[Special Report 2부] 작지만 똑똑한 모바일, 보안도 스마트한가

모바일 환경의 위협과 대응 방안

스마트폰은 휴대전화에서 발전한 형태임은 분명하지만 단순한 전화기가 아니다. 인터넷 이용을 비롯한 다양한 정보 및 서비스에 이용되는 단말기다. 그러나 스마트폰 역시 하나의 컴퓨팅 기기라는 인식은 보편화 되어있지 않은 것으로 보인다. 그나마 태블릿 PC 는 이름에서부터 PC를 달고 있으니 컴퓨팅 기기로 인식될 수 있겠지만, 실제 제품명은 아이패드, 갤럭시 탭 등인 것을 생각해보면 태블릿 PC도 과연 얼마나 컴퓨팅 기기로서 인식되고 있을지 의문이 든다. 그러나 이들은 엄연히 컴퓨팅 기기이고, 따라서 기존의 컴퓨팅 기기인 데스크톱이나 노트북을 지금까지도 괴롭히고 있는 수많은 위협들이 그들에게도 똑같이, 혹은 더욱 심각하게 영향을 끼칠 수 있다. 특히 개인뿐만 아니라 기업에까지 상당한 영향을 끼칠 수 있는 새로운 모바일 환경을 둘러싼 위협을 다각도로 살펴보고 이에 대해 우리는 무엇을 해야 하는지 알아보자.

일반적으로 데스크톱이나 노트북의 보안에 대해서는 경계심을 갖고 많은 주의를 기울인다. 그러나 스마트폰의 경우에는 보안에 대한 인식이 사실상 전무하다. 대부분 스마트폰을 컴퓨팅 기기로 인식하지 않기 때문이다. 그러나 스마트폰은 계정정보를 비롯한 민감한 개인정보를 다수 저장하고 있다. 특히 스마트폰을 다양한 용도로 사용하면서 개인적인 정보를 비롯해 여러 중요 정보를 스마트폰에 저장하는 경우도 많아졌다. 이는 곧 스마트폰이 또 다른 ‘해킹의 대상’이 될 수 있음을 의미한다. 기존 데스크톱 및 노트북의 경우에서도 그러했듯이 대개 ‘해킹’은 ‘빼낼 정보가 많은 곳’을 대상으로 하는 속성을 갖고 있기 때문이다. 게다가 스마트폰은 언제든지 인터넷 네트워크로 연결될 수 있으며 보통 24시간 내내 전원이 켜져 있는 경우가 많다는 점에서 오히려 데스크톱이나 노트북보다 더욱 위협에 노출되어 있다고 볼 수 있다. 특히 모바일 기기와 관련된 위협은 모바일 브로드밴드에 연결된 개방형 서비스의 모든 영역으로 확산 가능하기 때문에 개인 뿐만 아니라 기업, 더 나아가 우리 사회 전반에도 심각한 영향을 끼칠 수 있다. 게다가 스마트폰 및 태블릿 PC 이용자의 수가 급격히 증가하고 있어 악의적인 공격자들의 핵심적인 타깃이 되는 것은 시간문제라 할 수 있다.
 

[그림 1] 스마트폰 산업 구조와 보안 이슈

단말기 측면에서의 모바일 보안 위협

방송통신위원회(이하 방통위)가 예측한 바에 따르면 국내 스마트폰 누적 가입자수는 2013년에 3천만 명을 돌파하고 2015년에는 4천만 명을 넘어설 것으로 보인다. 또한 태블릿 PC 이용자도 디지털 멀티미디어 활용 증가로 지난 2010년 기준 18만 명에서 2015년 982만 명으로 증가할 것으로 방통위는 예측했다. 얼마 전까지만 해도 책상 위에 위치하던 컴퓨팅 기기가 우리의 손 안으로 옮겨오게 되는 것이다. 더불어 변화된 IT 환경을 둘러싼 위협 역시 우리에게 밀접하게 다가섰다. 책상 위에 위치했던 컴퓨팅 기기가 이제는 우리의 손바닥 안으로 옮겨오면서, 이동성을 주요 특성으로 하는 모바일 기기들에 대한 위협은 기존 단말기들과는 또 다른 위협 요인을 갖고 있다. .

