한 전자제품 공급망 때문에 정확한 추적은 거의 불가능한 작업이 되었습니다.
안드로이드 스마트폰은 어떻게 만들어지나
애플은 폐쇄적 생태계(walled garden) 방식을 통해 제조 과정을 철저히 통제합니다. 과거 공장 노동자들의 열악하고 위험한 작업 환경에 대한 비난을 받기도 했지만, 생산 프로세스 자체는 엄격하게 관리합니다.
안드로이드 기기는 사정이 다릅니다.
구글은 모바일 운영체제에 대해 사실상 손을 놓고 있는 방식을 택합니다. 안드로이드는 오픈소스이기 때문에 제조사들은 돈 한 푼 지불하지 않고도 원하는 대로 운영체제를 변형할 수 있습니다. 이 비즈니스 모델 덕분에 안드로이드가 주류 시장에 진입해 현재의 지배적 지위를 누리게 되었다는 평가를 받습니다.
그러나 이 방식에는 단점도 있습니다. OS 파편화, 느리거나 아예 제공되지 않는 업데이트, 반응이 없거나 스팸으로 가득한 런처 등이 그 예입니다. 각 제조사와 이동통신사는 기기의 하드웨어와 소프트웨어를 임의로 커스터마이징할 수 있어, 시장에는 수많은 서로 다른 안드로이드 기기가 넘쳐납니다.
제조 과정의 대부분이 중국에서 이루어지기 때문에(중국에서 직접 폰을 구매하는 것이 인기를 끄는 이유이기도 합니다), 공장들은 여러 제조사의 스마트폰을 함께 조립하기도 합니다. 같은 생산 라인에서 브랜딩만 바꿔 생산하는 경우도 있습니다. 이로 인해 많은 기기들이 소프트웨어와 부품, 심지어 완제품 전체를 공유하게 됩니다.
새 스마트폰을 함부로 믿을 수 없는 이유
안드로이드의 개방성은 애플의 엄격하게 관리되는 기기와 달리 맬웨어에 취약한 구조입니다. 구글이 지난 몇 년간 플랫폼 보안 강화를 위해 노력해 왔지만, 제조사들의 부실한 관행과 얽힌 공급망은 악의적인 공격자들에게 기회를 제공합니다.
로튼시스(RottenSys) 맬웨어
2018년 초, 샤오미 레드미(Redmi) 폰에 탑재된 Wi-Fi 서비스가 Check Point Research(CPR) 연구진의 주목을 받았습니다. 조사 결과, 해당 서비스는 Wi-Fi 기능을 전혀 제공하지 않는 것으로 밝혀졌습니다. 대신 Wi-Fi와는 전혀 관련 없는 수많은 민감한 안드로이드 권한을 요청하고 있었습니다.
가장 두드러진 권한 중 하나는 DOWNLOAD_WITHOUT_NOTIFICATION이었습니다. 이 앱은 폰의 초기 부팅 후 약간의 지연을 두고 C&C(Command & Control) 서버에서 악성 소프트웨어를 다운로드하는 데 이 권한을 사용하는 것으로 보였습니다. 로튼시스(RottenSys)로 명명된 이 맬웨어는 MarsDaemon이라는 오픈소스 프레임워크를 활용해 프로세스를 계속 유지함으로써 운영체제의 탐지를 회피했습니다.
C&C 서버는 악성 광고 네트워크용 파일을 제공했고, 가짜 Wi-Fi 서비스가 이를 폰에 몰래 설치했습니다. CPR은 공격자가 10일 운영당 최대 11만 5천 달러를 벌 수 있다고 추정했습니다. 연구진은 또한 공격자들이 감염된 기기를 봇넷(botnet)으로 편입하려 준비 중이라는 증거도 발견했습니다.
CPR의 조사에 따르면 감염된 기기의 거의 절반이 전자제품 도매업체 톈파이(Tian Pai)를 통해 유통되었습니다. 연구진은 톈파이가 공모했다고까지 단정하진 않았지만, 맬웨어가 공급망 어딘가에서 설치되었을 가능성이 높다는 결론을 내렸습니다.
