납치 사건의 주범이 스마트폰?

[이미라]

▲ 스마트폰의 개인정보를 노리거나 금전적 목적의 악성코드가 급증해 사용자들의 주의가 요망되고 있다.  ⓒScienceTimes

대학생 B씨는 어느 날 스마트폰으로 ‘애플리케이션을 설치하면 경품을 준다’는 내용의 이메일을 받았다. B씨는 무슨 내용인지 확인하기 위해 별 생각 없이 이메일에 첨부된 파일을 열어보았다.

그로부터 며칠 후 B씨의 부모에게 이상한 문자 메시지가 도착했다. B씨 자신이 납치됐으니 빨리 메시지에 찍힌 계좌번호로 돈을 송금하라는 내용이었다. 발신자는 바로 B씨였다. 놀란 B씨의 부모는 곧바로 B씨에게 연락을 시도했으나 B씨의 스마트폰은 꺼져 있었다.

안절부절 못하던 B씨의 부모는 결국 메시지에 적힌 계좌번호로 돈을 보낼 수밖에 없었다. 하지만 몇 시간 후 B씨는 멀쩡하게 집으로 돌아왔고, 그 메시지는 납치를 가장한 메신저피싱임이 밝혀졌다.

범인은 어떻게 B씨 부모의 전화번호를 알아냈으며, 또 하필 그 순간 B씨의 스마트폰은 왜 꺼져 있었던 걸까. 모든 비밀은 바로 며칠 전에 받은 이메일의 첨부파일 속에 숨어 있었다.

그 첨부파일 속에는 스마트폰의 개인정보를 공격자가 마음대로 빼낼 수 있는 악성코드가 담겨 있었다. 범인은 그것을 이용해 스마트폰 속에 저장된 B씨 부모의 전화번호와 피싱 메시지를 보낼 당시 B씨의 위치 정보까지 파악해 치밀하게 범죄를 저지를 수 있었다.

또 피싱 메시지를 보내기 직전에 B씨에게 이상한 전화를 계속해 B씨가 스스로 스마트폰을 끄게 하는 치밀함도 보였다.

스마트폰 악성코드 17배 증가

이외에도 스마트폰의 악성코드로 인한 피해사례가 다양하게 발생하고 있다. 앱을 다운로드하는 순간 악성코드가 스마트폰에 함께 설치되어 자동으로 요금이 결제되는가 하면, 특정번호로 문자를 보내게 하는 광고를 올려 문자를 보낸 사람에게 과금이 발생하게 하는 수법이 흔히 사용되고 있다.

또 OR코드를 스캔하면 특정 사이트로 접속하게 되고, 이를 통해 스마트폰에 악성코드를 다운로드시키는 수법도 있다. 심지어는 이런 악성코드를 심어놓은 후 스마트폰에 달린 카메라나 마이크를 이용해 스마트폰 사용자의 회의 내용이나 일상 대화를 도청할 수 있다.

최근 이처럼 스마트폰의 개인정보를 노리거나 금전적 목적의 악성코드가 급증해 사용자들의 주의가 요망되고 있다. 한 보안회사의 통계에 의하면 올해 상반기(1월~6월)까지 발견된 주요 안드로이드 악성코드는 128개인 데 반해, 7월부터 11월까지는 무려 2천251개가 발견되어 상반기 대비 약 17배나 증가했다고 한다.

최근 발견되는 악성코드를 유형별로 보면 전화나 문자 발송 등 과금 발생이나 기타 악성코드 다운로드, 원격 조종 등을 목적으로 하는 트로이목마가 1천637개, 개인정보 탈취 등을 주목적으로 하는 스파이웨어가 743개로 집계됐다. 이 중 트로이목마와 스파이웨어 기능을 동시에 가진 경우도 147개에 달한다. 이밖에 탈옥 툴과 같은 유해가능 애플리케이션이 14개, 광고성 애플리케이션이 4개 발견되었다.

