턱 밑까지 차오른 안드로이드 보안 위협

모바일 악성 앱의 성장이 폭발적으로 이뤄지고 있다는 기사입니다. 계속해서 모바일 악성 앱은 증가하고 있으며, 스마트폰의 보안 취약점 또한 계속해서 증가하고 있다고 합니다. 이런 증상은 결국 우리 개개인의 개인정보를 위협하는 요소가 됩니다. 현재 대부분의 성인 각 개개인이 모두 개인의 스마트기기를 갖고있는 상황에서 이런 취약한 루트가 있다는 것은 치명적으로 작용할 수밖에 없습니다. 개인정보의 유출로 인하여 직접적으로 금전적인 피해를 겪는 사례 또한 발생하고 있지요. 그렇다면 이를 방어할 보안이 중요시되는 것은 당연한데, 현재 우리나라의 경우는 그 대응가능 수준이 낮은 상태입니다.

 

상대적으로는 국내통신사 등을 통한 어플의 설치가 안전하다는 이점이 있으며, 현재 국가에서는 백신앱의 설치를 의무화한 상태입니다. 그러나 문제는 그 설치가 의무화된 백신의 수준이 높지 않다는 것에 있지요. 외국의 백신 앱과 국내 백신앱의 바이러스 및 악성코드 추출률을 비교해보면 간단히 알 수 있는 사실입니다. 외국에 출시되는 삼성과 LG의 스마트폰에는 국내 백신앱이 아닌 외국의 백신앱이 설치되어 판매되고 있기도 합니다.

 

이에 따라 모바일 악성앱의 대책으로 외국의 현재 더 좋다고 평가되는 백신앱을 활용하는 것이 대응책이 될 수 있을 것이고, 확인되지 않은 링크를 클릭하지 않으며 인증된 앱만을 설치하여야할 것입니다. 그러나 결국 이러한 것은 소비자가 관심을 갖고 대응을 하여야만 해결되는 문제이므로, 근본적인 대응가능 수준을 강화시킬 필요가 있습니다. 국가에서까지 백신앱의 설치를 의무화한 상황에서 그 백신의 수준이 올라갈 수 있도록 국가 및 각 기업의 지원과 노력이 필요할 것입니다.

 

#

 

보스턴 마라톤 대회 테러 미공개 영상”, “북한 미사일 발사, 연평도 국지전 발생 관련 뉴스”. 당황해서라도 링크를 눌러보고 싶지 않은가? 하지만 이 모두가 거짓일 뿐 아니라 악성앱이 내 스마트폰에 들어오고 싶다고 노크하는 소리다.

 

국내외를 가리지 않고 모바일 악성 앱의 성장 규모는 그야말로 폭발적이다. 시만텍은 ‘인터넷 보안 위협 보고서’를 통해 2012년 모바일 악성앱은 2011년에 비해 58% 늘어나 PC와 합친 전제 악성코드에서도 59%의 비중을 차지하게 됐다고 밝혔다. 해킹의 중심이 모바일, 특히 안드로이드로 이동하고 있다는 직접적인 경고다.

▲스마트폰 보급율이 아니다. 취약점이 이렇게 늘어나고 있다. 이제 스마트폰은 악성코드의 중심이 됐다. (자료 : 시만텍코리아)

 

국내도 크게 다르지 않다. 한국인터넷진흥원의 조사 결과에 따르면 지난해까지 한 달에 10건 이내였던 악성 앱 신고 숫자가 올해 1월 들어 55건, 2월 124건을 넘어 3월에 292건으로 매달 2배가 넘는 급증세를 보이고 있다. 게다가 4월 들어서도 신종 악성 앱 증가 추세는 멈추지 않고 있다.

 

해외건 국내건 악성 앱 대부분의 목적은 개인정보를 유출하는 데 있다. 일단 트로이목마 역할을 하는 숙주 앱이 스마트폰에 침투하면 사실상 그 스마트폰의 권한을 모두 갖게 된다. 몇 달 사이에 전화번호나 계정 정보를 훔치는 것에서 점차 진화해 스마트폰을 뒤에서 조정해 실제 소액결제를 이뤄내는 사례가 국내에서도 실제로 벌어지고 있다. 굳이 금전적인 피해를 입지 않아도 인터넷에서 검색하면 상업적인 광고 링크들을 화면 위에 띄워 보여주는 키워드 검색 도우미나 관련 광고를 노출하는 것은 별도의 트래픽을 일으키고 스마트폰의 성능이나 배터리에도 영향을 끼친다.