1. 물리적인 위협: 스마트폰 분실
누구나 한 번쯤은 휴대 전화를 분실해본 경험을 갖고 있다. 이는 곧 스마트폰 역시 분실할 확률이 있다는 뜻이다. 게다가 스마트폰은 작다. 노트북보다도 작다. 당연히 스마트폰은 노트북보다도 분실할 가능성이 높다는 뜻이다. 문제는 앞서 언급한 것처럼 스마트폰에는 일정 양의 민감한 개인정보가 필수적으로 저장되어야만 한다는 점이다. 경우에 따라 개인적인 정보 외에 다른 민감한 정보도 저장되어 있을 수 있다. 일반 휴대전화를 잃어버리면 새로 기기를 장만하는데 따르는 금전적 손실과 따로 백업해두지 못한 전화번호, 사진 등에 대한 안타까움이 있을 뿐이지만 스마트폰의 분실은 그러한 손실과 더불어 민감한 정보 유출이라는 결과를 가져오게 된다. 아울러 스마트폰이나 태블릿 PC를 업무용으로 활용하고 있을 경우, 기기 분실에 따른 기업 기밀정보의 유출을 야기할 수 있다.

2. 모바일 악성코드의 위협
방통위에 따르면 전 세계 모바일 악성코드는 2009년 상반기까지 총 542 종이 발견되었으며, 2010년 2/4분기 기준으로 약 600여 종 이상으로 추정되고 있다. 운영체제를 갖춘 컴퓨팅 기기로서의 스마트폰이 급속도로 보급되면서 이를 노리는 모바일 악성코드가 급증할 것이라는 예측이 계속되었다. 다행스럽게도 아직까지 모바일 악성코드로 인한 실질적인 피해는 보고되지 않았지만 올해에는 새로운 모바일 악성코드가 상당수 등장하며 실질적인 피해로까지 이어질 전망이다. 특히 최근에는 사용자의 은행 인증서를 훔치는 것으로 악명 높은 악성 프로그램 제우스(Zeus)의 모바일 버전이 해외에서 발견된 바 있어 모바일 악성코드에 대한 우려가 높아지고 있다.

 

[그림 2] 해외 언론에 보도된 제우스 모바일 변종

 
3. 모바일 기기의 특성을 악용하는 피싱
데스크톱이나 노트북과 마찬가지로 모바일 환경에서도 악성 웹사이트를 방문하도록 유도하는 피싱(Phishing)은 심각한 위협이 될 것으로 보인다. 특히 기존 데스크톱이나 노트북보다 화면의 크기가 작다는 모바일 기기의 특성을 악용하는 피싱이 기승을 부릴 것으로 예상된다. 스마트폰은 화면이 작기 때문에 스마트폰의 웹 브라우저로 접속 시 웹 사이트의 주소 전체를 보기가 어렵다. 따라서 웹 사이트의 주소가 긴 문자열로 나타날 경우 사용자들은 앞부분만 인지하여 별다른 의심없이 정상적인 웹 페이지로 판단하기 쉽다. 그러므로 실제로는 정상적인 웹 페이지의 주소와 유사하게 꾸민 악의적인 페이지로 들어가게 되는 경우가 발생할 수 있다. 또는 웹 사이트 주소 입력 창이나 버튼을 이중으로 구성하여 피싱 사이트에 접속했음을 인지하기 어렵게 하는 기법도 사용할 수 있다.
아울러 스마트폰의 ‘휴대전화’로서의 특징을 이용하는 위협 요인도 존재한다. 대표적으로 스마트폰에 저장된 ‘주소록’을 이용한 피싱을 생각해 볼 수 있는데, 주소록에 등록된 지인에게 금전 이체를 요구하는 메시지를 전달하는 경우다. 문제는 잘 알고 있는 이의 전화번호가 찍힌 문자를 의심하는 사람은 그리 많지 않을 것이라는 점이다. 이와 관련해 안철수연구소 플랫폼개발실 최은혁 실장은 “보이스 피싱과 달리 스마트폰의 문자 메시지를 악용한 피싱은 수신자가 메시지를 보낸 대상을 알고 있다는 것이 문제”라며 “메시지를 보낸 상대방에 대해 의심 없이 믿고 금전 이체를 해주게 된다”고 우려를 표했다.