이 맬웨어는 2016년 9월부터 확산되기 시작해 2018년 3월까지 전 세계 약 500만 대의 기기를 감염시켰습니다. 다행히 로튼시스 제거는 위치만 알면 몇 초면 충분합니다. 새 안드로이드 기기에 애드웨어가 가득하다고 느껴진다면 설정으로 이동해 CPR 보고서에 언급된 앱들을 삭제하세요. 해당 앱을 제거하면 로튼시스도 함께 사라질 것입니다.
상하이 애덥스 테크놀로지(Shanghai AdUps Technology)
우리의 스마트폰은 수많은 개인 정보와 민감한 데이터를 생성하고 저장합니다. 새로 산 스마트폰이 그 모든 데이터를 수집해 72시간마다 중국 서버로 전송한다고 상상하는 사람은 없을 것입니다.
그러나 2016년 보안 회사 Kryptowire의 연구원들이 실제로 그런 사례를 발견했습니다. 영향을 받은 펌웨어는 미국에서 판매되는 여러 안드로이드 기기, 인기 기종인 BLU R1 HD를 포함해 발견되었습니다. 안드로이드 권한 시스템을 우회해 모든 데이터에 대한 무제한 접근 권한을 얻었던 것입니다. 보고서에 따르면 수집된 정보는 다음과 같습니다.
"…문자 메시지 전체, 연락처 목록, 전체 전화번호가 포함된 통화 기록, 국제 이동 가입자 식별번호(IMSI), 국제 이동 장비 식별번호(IMEI) 등 고유 기기 식별자를 포함한 사용자 및 기기 정보."
또한 원격으로 기기를 재프로그래밍하고, 앱을 설치하고, 정밀 위치(Fine Location) 데이터를 수집할 수도 있었습니다. Kryptowire는 이 의심스러운 활동의 출처를 중국 기업 상하이 애덥스 테크놀로지로 추적했습니다. 회사 측은 데이터 수집이 실수였으며 해당 펌웨어는 업데이트 제공 용도로만 사용되었다고 해명했습니다. 그럼에도 이들은 미국 정부, 아마존, BLU, 구글과 협력해 스파이웨어를 제거했습니다.
그러나 1년 후 연구진은 상하이 애덥스가 여전히 안드로이드 기기에 스파이웨어를 사용하고 있음을 확인했습니다. 대부분의 데이터 수집 기능은 제거된 것이 아니라 숨겨진 것이었습니다. 미국 판매 기기에서는 일부 기능이 꺼져 있었지만, 여전히 중국 본사로 데이터를 전송하고 있었습니다. Kryptowire는 애덥스가 설치된 앱 목록, 전화번호, 기기 식별자, 기지국 정보를 계속 수집하고 있다고 지적했습니다.
미중 관계의 현 상황을 감안할 때, Kryptowire가 미국 국방고등연구계획국(DARPA)과 국토안보부(DHS)의 자금 지원을 받는다는 점도 참고할 만합니다.
이를 어떻게 해석할지는 독자의 몫입니다.
그렇다면 누구를 믿을 수 있을까?
사전 설치 맬웨어와 내재된 보안 결함에 대한 상당 부분의 책임이 중국에 돌아갑니다. 세계 최대 감시 국가를 운영하는 정치가 제조 산업에 스며들 때가 있다는 것은 사실입니다. 하지만 공격 출처 규명은 어려운 일이며, 책임 당사자를 지목해 비난하는 보고서들조차 대체로 교육받은 추측에 불과합니다.
그렇다고 중국을 완전히 용서해야 한다는 뜻은 아닙니다. 화웨이에 제기된 최근의 의혹들을 고려하면 프라이버시를 중시한다면 화웨이 폰 구매는 피하는 것이 좋습니다. 화웨이가 보안 스캔들에 휘말린 것도 이번이 처음이 아닙니다.
현재까지의 맬웨어 확산은 안드로이드 기기에 국한되어 있지만, 영원히 그럴 것이라는 보장은 없습니다. 애플의 치밀한 관리 아래에서도 맬웨어 위험은 '불가능'이 아니라 '가능성이 낮을' 뿐입니다. 이 모든 불확실성에 지쳐 포기하고 싶다면, 스마트폰을 내려놓고 기능폰(dumb phone)으로 갈아타는 것을 고려해볼 때일지도 모릅니다.