스마트폰 해킹/백신 생활화해야

[백한진]

[이슈&스토리]스마트폰 해킹

한국교직원신문 2013-05-20

그럴싸한 앱으로 ‘유혹’ 악성코드 심어
항상 접속 상태여서 몰카·도청까지 가능
안드로이드폰 더 취약 … 백신 생활화해야

# “딩동.” 홍길동 씨의 스마트폰에 문자메시지가 날아왔다. ‘컬쳐랜드 문화상품권 이벤트에 당첨됐습니다.’ 문화상품권을 공짜로 준다니. 홍 씨는 문자메시지와 함께 온 링크를 터치했다. 한 달 뒤 홍 씨의 이동통신요금 고지서에는 본인도 모르는 휴대폰 소액결제 30만원이 찍혀 있었다.

얼마 전 해킹 때문에 온 나라가 들썩였다. 악성코드를 이용한 해커들의 공격에 공영방송과 주요 금융사의 방화벽이 허물어졌다. 최근엔 악성코드를 유포시켜 PC를 공격하는 수법을 스마트폰에 적용해 이용자의 개인 정보를 빼내는 등 해커들의 수법이 진화되고 있다. 스마트폰으로 금융 거래, 개인일정 관리까지 하는 세상. 해커들의 다음 목표는 당신의 스마트폰이 될 수 있다.

스마트폰 이용자는 3400만 명을 넘었다. 전체 이동통신 가입자 10명당 6명은 스마트폰 사용자다. 성능이 PC만큼 좋아지고 전원을 항상 켜놓고 있어 스마트폰은 해커들에게 훨씬 손쉬운 먹잇감이다.

스마트폰 이용자는 모두 홍 씨 같은 피해를 볼 수 있는 잠재적 위험군이다. 특히 안드로이드 운영체제(OS) 사용자가 대상이 될 가능성이 높다. 보안업체 안랩은 1분기 스마트폰 악성코드 동향을 조사한 결과 20만6628개의 안드로이드 악성코드가 발견됐다고 밝혔다. 이는 작년 같은 기간 1만1923개에 비해 17배가 증가한 수치다.

홍 씨가 당한 방법은 최근 급증하고 있는 ‘스미싱(Smishing)’이다. 스미싱은 ‘문자메시지(SMS)’와 ‘피싱(Phishing)’의 합성어다. 문자메시지를 보내고 문자메시지 속 링크 클릭을 유도해 악성 애플리케이션(앱)을 사용자 몰래 스마트폰에 설치한다. 해커는 이 앱에서 전송해 준 정보를 이용해 휴대폰 소액결제 방식으로 이용자의 돈을 훔쳐간다.

스미싱 방법은 매우 다양하다. 앞서 언급한 각종 쿠폰부터 ▶택배 ▶환급금 ▶요금명세서 ▶앱 다운로드 ▶사회적 이슈 등 클릭을 할 수밖에 없도록 유도하는 문자메시지를 보낸다.

전화로 개인정보를 말하도록 유도하는 피싱처럼 말투로 구분하기도 쉽지 않다. 결국 사용자 개개인이 조심하지 않으면 누구나 피해자가 될 수 있다.

스마트폰 악성 앱은 스마트폰 속 모든 정보를 볼 수도 있다. 악성 앱이 깔린 순간 ▶통화기록 ▶문자메시지 ▶사진과 동영상 등 더 큰 피해로 이어질 수 있는 정보가 고스란히 해커의 손에 들어간 것과 마찬가지다.

내가 하는 통화를 듣는 것은 물론, 나 몰래 카메라를 켜서 주변을 촬영할 수도, 위치정보를 파악해 감시할 수도 있다. 나의 스마트폰이 내 것만이 아니게 되는 셈이다. 2차 피해가 우려되는 부분이다. 사이버 범죄가 현실 범죄로 이어질 수도 있다는 얘기다.

최근 스마트폰이 해킹의 타깃이 되고 있는 것은 안드로이드라는 OS가 공개 소프트웨어라는 점이 가장 큰 원인이다. OS 구조가 공개돼 있어 빈틈을 찾기가 상대적으로 쉽다.

국내에선 안드로이드폰의 시장 점유율이 90%에 달한다. 갤럭시, 옵티머스, 베가 등 국내 판매되는 스마트폰은 거의 안드로이드폰이다.

애플이 만든 아이오에스(iOS)를 쓰는 아이폰 등은 탈옥처럼 사용자가 임의로 OS를 변조하지 않는 한 이용자가 모르게 앱을 설치할 수 없다.

안드로이드폰도 안드로이드를 만든 구글이 관리하는 플레이스토어만 이용하면 이런 문제는 일정 부분 차단할 수 있다.

하지만 제조사와 통신사 앱스토어나 홈페이지 등을 통해 배포되는 앱을 설치하기 위해 열어둔 통로는 악성 앱의 침투경로 역할을 한다.

아울러 스마트폰은 PC처럼 보안 프로그램을 이용하는 사람이 많지 않은 것도 해킹 가능성이 높은 이유 중 하나다.

안드로이드폰에서 스미싱을 막는 첫 번째 원칙은 편의를 위해 열어둔 통로를 막는 것이다. ‘설정→보안→알 수 없는 출처’의 체크 표시를 해제하면 된다. 체크 표시를 해 두면 구글 플레이스토어 이외의 경로를 통해 스마트폰에 설치되는 앱을 막을 수 없다. 제조사나 통신사 앱스토어 등을 활용할 때는 귀찮더라도 일일이 이 과정을 거치는 것이 좋다. 

모바일 백신 꼼꼼히 업데이트

플레이스토어 앱이라고 100% 믿을 수 있는 것은 아니다. 앱을 설치할 때는 후기 등을 살펴보고 일정 기간 지켜볼 필요가 있다. 아울러 보안 소프트웨어를 항상 실행시켜두는 것을 권한다. 스마트폰에는 이같은 앱이 기본으로 탑재돼 있다. 또한 보안업체는 PC처럼 ‘V3모바일’ 등 다양한 모바일 백신 프로그램을 무료로 배포하고 있다. 업데이트도 꼼꼼히 신경을 써야한다.

개인은 보안카드, 주민등록증 등 개인정보 관련 파일을 스마트폰에 보관하는 일을 금해야 한다. 혹시 악성 앱이 설치되더라도 당장의 피해는 줄일 수 있다.

한편 스미싱으로 인한 피해를 입을 경우 경찰에 신고하면 보상받을 수 있는 길이 있다. 경찰에서 ‘사건사고 피해사실 확인원’을 받아 통신사에 제출하면 통신사가 결제대행사에 이를 알려 청구를 취소해 주거나 보류해 준다. 이미 결제된 돈은 소정의 절차를 거쳐 돌려받을 수도 있다.

윤상호 디지털데일리 기자