4. 악성 애플리케이션

[그림 3] WMP로 위장한 악성 애플리케이션 PornoPlayer

 

대표적인 모바일 디바이스 운영체제인 애플의 iOS와 구글의 안드로이드의 애플리케이션 시장에만 약 50만 개의 애플리케이션이 존재한다. 그러나 그 엄청난 수와 더불어 별다른 검증 절차 없이 온라인 장터에 앱을 올릴 수 있다는 점 때문에 악성코드를 포함한 애플리케이션은 물론 악의적인 기능을 수행하는 상용 애플리케이션이 모바일 환경의 위협으로 우려되고 있다.
악성코드를 포함한 악성 애플리케이션의 대표적인 예로는 지난해 8월 최초 발견된 PornoPlayer가 있다. 해당 애플리케이션은 WMP(Windows Media Player) 아이콘 모양을 띠고 있다. 실행 시 이 사용자가 알지 못하는 상태에서 특정 번호로 단문 문자 메시지(SMS)를 보냄으로써 부당한 요금을 과금시키는 기능을 수행하는 것으로 파악되었다. Android-Trojan/SmsSend라는 악성코드명으로 분류되었던 해당 악성 애플리케이션은 이후 거의 한달 간격으로 Android-Trojan/SmsSend, Android-Trojan/SmsSend.B 등의 추가 변종이 발견되어 안드로이드 폰 이용자들의 주의가 당부되기도 했다. 이 밖에도 지난해 블랙햇(Black Hat) 컨퍼런스에서는 전 세계적으로 수백만 명이 내려받은 무료 안드로이드폰 배경화면(월페이퍼) 애플리케이션이 약 400만 명의 문자 메시지, 인터넷 서핑 내역 등 개인 정보를 유출했다는 것이 밝혀지기도 했다.
 한편 악의적인 기능을 수행하는 상용 애플리케이션도 문제가 되고 있다. 실제로 지난 해 말 스마트폰의 통화 내역, 문자 송수신 내역, 위치 정보, 이메일 내용 등 민감한 개인 정보를 외부로 유출하는 스파이웨어(Spyware)가 해외에서 개발 및 판매, 유통되어 우려를 낳았다. 이러한 애플리케이션들은 주로 배우자가 바람을 피우는지를 감시하기 위한 프로그램, 또는 직원 감시, 자녀보호. 스마트폰 데이터 자동 백업 등의 서비스로 판매되었다. 문제는 해당 스마트폰 사용자의 개인 정보 및 사생활이 모두 스파이웨어 제작 업체로 전송되며 해당 스파이웨어 프로그램을 구입한 사용자는 웹사이트에서 접속해서 관련 내역을 확인할 수 있다는 점이다. 특히 정작 사용자들은 해당 스파이웨어가 자신의 스마트폰에 설치된 사실을 모르고 스마트폰을 사용하게 되어 더 큰 문제라 할 수 있다. 이러한 스파이웨어는 실제 사용자가 아닌 배우자나 지인 등 타인에 의해 스마트폰 단말기에 설치되어 동작하며 개인의 중요한 정보는 물론 개인 사생활 내역을 외부로 유출시키는 경우가 대다수이기 때문이다. 이와 관련해 안철수연구소 모바일플랫폼팀의 이성근 책임연구원은 “일반 사용자들로서는 스마트폰에 구동 중인 서비스를 일일이 알기 어렵기 때문에 피해를 인식하지 못 하는 경우조차 많다”고 지적했다.
악성 애플리케이션의 위협은 안드로이드 운영체제에만 해당되는 것은 아니다. 일각에서는 애플 iOS의 앱스토어가 안드로이드 앱 마켓에 비해 보다 폐쇄적으로 운영되고 있다고는 하지만 이미 35만 개에 달하며 앞으로도 꾸준히 증가하는 앱들을 완벽하게 검증해내는 것은 물리적으로 무리가 있다는 의견을 제기하고 있다. 또한 익히 알려진 바와 같이 '탈옥'한 아이폰이나 아이팟 등의 경우에는 PC와 마찬가지로 멀티태스킹이 가능하고 애플 앱스토어를 벗어나기 때문에 악성코드에 감염될 가능성이 높다.