 

‘개인정보라면 이미 다 노출될만큼 된 것 아닌가?’라고 생각할 수 있지만, 기존 포털을 해킹하는 것과 스마트폰 해킹은 상대방이 할 수 있는 범위 자체가 다르다. 경계해야 할 것은, 단순히 개인 것은 피해자가 피해를 입었다는 사실 자체를 인지하기 쉽지 않다는 점이다.

 

한국인터넷진흥원의 이용재 팀장은 “지난해까지는 짝퉁 앱, 기업 사칭 앱 정도가 대부분이었는데 올해 들어서는 금전적인 피해를 입히는 사례가 급격하게 증가되고 있다”라며 주의를 촉구했다. “최근 소액 결제는 결제 관련 내용도 전달되지 않도록 하기 때문에 피해를 입었다는 사실을 한 달 뒤 요금 청구서를 통해서나 확인할 수 있다”라는 설명도 덧붙였다. 그나마도 요금청구서를 e메일로 받기 때문에 제대로 확인하지 않아 발견하지 못하고 그대로 넘어가는 사례도 적지 않을 것이라는 설명이다.

직접적인 피해 사례는 지난해 10월부터 발견되기 시작한 ‘체스트’다. 마찬가지로 시작은 문자메시지를 통해 앱을 설치하도록 유도한 뒤 스마트폰의 권한을 탈취한다. 악성코드 제작자는 이와 동시에 스마트폰의 전화번호와 통신사 정보를 손에 넣게 된다. 스마트폰 결제가 통신사, 전화번호, 그리고 이를 통한 인증번호 입력으로 이어지는 것을 노리는 방법이다. 해커는 인증메시지를 가로채고 몇 천원에서 몇 만원까지 소액결제를 하고 결제 내역까지 삭제한다. 안랩 관계자는 “체스트는 지속적으로 변종이 발견되고 있으며, 지난해 4분기 14종이었던 것이 올해 1분기 들어 225종에 달할 정도로 급증하고 실제 피해도 적지 않게 일어나고 있다”라고 말했다.

 

이런 앱이 들어오는 경로는 전문적인 해커들이 특정 목표를 공격하는 방법과 크게 다르지 않다. 아직까지는 주로 상대방이 솔깃할 만한 소식들을 전달해 트로이목마를 심는 방식이 대부분이다. 그런데 이 수법이 알면서도 당할만큼 점차 정교해지고 있다. 초기에는 커피전문점이나 제과점 쿠폰이었는데 최근에는 동창회, 연락이 끊어진 친구, 은행이나 정부기관을 사칭하는 등 계속해서 진화한다. 최근에는 링크를 통해 알려지지 않은 앱을 설치하는 것에 대한 경고의 목소리가 커지면서 문자메시지를 통한 앱 설치 수법이 역으로 발전한다. 안랩이 발견한 위험한 사례로 모바일게임의 ‘고득점 버그 생성기’, ‘무료 충전기’를 비롯해 카카오톡 새 버전 업데이트, 심지어 V3모바일 설치를 유도하도록 하는 링크를 보내 비슷한 짝퉁 앱을 설치하도록 한다. 링크를 누를 때부터 이용자에게 내려받아야 하는 ‘앱’이라는 인상을 주는 경우가 많다.

▲3.20 해킹 사건의 분위기를 틈타 백신 설치를 권하는 메시지를 위장한 악성 앱도 기승을 부린 바 있다.

 

안드로이드의 근본적인 문제점은 승인받지 않은 곳에서 안전하지 않은 앱을 설치하는 것에서 시작한다는 것이 기본적인 생각인데, 구글플레이 스토어도 마냥 안심할 수는 없다. 일본에서는 지난주 구글플레이 스토어에 등록된 성인 앱을 통해 개인정보를 유출하려던 사례가 발견됐다. 구글이 재빨리 이를 찾아내 몇 시간 내에 삭제하긴 했지만 6일동안 120개의 앱을 등록하며 구글과 숨바꼭질을 벌였다. 이런 악성 앱은 먼저 조건없이 등록한 뒤 문제 있는 앱을 삭제하는 구글플레이 스토어의 정책을 악용한다. 한국인터넷진흥원 이용재 팀장은 “잘 알려지지 않았지만 이미 국내에서도 비슷한 사례가 일어나고 있다”라며 “국내에서는 상대적으로 통신사들이 제공하는 T스토어, 올레스토어, U+스토어 등이 앱을 사전 검수하기 때문에 안전하다”라고 설명했다.

