구글이 여러분의 모든 데이터를 수집한다는 사실은 이제 와서 새삼 논할 필요가 없다. 이 거대 기술 기업이 어젯밤 여러분이 무엇을 먹었는지, 심지어 애완견에게 벌레가 붙었는지까지 알고 있다는 것은 이미 잘 알려진 사실이니까 말이다.
더 시급한 질문은 따로 있다. 바로 앱 스토어를 사용할 때 우리는 얼마나 안전한가라는 것이다. 현대 스마트폰의 특성상 앱 스토어는 기기에 어떤 앱이 깔려 있든 모든 사용자가 반드시 사용하게 되는 몇 안 되는 앱 중 하나다.
그렇기 때문에 앱 스토어는 정부 기관과 기업은 물론, 범죄자와 해커들에게도 매우 매력적인 표적이 된다.
NSA와 구글 플레이 스토어
만약 그 기업이 곧 해킹의 주체라면 어떤 일이 벌어질까?
최근 미국 국가안보국(NSA)이 구글의 앱 스토어를 자신들의 불순한 목적에 이용하려 했다는 소식이 세간에 알려졌다.
지난주 캐나다 CBC 뉴스가 입수한 '극비(top secret)' 문서에 따르면, NSA와 국제 파트너 기관들은 감시 목적으로 스마트폰 기술을 악용하는 방법을 연구해 온 것으로 드러났다. '이라리턴트 혼(IRRITANT HORN)'이라는 코드명의 프로젝트는 앱 스토어를 경유해 대상 기기에 악성 '임플란트'를 심는 방식을 골자로 한다.
이들이 계획한 방법은 이렇다. 누군가 구글 플레이 스토어에서 앱을 다운로드하거나 업데이트할 때마다 스마트폰이 접속하는 서버를 표적으로 삼는 것이다. 이 서버에는 전 세계 수백만 대의 스마트폰에서 오가는 막대한 데이터가 흐른다. 정보기관은 이 데이터를 이메일 기록, 채팅 내용, 인터넷 검색 이력 등에서 확보한 정보와 대조해 사람들의 인터넷 사용 실태에 관한 데이터베이스를 구축하려 했다.
문서에 따르면 데이터베이스가 완성되면 특정 스마트폰에 스파이웨어를 심어 기기를 장악하고 세부 정보를 빼내려던 계획이었다고 한다.
삼성 스토어 역시 표적이 된 것으로 알려졌지만, 두 회사 모두 아직 이러한 의혹에 대해 공식적인 입장을 밝히지 않았다.
보안 vs 프라이버시, 끝나지 않는 논쟁
놀랍지 않게도 이 소식은 국가 안보와 사용자 프라이버시 중 무엇이 더 중요한가에 대한 또 한 번의 논쟁을 촉발했다.
NSA 지지자들은 NSA의 활동이 극단주의자와 테러리스트로부터 전 세계 수백만 명을 매일 보호하는 데 직접적인 역할을 한다고 주장한다. 반면 비판자들은 그것이 너무 나아갔으며, 프라이버시라는 기본 인권에 대한 침해라고 지적한다. 늘 그렇듯 진실은 아마 그중간 어딘가에 있을 것이다.
그렇다면 묻고 싶다. NSA가 앱 스토어를 해킹할 수 있는 능력을 갖추고 있는 것이 과연 좋은 일일까? 정보기관이 취약점을 방치하거나 적극적으로 보안을 뚫으려 드는 행태를 용인해야 할까? 그리고 가장 중요한 것은, 우리는 이에 대해 무엇을 할 수 있을까?
앱은 받되, NSA는 피하기
선진국의 대부분 휴대전화 사용자는 이제 스마트폰을 사용한다. 2007년 애플이 최초의 아이폰을 출시한 이후 시장은 폭발적으로 성장했으며, 현재 전 세계 스마트폰 사용자는 약 17억 5천만 명으로 추산된다.
모든 플랫폼에는 취약점이 존재하며, 그것을 악용하려는 조직도 항상 있다. — 마이클 액턴(@mracton), 2015년 5월 25일 트윗
하지만 불행히도 앱 없는 스마트폰은 큰 쓸모가 없다. 프라이버시에 민감한 사용자라면 이번 소식이 상당히 불편하게 느껴질 텐데, 바로 이것이 문제다.
그렇다면 무엇을 할 수 있을까?
선택할 수 있는 방법들
다행히도 NSA(그리고 다른 감시자들)를 피해갈 방법이 몇 가지 있다. 하나는 앱 사이드로딩(side-loading)이고, 다른 하나는 대체 앱 스토어를 이용하는 것이다.
크리스천은 지난 2월 APK 파일 사이드로딩에 관한 훌륭한 가이드를 소개한 바 있다. 원래 글의 목적은 지역 제한(geo-restriction) 우회였지만, 그가 소개한 방법은 스마트폰에서 공식 스토어 자체를 피하는 데도 활용할 수 있다. 브라우저 확장 프로그램이나 서드파티 사이트를 통해 익명으로 구글 플레이에서 파일을 추출한 뒤, APK를 기기에 직접 설치하면 된다.
또 다른 선택지는 구글이 아닌 앱 스토어를 이용하는 것이다. 아마존 앱스토어(Amazon Appstore), F-Droid, 모보지니(Mobogenie) 등 구글 플레이의 대체재가 다수 존재한다. 다만 삼성 스토어마저 침해됐다는 보도가 있는 만큼, 이런 대체 스토어 중 일부 역시 이미 침해됐을 가능성을 배제할 수 없다는 점을 유념해야 한다.
단점은 없을까
크리스천의 글에서도 지적됐듯이, 비공식적인 방법에는 몇 가지 단점이 따른다.
첫째, 이런 행위는 구글 서비스 약관에 정면으로 위배된다. 둘째, 실용적인 관점에서 더 중요한 문제는 업데이트가 제대로 설치되지 않을 수 있다는 점이다.
이는 보안 취약점에 노출되는 결과로 이어져, 결국 프라이버시 보호라는 본래의 목적 자체를 무색하게 만들 수 있다.
처음부터 지는 싸움일까?
어쩌면 이것은 애초에 지고 있는 싸움일지도 모른다. NSA의 감시로부터 자신을 완벽하게 보호하는 유일한 확실한 방법은 스마트폰 사용 자체를 포기하는 것처럼 보이기 때문이다.
하지만 대부분의 사람에게 그것은 선택지가 될 수 없다. 대신 NSA가 불법으로 규정되거나 그 관행이 획기적으로 개선되기 전까지는, 어느 정도의 취약성은 감수해야 할지도 모른다.
여러분은 그 취약성을 받아들일 준비가 되어 있는가? 혹시 NSA의 호기심 어린 시선을 차단할 다른 방법을 알고 있는가? 보안이 보장된 앱 스토어를 찾은 경험이 있는가?
여러분의 생각과 의견을 아래 댓글로 알려달라.