 

네트워크 측면에서의 모바일 위협

웜, 바이러스, 스팸이나 피싱 등 데스크톱, 노트북을 이용하던 환경에서 나타났던 모든 위협들은 모바일 환경에서도 그대로 나타난다. 이것은 네트워크의 측면에서도 마찬가지다. 기존 컴퓨팅 환경의 네트워크를 공격하던 위협들과 마찬가지로 이제는 모바일 환경의 무선 데이터 네트워크를 노리는 위협이 보다 가까이 다가왔다.

1. 모바일 DDoS 공격의 위협
아직까지는 스마트폰이나 태블릿 PC를 통한 DDoS 공격 양상은 감지되지 않았지만 이들이 대량의 무선 패킷전송 등을 통한 모바일 DDoS 공격에 활용될 가능성은 열려있는 상황이다. 모바일 악성코드가 포함된 콘텐츠에 대한 다운로드를 통해 모바일 DDoS 공격 및 단말기의 해킹이 가능하기 때문이다.
 모바일 DDoS 공격은 이동통신사의 네트워크를 불능화시키거나 패킷을 변조할 경우 전 국민이 휴대전화를 사용하고 있는 상황 속에서 자칫 걷잡을 수 없는 상황이 발생할 수도 있다는 점에서 우려를 낳고 있다. 이와 관련해 주요 통신사들은 스마트폰의 특성과 오픈마켓 중심의 서비스를 감안하면 스마트폰은 보안에 많은 취약점을 가지고 있어 휴대전화 사용자들뿐만 아니라 이동통신망 자체가 DDoS 공격 대상이 될 수 있다고 보고 있다. 아울러 SNS를 이용해 기존에 비해 훨씬 짧은 시간 안에 보다 많은 좀비 PC를 확보할 수 있게 됨에 따라 SNS의 단짝인 스마트폰이 DDoS 공격 인프라 구축에 이용될 가능성도 높아지고 있다.

2. 무선랜 관련 보안 위협
공공 및 사설 무선랜(Wi-Fi) 사용을 통한 무선 송수신 기능의 이용 빈도가 증가함에 따라 무선 네트워크의 위협이 증가하고 있다. 무선랜 장치(AP, Access Point)를 통해 무선 신호 스니핑, 정보 탈취, 허위 AP 설치, 접속 허점을 이용한 무단접속 공격 등 위협의 종류 또한 다양하다. 특히 모바일 접속구간(기기⇔무선인터넷) 및 인프라 접속구간(망⇔망)에서의 악성코드 전이, 구간 도청 등을 통한 서비스에 대한 장애 유발도 가능하다.
그러므로 보안이 설정되지 않은 무선랜에서의 모바일 기기 이용은 더더욱 무단 사용, 해킹, 개인정보 유출, 도청 등의 보안위협에 노출될 수 밖에 없다. 한국인터넷진흥원(KISA)의 2010년 7월 자료에 따르면 국내 15개 시/도 29개 지역의 무선 AP 42,997대에 대한 보안현황 조사 결과, 약 44.8%가 무(無) 보안 설정되어 운영되고 있는 것으로 드러났다. 특히 조사 대상 중 가정용 사설 AP 28,312대의 경우 55.2%가 보안 설정이 미비한 것으로 나타났다

 