 

안드로이드 스마트폰 마음놓고 쓸 수 없을까. 안드로이드 운영체제 자체가 보안에 취약하다기 보다는 이용자의 부주의를 노려 스스로 악성 앱을 설치하도록 할 수 있다는 것을 악용하는 사례가 대부분이다. 역설적이게도 이 때문에 알려진 보안 취약점은 상대적으로 적다. 시만텍의 자료에 따르면 2012년 발견된 안드로이드 자체의 취약점은 13개에 불과했지만 악성코드의 대부분은 안드로이드를 겨냥했다. 반면 iOS는 387개의 취약점이 밝혀졌지만 실제 iOS용 악성코드는 단 1개 뿐이었다. 해커들은 ‘안드로이드는 굳이 보안 취약점을 찾지 않아도 뚫고 들어갈 수 있다’고 판단한다는 얘기다. 반대로 그만큼 개인이 앱 설치와 관리에 주의하면 다른 통로로 뚫고 들어오는 위협에서 스스로를 안전하게 지킬 수 있다는 이야기다.

▲안드로이드 4.2에는 외부에서 받은 앱에 대해서도 변조 여부를 검사하는 기능이 더해진다. 하지만 여전히 개인의 각별한 주의가 필요하다.

 

단순히 ‘알 수 없는 소스의 앱 설치’를 막는다고 해결할 수 있는 문제는 아니다. 안드로이드를 쓰다 보면 구글플레이 외에서 직접 APK 설치 파일을 내려받아 앱을 깔아야 하는 경우가 많기 때문이다. 한국인터넷진흥원의 이용재 팀장도 “그저 설치를 막는 것이 답은 아니”라고 말한다. “실질적이고 가장 효과적인 방어법은 개인이 앱 설치를 주의하고 수시로 응용프로그램 설치 내역을 확인하는 습관”이 필요하다고 설명했다. 특히 단축 URL은 그 정체를 확인할 수 없기 때문에 누르지 않거나 앱 설치를 요구하면 무조건 경계할 필요가 있다는 설명이다. “통신사들이 운영하는 마켓이 구글보다 좀 더 안전하다”고 이용재 팀장은 조언했다. 마지막으로 이 모든 것을 마음 놓을 수 있게 하는 것으로 모바일 백신을 꼽았다. 이용재 팀장은 “한국인터넷진흥원은 보고되는 모든 피해 사례, 악성 앱들의 패턴을 모든 백신 업체들과 공유해 곧바로 막도록 대처하고 있다”라며 백신을 적극 활용하길 권했다.

 

현재 국내 유통되는 스마트폰에는 기본적으로 백신 프로그램이 깔려 있고 앱 장터에서도 무료로 내려받을 수 있다. 하지만 PC와 달리 직접 실행시켜야 작동하기 때문에 실시간 감시를 켜두거나 아니면 정기적으로 직접 검사할 것을 당부했다.

 

한국인터넷진흥원과 방송통신위원회는 지난 2월 스마트폰 제조사와 백신 개발 업체들에게 스마트폰을 켜면 기본으로 실시간 감시를 하도록 권고하고 있다. ‘백신을 왜 강제화하냐’는 반발의 목소리도 있었지만 대부분의 이용자들이 PC처럼 깔아놓기만 하면 알아서 감시한다고 생각하는 오류를 막을 수 있는 현실적인 방법이라는 것은 부정하기 어렵다. 이용자가 직접 실시간 검색을 끄고 수동 검사로 전환할 수도 있다.

 

보안업체들도 어떤 악성 앱들이 어떤 피해를 끼칠지 섣불리 내다보기 어려울 만큼 모바일 보안 위협은 그 발전 속도가 빠르다. 방송사와 은행을 발칵 뒤집어놓은 3.20 해킹 사건처럼 전국민을 대상으로 하는 대규모의 피해가 언제 터질지 알 수 없다. 번거롭고 신경 쓸 일이 늘어나고 있지만 해킹은 뉴스에서나 보는 남의 일이 아니다. 오늘도 무차별로 뿌려지고 피해는 순식간에 벌어나는 데다가 실질적으로 소액결제는 구제도 쉽지 않다. 보안에 대해 이야기한 모두가 똑같은 이야기로 마무리를 지었다. 고루해보이지만 답은 이것 뿐이다. “스스로 조심하는 수밖에 없다.”

 

http://www.bloter.net/archives/150110