특히 안드로이드 기반의 악성코드가 많은 데는 이유가 있다. 아이폰의 경우 애플의 앱스토어를 통해서만 앱 설치가 가능한데, 업체들이 개발한 앱을 앱스토어에 올리기 위해서는 해당 앱의 코드를 검토하고 규칙준수 확인 과정을 애플에 요청해 허가를 받아야 한다.

이에 비해 안드로이드 마켓을 운용하는 구글은 누구나 앱스토어에 앱을 등록할 수 있도록 개방해 놓아, 앱에 대한 사전 점검을 통해 등록을 제어하지 않는다. 때문에 아이폰보다는 안드로이드폰에서의 앱 다운 환경이 보안에 더 취약하다.

자가점검 앱 무료로 다운 받을 수 있어

이 같은 피해를 방지하기 위해서는 앱을 내려 받기 전에 사용자 평가를 살펴보는 것이 좋다. 배터리 사용시간이 갑자기 줄어들거나 실행 속도가 현저히 느려진다면 일단 악성코드를 의심하고 빠른 조치를 취해야 한다.

또 공인 마켓이 아닌 사설 마켓인 서드 파티 마켓(third party market)에서 다운로드할 때는 더욱 주의해야 하며, 최신 버전의 스마트폰 전용 보안제품을 진단 후 실행하는 것이 좋다.

국내 이동통신 사업자 모바일앱 마켓 및 구글 마켓에 들어가면 방송통신위원회에서 무료로 보급하고 있는 ‘스마트폰 보안 자가점검 앱(Self Security Checker)’을 다운받을 수 있다.

이 앱을 설치하면 스마트폰의 비밀번호(패턴) 설정, 백신 설치, 사용프로그램에 대한 악성코드 감염 여부 등을 점검하여 보안 취약 부분에 대한 백신 설치, 악성코드 감염 프로그램 삭제 등 이용자가 쉽고 간편하게 조치할 수 있는 방법을 안내받을 수 있다.

또한 한국인터넷진흥원의 모바일 홈페이지(http://m.kisa.or.kr)를 통해 제공되는 ‘스마트폰 백신 이용안내서’를 이용하면 현재 시중에 유통되는 각 스마트폰 별로 이용 가능한 백신의 종류, 설치 및 사용방법 등을 알 수 있다.

방송통신위원회와 한국인터넷진흥원에서는 국내 스마트폰 침해사고 발생에 대비해 2007년부터 매년 ‘스마트폰 악성코드 대응 모의훈련’을 실시하고 있다. 올해는 지난 11월 10일 스마트폰 제조사, 이동통신사, 백신사 및 포털사 등 ‘스마트폰 정보보호 민관 합동대응반’ 주요 참여기관과 공동으로 이 훈련을 실시했다.

특히 지난해부터는 스마트폰 침해사고 발생시 보다 체계적이고 신속한 대응을 위해 ‘스마트폰 정보보호 민관 합동대응반’을 구성해 유관기관과 함께 공동훈련으로 확대 진행하고 있다.

- ‘스마트폰 이용자 10대 안전 수칙’ (한국인터넷진흥원 발표)
① 의심스러운 애플리케이션 다운로드하지 않기
② 신뢰할 수 없는 사이트 방문하지 않기
③ 발신인이 불명확하거나 의심스러운 메시지 및 메일 삭제하기
④ 비밀번호 설정 기능을 이용하고 정기적으로 비밀번호 변경하기
⑤ 블루투스 기능 등 무선 인터페이스는 사용시에만 켜놓기
⑥ 이상증상이 지속될 경우 악성코드 감염여부 확인하기
⑦ 다운로드한 파일은 바이러스 유무를 검사한 후 사용하기
⑧ PC에도 백신프로그램을 설치하고 정기적으로 바이러스 검사하기
⑨ 스마트폰 플랫폼의 구조를 임의로 변경하지 않기
⑩ 운영체제 및 백신프로그램을 항상 최신 버전으로 업데이트 하기

[조성자]

미치겠군. 메신저피싱이라. 소름끼친다. 대한민국에 피싱한번 안당해본 사람이 없을 정도니..