많은 사람들에게 '스마트폰 보안 위협'이란 단순히 악성코드 검사를 한 번 더 돌리면 되는 불편함 정도로 여겨집니다. 하지만 실제 보안 위협은 그런 가벼운 수준의 문제가 아닙니다.
문제의 핵심은 해커가 우리의 스마트폰으로 무엇이든 할 수 있다는 사실을 제대로 인식하지 못한다는 점입니다. 흔한 스마트폰 보안 위험 요소를 안다고 해도, 그 지식이 추상적인 수준에 머문다면 아무 소용이 없습니다.
그래서 이번 글에서는 스마트폰이 해킹되어 실제로 당신에게 악용될 수 있는 구체적인 사례들을 소개합니다. 이 글을 읽고 나면 스마트폰 보안이 편집증적인 사람들만의 관심사가 아니라, 누구에게나 필요한 일상적인 습관이라는 것을 깨닫게 될 것입니다.
1. 기기를 원격으로 조종한다
얼마 전 한 연구자가 안드로이드용 크롬 최신 버전에서 제로데이 취약점을 발견했습니다. 이 취약점을 악용하면 해커가 스마트폰의 루트 운영체제까지 완전히 장악할 수 있었고, 모든 안드로이드 버전에서 작동하는 무시무시한 결함이었습니다.
다행히 해당 취약점은 이미 구글에 보고되어(연구자는 상당한 보안 버그 바운티를 받았습니다) 곧 패치될 예정이지만, 해커가 얻을 수 있는 권한의 수준을 보여주는 대표적인 사례입니다. 루트 권한 전체 탈취!
더 놀라운 점은 이 취약점이 앱 관련 악성코드 감염이 아니라는 사실입니다. 크롬이 사용하는 자바스크립트 V8 엔진에 있던 단순한 보안 허점이 원인이었습니다. 스마트폰 보안에 대해 아무리 잘 알고 있다고 생각해도, 언제 어디서든 예상 못한 위협이 기다리고 있을 수 있습니다.
2. 통화를 원격으로 도청한다
앞서 언급한 크롬 취약점이 공개된 것과 비슷한 시기에 또 다른 취약점이 드러났습니다. 이번 문제는 삼성 갤럭시 S6, S6 엣지, 노트4 기기에만 영향을 미쳤지만, 해당 기기 사용자가 많았기 때문에 수백만 명이 위험에 노출되었습니다.
간단히 설명하면, 해커는 중간자(man-in-the-middle) 공격을 통해 피해자의 기기를 가짜 기지국에 연결하고, 그렇게 발신·수신 음성 통화를 가로챌 수 있었습니다. 통화를 가로챈 후에는 내용을 엿듣거나 심지어 녹음까지 가능했습니다.
이런 공격 환경을 구축하려면 개인 해커 혼자서는 감당하기 어려운 복잡한 준비 과정이 필요합니다. 하지만 무섭게도, 피해를 입은 사용자 입장에서는 뭔가 잘못되었다는 사실 자체를 알아차릴 방법이 전혀 없다는 점입니다.
3. 당신의 모든 움직임을 감시한다
2011년, 아이폰4가 가장 인기 있는 폰이던 시절 조지아공과대학의 컴퓨터 과학자가 스마트폰에 내장된 가속도 센서를 실험적으로 활용해 놀라운 결과를 얻었습니다. 책상의 미세한 진동만으로 컴퓨터 키보드 입력을 읽어낼 수 있었다는 것인데, 정확도는 무려 80%를 넘었습니다.
이 문제는 스마트폰을 컴퓨터 책상 위에 두지 않으면 쉽게 피할 수 있습니다. 하지만 해커들이 얼마나 교묘하고 창의적인 방법을 동원할 수 있는지 보여주는 좋은 예입니다.
또 다른 사례로 '플레이스레이더(PlaceRaider)'가 있습니다. 이것은 군사 목적으로 개발된 앱으로, 스마트폰 카메라로 몰래 주변 사진을 촬영한 뒤 그 이미지를 이용해 사용자의 환경을 가상 3D로 재구성할 수 있었습니다.
이것이 어떻게 악용될 수 있을까요? 해커가 이런 악성코드를 당신의 폰에 몰래 설치해 집 내부를 3D로 재현하고, 그 정보로 훔칠 만한 귀중품을 파악한다고 상상해 보세요. 물론 진짜 소름 돋는 부분은 철저한 프라이버시 침해라는 점입니다.
4. 당신의 집에 침입한다
도난 이야기가 나온 김에, 스마트폰과 연결된 가정의 안전에 대해 더 생각해 볼 필요가 있습니다. 특히 스마트홈 제품이나 사물인터넷(IoT) 기기를 집에 들여놓았다면 더욱 그렇습니다.