유형	침해 동작
패킷 스니핑	무선 구간에서 패킷 수집 도구를 통한 멀티미디어 콘텐츠 유출•위/변조, 패킷의 해독을 통한 암호화 인증 무력화 시도
중간자 공격	기기간의 통신을 조작하는 MITM(Man-In-The-Middle) 공격을 통해 데이터를 장기간 유출하거나 거짓 정보의 삽입 시도
비인증(rogue) AP	비인증된 AP로 모바일 기기를 유도(Wi-Fi 피싱)하고 사용자의 로그인시 패스워드, 이메일, 신용카드 등의 데이터를 해킹
워드라이빙(Wardriving)	차량으로 이동하며 구내 정보통신망(LAN)에 무단으로 접속하고 GPS를 이용해 지역별 무선 액세스 접속 허점을 노출
암호사전(Dictionary) 공격	암호사전(Dictionary)을 통해 암호화된 패스워드의 해독 시간 단축 시도

[표 1] 무선랜 침해 유형 (출처: Smart Korea 강국 도약을 위한 스마트 모바일 시큐리티 종합계획, 방송통신위원회)

응용 서비스 측면에서의 보안 위협

모바일 기기에 특화된 다양한 응용 서비스는 기존 컴퓨팅 기기나 피쳐폰과는 차별화된 매력을 제공한다. 또한 업무 시스템과의 연동을 통해 모바일 기기의 근본적인 특성인 이동성을 100% 활용할 수 있다는 점 또한 스마트폰이나 태블릿 PC가 필수 아이템으로 자리잡는데 기여하였다. 그러나 응용 서비스는 모바일 기기의 특성과 맞물려 새로운 위협의 통로가 되고 있다.

1. 개인 정보 등 사생활 침해 우려
LBS(Location based Service, 위치기반서비스)나 SNS 등 상당수 모바일 애플리케이션들은 서비스 내용에 따라 개인 정보를 상시 수집•분석하여 이용하기 때문에 사생활 침해에 대한 우려를 안고 있다. 특히 모바일 기기를 대상으로 한 마케팅 활동이 활발해지면서 광고주와 모바일 애플리케이션 개발업체는 해당 애플리케이션을 누가, 언제, 어떻게 사용하는지에 대해 높은 관심을 갖게 되었다. 이와 관련해 일부 앱들이 서비스 제공을 위해 수집한 사용자의 나이, 성별, 위치, 스마트폰 식별 코드 등을 광고 업체에 전송 가능하다는 것이 문제점으로 제기되고 있다.
 이에 대해 월스트리트저널은 지난 연말, “아이폰가 안드로이드 앱의 절반 이상이 사용자의 개인 정보를 외부 업체에 주기적으로 전송하는 것으로 밝혀졌다”고 보도한바 있다. 이에 따르면 가장 빈번하게 외부 업체와 공유되는 사용자 정보는 아이폰의 UDID 등과 같은 스마트폰에 할당되는 고유 ID 번호인 것으로 나타났다. 또한 월스트리트저널은 “애플의 경우에는 사용자의 사전 동의를 구하고 사용자에게 데이터의 사용처와 사용 방식에 대한 정보를 제공하지 않는 한 사용자에 대한 데이터를 전송할 수 없다고 주장하지만 테스트 해 본 앱 중 상당수가 이러한 규칙을 위반한 것으로 보인다”고 전했다.
그러나 이러한 사생활 침해에 대한 우려에도 불구하고 사용자들이 마땅히 대응할 수 있는 방법은 없는 것으로 보인다. 위치 추적을 제한하는 방법을 생각해 볼 수도 있지만 이 경우 버스 도착 시간 알림이나 길 찾기 기능 등 여러 애플리케이션을 이용할 수 없게 된다. 이와 관련해 월스트리트저널은 “사용자가 할 수 있는 가장 중요한 일은 각 앱이 어떤 정보를 요구하는지 잘 살펴보는 것”이라고 조언했다. 즉, 애플리케이션 설치 시, 개인 정보에 대한 접근을 요구하는 앱은 유심히 살펴보는 것이 필요하다. 아울러 다른 이용자들의 사용 후기를 꼼꼼히 살피는 것도 방법이 될 수 있을 것이다.

