새 모델이 출시될 때마다 더욱 강력해지는 기능과 함께 스마트폰은 외부 침입에 취약해지고 있습니다. 흥미로운 점은, 보안을 위협하는 요소 가운데 일부는 우연히 생긴 설계상 결함이 아니라는 사실입니다. 제조사가 의도적으로 소프트웨어에 심어 넣은 '기능'들이며, 이들은 사용자의 눈에 보이지 않는 곳에서 조용히 작동하면서 우리 스마트폰의 보안 수준을 낮추고 있습니다.
원플러스(OnePlus), 애플(Apple), 구글(Google)은 바로 이런 논란이 될 만한 기능을 자사 소프트웨어에 추가한 대표적인 기업입니다. 즉, 해당 소프트웨어를 탑재한 모든 스마트폰이 공격에 노출될 수 있다는 뜻입니다. 더 심각한 문제는 일반적인 보안 설정만으로는 이러한 기능을 차단하거나 비활성화할 수 없다는 점입니다. 물론 이런 기능들이 도입된 배경에는 사용자 경험 개선이나 성능 향상이라는 명분이 있었겠지만, 결과적으로 고객의 프라이버시를 무시하는 행위입니다. 지금부터 하나씩 자세히 살펴보겠습니다.
1. 구글의 'Cell ID' — GPS를 꺼도 위치는 노출된다
당신의 현재 위치가 동의 없이 구글로 전송되고 있다면 어떨까요?
GPS를 껐거나, 관련 앱을 전혀 사용하지 않았거나, 심지어 단말기에 SIM 카드가 없는 상황이라도 위치 정보는 추적될 수 있습니다. 구글은 기지국(cell tower)과의 거리·근접성을 활용해 이를 실현하는데, 그래서 이 기능의 이름도 'Cell ID'입니다.
명분: 구글 측 설명에 따르면 Cell ID는 메시지가 빠르게 전달될 수 있도록 추가 신호를 코딩하기 위한 목적으로 사용되었다고 합니다. 그러나 논란이 커지자 구글은 한 달 내로 이 기능을 원격으로 비활성화할 계획을 밝혔습니다. 다만 향후 업데이트에서 유사한 형태로 다시 등장할 가능성도 있습니다. 의도가 선량했다 하더라도, 사용자 동의 없이 이런 기능을 작동시키는 것은 분명 잘못된 행위입니다.
2. iOS 제어센터 — 껐다고 생각한 Wi-Fi와 블루투스의 '착시'
iOS 설정 앱에서 Wi-Fi나 블루투스를 끄면, 연결된 기기와의 통신이 끊기고 해당 무선 라디오(radio) 자체가 완전히 종료됩니다. 다시 켜기 전까지는 Wi-Fi나 블루투스를 사용할 수 없죠. 원래의 작동 방식은 이렇습니다. 그런데 '제어센터(Control Center)'가 도입되면서 이 과정에 미묘하지만 중요한 변화가 생겼습니다.
제어센터는 Wi-Fi와 블루투스 토글을 포함해 다양한 기능에 빠르게 접근할 수 있게 해 줍니다. 문제는 여기서 Wi-Fi나 블루투스를 꺼도, 설정 앱에서 끄는 것과 달리 무선 라디오가 완전히 종료되지 않고 기존 연결만 해제된다는 점입니다. 실제로 범위 안에 블루투스 기기나 핫스팟이 감지되면 단말기는 자동으로 다시 연결을 시도합니다.
소름 돋는 사실: 새벽 5시가 되거나 기기를 재부팅하면, 범위 내에 있다면 이전에 연결했던 기기나 핫스팟에 자동으로 다시 접속됩니다.
물론 설정 앱을 통해 예전 방식대로 Wi-Fi와 블루투스를 완전히 끄는 것은 여전히 가능합니다. 하지만 제어센터에서 토글을 내린다고 해서 '완전히 꺼졌다'고 믿는다면, 그것은 기만일 뿐입니다.
명분: 제어센터는 편의성을 위해 도입된 기능입니다. 그러나 충분한 안내와 교육 없이 이렇게 모호하게 동작하게 두었다면, 그것은 사용자를 속이는 것과 다름없습니다.
3. 원플러스의 'EngineerMode' — 출고 단계에서 지워지지 않은 루팅 기능
원플러스는 'EngineerMode'라는 기능을 탑재했습니다. 이 기능은 스마트폰을 루팅(rooting)할 수 있는 것으로, 통상 출고 전에 반드시 제거되는 엔지니어링용 기능입니다. 그런데 원플러스는 이를 제거하지 않은 채 일반 사용자에게 판매한 것입니다.
'EngineerMode'는 명령줄 또는 'dialer command'라고 불리는 안드로이드 액티비티 런처를 통해 활성화할 수 있으며, 폰에 대한 루트(root) 권한을 부여합니다. 접근이 비밀번호로 보호되긴 하지만, 그 비밀번호가 매우 취약합니다. 즉, 폰에 물리적으로 접근할 수 있는 사람이라면 누구든 쉽게 침입할 수 있습니다. 샤오미(Xiaomi)와 아수스(Asus) 같은 다른 제조사의 스마트폰에도 유사한 기능이 존재한다는 의심이 제기된 바 있습니다.
원플러스는 EngineerMode가 보안 위협이 아니라고 입장을 밝혔지만, 그럼에도 다음 소프트웨어 업데이트 주기에서 해당 기능을 제거하겠다고 약속했습니다. 설령 회사가 말한 대로 보안 위협이 아니더라도, 이런 기능을 포함시키면서 사용자에게 알리지 않은 것 자체가 잘못입니다.
4. 왜 '투명성'이 필요한가?
고객의 보안을 위협하는 기능을 넣어 놓고도 이를 알려주지 않는 것은 고객에 대한 오만함입니다. 세 건의 사례 모두, 기업들이 논란이 될 만한 기능을 결정할 때 고객의 알 권리를 전혀 고려하지 않았음을 보여줍니다. 안드로이드 스마트폰은 동의 없이 위치 정보를 전송했고, 애플은 제어센터의 'Wi-Fi/블루투스 토글'이 실제로는 완전히 꺼지지 않는다는 점을 사용자에게 제대로 교육하지 않았으며, 원플러스 역시 '폰을 루팅할 수 있는 기능'의 존재를 고객에게 알리지 않았습니다.
더 중요한 것은, 기업들이 이런 기능들의 존재를 인정한 시점이 연구자들이 깊이 파헤친 이후였다는 사실입니다. 이는 다시금 이런 질문을 던지게 됩니다. 우리가 아직 모르는, 이런 식으로 숨어 있는 기능이 스마트폰 안에 얼마나 더 존재하는 걸까요?
투명성은 신뢰를 강화하고 고객에 대한 존중을 보여주는 최소한의 태도입니다. 그런데 아이러니하게도, 그 투명성은 가장 사랑받는 테크 거인들에게서 가장 크게 결여되어 있었습니다.