'Stagefright(스테이지프라이트)'라는 이름만 들어도 불길하게 느껴진다면, 그 이유가 있습니다. Stagefright는 안드로이드 역사상 발견된 가장 큰 보안 취약점으로 꼽힙니다. 이 취약점은 안드로이드 2.2 프로요(Froyo) 시절까지 거슬러 올라가며, 약 9억 대에 달하는 안드로이드 스마트폰 대부분에 영향을 미치고, 감염 경로는 MMS(멀티미디어 메시지)입니다.
가장 무서운 점은 수신자가 아무런 조작을 할 필요가 없다는 것입니다. 사용자가 행아웃(Hangouts)이나 기본 문자 메시지 앱을 사용 중이라면, 수신된 MMS가 자동으로 다운로드되어 재생 처리됩니다. 바로 이 과정에서 해커의 악성 코드가 휴대폰에 침투할 수 있습니다.
Stagefright는 MP4 동영상 등 멀티미디어 파일 재생을 담당하는 안드로이드의 핵심 라이브러리입니다. 이 취약점이 위험한 이유는 안드로이드 폰에 악성 코드를 전송하는 과정이 지나치게 쉽기 때문인데, 이 악성 코드는 해커가 원하는 어떤 것이든 될 수 있습니다.
내 기기의 취약 여부 확인 방법
구글은 최신 안드로이드 업데이트에서 이미 이 버그를 패치했습니다. 따라서 삼성이나 모토롤라의 플래그십 기종을 사용 중이라면 비교적 안전합니다. 하지만 문제는 모든 사용자가 항상 최신 버전의 안드로이드를 사용하지 않는다는 점입니다. 결국 제조사가 업데이트를 배포해 주기를 기다려야 하는 상황입니다.
취약점을 처음 발견한 회사인 짐페리움(Zimperium)은 자신의 휴대폰이 취약한지 테스트할 수 있는 간단한 앱 'Stagefright Detector'를 공개했습니다. 앱을 다운로드하고 검사를 시작하면 몇 초 만에 결과를 확인할 수 있습니다.
검사 결과 취약하다고 나온다면, 최신 업데이트에 주목하고 가능한 한 빨리 업그레이드하세요. 그리고 아래의 해결책들도 함께 시도해 볼 것을 권합니다.
Stagefright로부터 스스로를 보호하는 방법
안타깝게도 Stagefright는 안드로이드 OS 깊숙이 자리 잡고 있어서 해당 기능만 끌 수 있는 도구는 없습니다. 대신 우회적인 방법을 사용해야 합니다.
핵심은 이 취약점이 MMS가 기기에 자동으로 다운로드될 때만 활성화된다는 사실입니다. 즉, 이 자동 다운로드 기능을 꺼두면 됩니다.
행아웃(Hangouts)
행아웃으로 SMS를 사용 중이라면, 햄버거(≡) 메뉴를 누른 뒤 '설정 → SMS'로 이동하여 'MMS 자동 가져오기(Auto-retrieve MMS)' 옵션을 체크 해제하세요.
구글 메신저(Messenger)
구글의 메신저 앱을 사용 중이라면, 점 세 개(⋮) 메뉴 버튼을 누르고 '설정'을 선택합니다. '고급' 메뉴로 들어가 '자동 가져오기(Auto-retrieve)' 옵션을 비활성화하세요.
메시징(Messaging)
구버전 안드로이드를 사용 중이라면 기본 탑재된 메시징 앱을 사용하고 있을 가능성이 높습니다. '메뉴' 버튼을 누르고 '설정'으로 이동한 뒤, '멀티미디어(MMS) 메시지' 섹션을 찾아 '자동 가져오기' 옵션을 체크 해제하세요.
어떤 문자 메시지 앱을 사용하든 설정 어딘가에는 반드시 이 옵션이 존재합니다. 찾아서 반드시 비활성화하시기 바랍니다.
보다 철저하게 대비하고 싶다면, 사용 중인 문자 앱이 지원한다면 알 수 없는 연락처에서 오는 문자 메시지 자체를 차단하는 방법도 있습니다. 이렇게 하면 앱이 더 이상 MMS를 자동으로 다운로드하지 않습니다.
MMS 사용이 아직 활발한 지역에 거주하고 있다면, 적어도 모르는 사람에게서 온 MMS는 열어보지 않는 습관을 들이세요.
근본적인 해결책
지금 소개한 방법들은 패치 업데이트를 받기 전까지의 최선의 방어책입니다. 좀 더 직접적으로 문제를 해결하고 싶다면, 휴대폰을 루팅하고 커스텀 롬(CyanogenMod 등 CM 기반 롬)을 설치하여 보안 업데이트를 신속하게 받는 방법도 있습니다. 실제로 CM은 나이틀리(nightly) 빌드에서 이미 이 버그를 수정했으며, 곧 정식 안정판에도 반영될 예정이었습니다.
안드로이드 보안 논쟁
Stagefright 버그는 안드로이드 보안에 대한 논쟁을 다시 한번 촉발시켰습니다. iOS보다 안드로이드가 덜 안전하다고 생각하시나요? 아니면 10억 개가 넘는 다양한 기기에서 구동되는 무료 오픈소스 운영체제를 선택한 대가일 뿐이라고 보시나요? 아래 댓글로 여러분의 의견을 공유해 주세요.