[그림 4] 모바일 애플리케이션의 개인정보 무단 제공 사례(출처 : 월스트리트저널 온라인판)

2. 위협받는 모바일 오피스
기업 네트워크에 스마트폰, 태블릿 PC 등을 연결하여 구현하는 모바일 오피스는 이용자의 이동이나 단말기 분실에 따른 해킹 및 기업정보 유출의 가능성을 안고 있다. 또한 회사 내부망과 모바일 단말기 사이의 통신에 대한 트래픽 도청을 비롯해 모바일 기기 해킹 등을 통한 기업 네트워크로의 비인가된 접근 및 정보 유출이 발생할 수 있다. 따라서 기업 차원에서 모바일 오피스를 구현하고 있지 않다 하더라도 스마트폰이나 태블릿 PC를 회사 내부에서 사용하는 직원들의 수가 증가함에 따라 기업의 IT 부서에서는 이러한 모바일 기기를 보안의 측면에서 염두에 둘 필요가 있다.
이러한 직원들을 대상으로 기업이 취할 수 있는 가장 기본적인 조치는 강력한 비밀번호 및 암호화 처리를 권고하는 것이다. 이로써 직원들이 민감한 데이터를 모바일 기기에 저장하여 외부로 이동하던 중 분실이나 도난이 발생하더라도 해당 정보에 대한 접근을 다소라도 어렵게 할 수 있기 때문이다. 또한 이보다 더 강력한 보안 조치를 고민하고 있거나 모바일 오피스를 구현하고 있는 기업의 경우에는 스마트폰 등 모바일 기기를 중앙에서 보호하고 관리하는 기술 도입을 생각해 볼 수 있다. 이때 고려되어야 하는 기능으로는 ▲중앙 제어, ▲비밀번호 관리, ▲인증 관리, ▲강력한 암호화, ▲원격 메모리 삭제 (기기가 도난 당한 경우 사용자가 주어진 시간 동안 인증을 통과하지 못하면 원격으로 메모리를 삭제하는 기능) 등이 있다.

진정한 스마트 유저로 거듭나야

이처럼 다양한 위협으로부터 안전하게 모바일 기기를 이용하기 위해서는 어떠한 노력을 기울여야 할까? 모바일 기기도 데스크톱이나 노트북과 마찬가지로 사용자의 보안 인식 강화와 노력이 가장 중요하다. 특히 모바일 전용 백신을 설치하는 것이 바람직하며 아이폰의 탈옥이나 안드로이드폰의 루팅은 하지 않아야 한다는 것 등은 이미 잘 알려져 있다. 이와 관련해 안철수연구소는 최근 AhnLab V3 Mobile 2.0(이하 V3 Mobile 2.0)의 개발을 완료하고 조만간 시장에 선보일 예정이다. V3 Mobile 2.0은 모바일 디바이스 전용 종합 보안 프로그램으로, 스마트폰에 발생할 수 있는 위협 등을 다각도로 분석, 반영하여 스마트한 모바일 환경에 최적화하였다.

이에 앞서 안철수연구소는 안전한 모바일 환경을 위해 다음가 같은 보안 수칙을 강조하고 있다.

1. 애플리케이션을 설치하거나 의심스러운 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결시, 이메일이나 문자 메시지에 첨부된 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 존재 여부를 반드시 확인한다. 
5. 백신의 패치 여부를 확인해서 최신 모바일 백신 엔진을 유지한다. 
6. 스마트폰의 잠금 기능(암호 설정)을 이용해서 다른 사용자의 접근 및 도난/분실시 위험을 최소화 한다. 또한 잠금 기능에 사용한 비밀번호를 수시로 변경한다. 
7. 블루투스 기능을 켜놓으면 자동 감염되므로 필요할 때만 켜놓는다.
8. 자동 로그인 설정을 삼가하고 ID/패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 해제하여 사용하지 않는다.

흔히 ‘스마트폰을 사용한다고 다 스마트한 유저는 아니다’라는 말이 있다. 이것은 비단 스마트폰의 다양한 기능을 충분히 활용하지 못 하는 스마트폰 이용자들에게만 해당되는 말은 아닐 것이다. 스마트한 모바일 단말기들에 발생 가능한 위협을 인지하고 이것이 위험으로 이어지지 않도록 주의를 기울이는 것, 그것이 바로 진정한 ‘스마트한 유저’라 할 수 있을 것이다. @