공정하게 말하자면, 스마트홈 자동화 시스템 자체가 본질적으로 불안전한 것은 아닙니다. 적절한 보안 조치를 취하면 대부분의 일반적인 위협으로부터 안전하게 보호받는 스마트홈을 구축할 수 있습니다. 해킹 가능성 때문에 스마트홈의 편리함을 포기할 필요는 없습니다.
하지만 인터넷에 연결된 어떤 기기든 해킹당할 수 있다는 점은 변하지 않으며, 그 연결 고리 중 가장 약한 고리가 바로 당신의 스마트폰입니다.
예를 들어 스마트폰으로 제어하는 스마트홈 보안 시스템을 사용 중이라면, 해커가 기기를 원격으로 장악했을 때 어떤 일이 벌어질지 상상해 보세요. 문을 열어주거나, 카메라를 끄거나, 그 이상의 끔찍한 일이 일어날 수도 있습니다.
5. 금품을 갈취한다
2013년, 완전히 새로운 유형의 악성코드가 인터넷에 등장했습니다. 컴퓨터를 잠그고 시스템 제어권을 되찾으려면 돈을 지불하라고 강요하는 방식의 사기였는데, 이것이 바로 랜섬웨어(ransomware)입니다. 현재 존재하는 가장 악질적인 악성코드 중 하나로 꼽힙니다.
2014년에는 랜섬웨어가 안드로이드까지 확산되었습니다. FBI 경고를 가장해 사용자가 불법 행위(예: 기기에 아동 포르노가 저장되어 있다며)를 저질렀다고 주장하고, 구속을 피하려면 벌금을 내라고 요구하는 방식이었습니다. 예상대로 많은 사람들이 놀람과 두려움에 벌금을 지불하고 말았습니다.
랜섬웨어 제거가 불가능한 것은 아니지만 결코 쉽지 않습니다. 핵심은 랜섬웨어가 어떤 모습인지 미리 알아두고, 의심스러운 징후를 조기에 식별해 스스로를 보호하는 것입니다.
6. 신원을 도용한다
2014년은 소비자 데이터 보안 역사상 최악의 해 중 하나였습니다. 타깃(Target), AT&T, 이베이(eBay) 같은 대형 기업들이 잇달아 데이터 유출 사고를 겪으면서 수많은 신원 도용 피해가 발생했습니다. 그리고 안타깝게도 이런 사건이 줄어들었다고 말하는 것은 명백한 거짓말입니다.
현실적으로 오늘날 스마트폰은 다양한 경로로 신원 도용으로 이어질 수 있으며, 그중 가장 큰 위험 중 하나가 NFC 기술(일명 '비핑(bumping)')입니다. 해커는 사용자가 눈치채지 못하는 사이 기기에 접근해 민감한 데이터를 가로챌 수 있습니다.
내 신원이 도용되었을까 걱정된다면, 디지털 신원 도용의 경고 신호들을 꾸준히 확인하고 수상한 점이 발견되면 즉시 대응하는 것이 중요합니다.
7. 당신의 기기로 다른 사람을 공격한다
때로 해커들은 당신 기기에 담긴 데이터 자체에는 관심이 없습니다. 대신 당신의 기기를 자신들의 악의적인 목적을 위해 부리는 꼭두각시로 삼고 싶어 하는 것이죠. 적절한 악성코드가 설치되면 당신의 스마트폰은 좀비가 됩니다.
2012년, 안드로이드용 '낫컴패티블(NotCompatible)' 트로이목마는 감염된 모든 기기를 하나의 거대한 봇넷(botnet)으로 묶어 해커가 각종 스팸 메일을 대량 발송하는 데 이용하기 쉽게 만들었습니다. 그리고 2014년에는 더 진화하여 표적 공격을 시작하거나 네트워크를 마비시킬 수 있는 수준으로 발전했습니다.
이런 공격 방식을 분산 서비스 거부(DDoS) 공격이라고 하며, 봇넷은 이 공격으로 악명이 높습니다. 당신의 스마트폰이 이미 좀비가 되었는데도 본인은 전혀 눈치채지 못할 수 있습니다.
스마트폰 보안 위협은 현실이다
이처럼 위에서 소개한 취약점과 공격 기법들은 단순한 불편함 그 이상입니다. 실제로 피해를 입으면 상황이 매우 심각해질 수 있습니다. 그렇기에 늘 경계심을 유지하고 스스로를 보호하는 방법을 배우는 것이 무엇보다 중요합니다.
최소한이라도 나쁜 보안 습관부터 즉시 고치세요. 그것만큼 안전을 크게 개선하는 방법은 없습니다. 동시에 사람들이 흔히 저지르는 스마트폰 보안 실수들을 몸에 새겨두는 것도 잊지 마세요.
혹시 기기가 심각하게 해킹당한 경험이 있으신가요? 어떤 일이 있었는지, 다른 분들에게 어떤 조언을 주고 싶으신지 댓글로 공유해 주세요!