[스마트폰 보안 비상]SW 난립하는데 보안툴은 부족…PC보다 더 취약할수도

《스마트폰의 보안 문제에 빨간 불이 켜졌다. 그동안 상대적으로 안전한 것으로 알려졌던 애플의 스마트폰 ‘아이폰’에서도 보안 문제가 불거졌기 때문이다. 이에 따라 국내 스마트폰 사용자들의 불안감이 커지고 있다. 국내 스마트폰 사용자는 약 313만 명. 6일까지 SK텔레콤이 약 175만 대, KT와 LG유플러스가 각각 120만 대와 18만 대의 스마트폰을 팔았다. 과거 초고속인터넷과 개인용 컴퓨터가 급속하게 보급될 때에도 이는 심각한 컴퓨터 바이러스의 공격으로 이어지곤 했다. 2000년대 초 ‘닷컴 열풍’ 이후에 2003년 1월 ‘1·25 대란’이라는 전국 인터넷망 마비 사태가 벌어졌던 것이 대표적인 사례다. 이 때문에 보안 전문가들은 스마트폰 사용자들이 스마트폰을 사용할 때에도 컴퓨터를 쓸 때처럼 보안에 신경을 써야 한다고 입을 모은다. 하지만 국내 대부분의 사용자가 마이크로소프트(MS)의 ‘윈도’ 운영체제(OS)를 쓰는 컴퓨터와는 달리 스마트폰은 제조업체에 따라 사용하는 OS가 모두 다르다. 특성과 주의점도 다를 수밖에 없다.》

○ 스마트폰 해킹 가능성 꾸준히 지적

안철수연구소는 올해 초 ‘트레드다이얼’이란 악성 프로그램이 국내 스마트폰 사용자 사이에 퍼지고 있다며 국내 첫 스마트폰 피해 사례를 공개했다. 이 프로그램은 윈도폰(옛 윈도모바일) OS를 쓰는 삼성전자의 ‘옴니아2’와 같은 인기 스마트폰에서 작동해 국제전화를 사용자 몰래 걸게 하는 프로그램이다. 이 프로그램이 설치되면 국제전화 ‘요금폭탄’을 맞을 수 있다.

이후 스마트폰 보안 경고가 잇따르자 지식경제부는 4월 스마트폰을 이용해 회의 내용을 도청하는 모습을 장관 이하 지경부 관료들 앞에서 시연했다. 스마트폰이 잘못 사용될 경우 생길 수 있는 위험을 경고하기 위해서였다. 방송통신위원회는 올해 1월 ‘스마트폰 정보보호 민관 합동대응반’을 만들고 2월 개인 사용자를 위한 정보보호 안전수칙을 발표하는 등 스마트폰 보안 문제에 적극적으로 대응하기 시작했다.

지난달 말 미국 라스베이거스에서 열린 보안 콘퍼런스인 ‘데프콘’에서도 화제는 단연 스마트폰 보안이었다. 세계 각국에서 모인 해커와 정보보안업체 관계자들은 이 자리에서 아이폰과 안드로이드폰 등 인기 스마트폰 대부분에서 보안상의 허점을 발견할 수 있었다고 밝혔다. 인기 안드로이드폰 응용프로그램이었던 ‘월페이퍼’를 설치할 경우 일부 개인정보가 유출될 위험이 있다는 사실이 밝혀진 것도 이 행사에서였다.

○ 도대체 무엇이 문제인가

이처럼 스마트폰에서 일반 휴대전화와 달리 보안 문제가 계속 등장하는 이유는 통신사와 제조업체가 엄격하게 소프트웨어를 만드는 일반 휴대전화와 달리 스마트폰 소프트웨어는 불특정 다수의 개발자가 만들기 때문이다. 악의를 품은 개발자가 악성 프로그램을 마치 쓸모 있는 프로그램인 것처럼 가장해 배포할 경우 사용자는 피해를 볼 수밖에 없다.

따라서 소프트웨어를 설치하는 과정을 잘 관리하면 스마트폰의 보안 위험을 줄일 수 있다. 아이폰이 다른 스마트폰보다 상대적으로 안전하다고 여겨졌던 이유가 바로 애플이 직접 모든 소프트웨어를 검사한 뒤 이를 ‘앱스토어’라는 애플이 운영하는 서비스를 통해서만 유통시켰기 때문이다. 하지만 이번에는 해커들이 아이폰의 웹브라우저가 PDF 문서파일을 읽는 과정에서 소프트웨어를 실행시키고 설치할 수 있다는 걸 보여주면서 앱스토어를 우회할 수 있는 방법이 나타난 게 문제가 됐다.

반면 삼성전자의 ‘옴니아2’, 대만 HTC의 ‘HD2’ 등 윈도폰이나 삼성전자의 ‘갤럭시’ 시리즈, LG전자의 ‘옵티머스’ 시리즈 등의 안드로이드폰은 소프트웨어 설치 경로가 다양하다. 파일을 메모리카드 등에 복사해 설치할 수도 있고 앱스토어 형태로 배포하는 것도 가능하다. 또 윈도폰이나 안드로이드 OS는 앱스토어에 올라오는 소프트웨어를 애플처럼 전수조사하지 않는다. 이런 공개적인 통로를 통해 문제가 있는 프로그램이 유통될 수도 있는 셈이다.

특히 안드로이드 OS는 이를 만든 구글이 OS의 ‘설계도’에 해당하는 소스코드를 완전히 공개했기 때문에 개발자들이 쉽게 OS의 약점을 비집고 들어가 악성 프로그램을 만들 수 있다. 구글은 다양한 휴대전화 제조업체와 소프트웨어 개발자들이 함께 안드로이드를 개선하기를 바라고 이런 정책을 폈지만 누구도 책임지지 않는 상황이 발생했다.

○ 대응책 마련 서둘러야

SK텔레콤과 KT, LG유플러스 등 스마트폰을 파는 통신사들은 각각 자체 앱스토어를 만들고 이런 자체 앱스토어에서 안전하고 신뢰할 만한 소프트웨어를 따로 선정해 소비자들에게 권하고 있다. 스마트폰 제조업체들도 자신들이 만드는 스마트폰에 백신 프로그램을 기본으로 설치해 판매하는 등 보안 수준을 높이기 위한 노력을 하고 있다. 스마트폰을 만드는 제조업체나 이를 판매하는 이동통신사 등은 이번 일을 계기로 더욱 안전한 대책 마련을 서두르고 있다.

하지만 스마트폰은 기본적으로 사용된 역사가 짧아 보안 위협에 취약하다는 지적도 나온다. 컴퓨터는 본격적으로 보급된 지 20년이 넘어 백신 프로그램과 외부 해커의 침입을 막는 방화벽 등의 보안 기술이 발달해 있지만 스마트폰은 아직 수준이 낮다는 것이다. 특히 스마트폰 보안이 뚫린다는 건 통화 내용을 녹음해 외부로 빼돌리거나 주소록, 메시지 등을 훔쳐내는 등 민감한 정보를 빼내는 것이라 문제가 더 심각하다. 주식거래나 인터넷뱅킹 등 자칫 대형사고로 이어질 수 있는 금융 거래마저 스마트폰으로 하는 상황에서 보안 문제에 대한 대응책이 절실하다.

한국정보보호학회장인 임종인 고려대 정보경영공학부 교수는 “보안툴이 다양하고 전산실 등에서 업무용 장비를 공동 관리할 수 있는 컴퓨터와 달리 스마트폰은 보안툴도 부족하고 공동 관리하기에는 너무 개인적인 장비라는 게 문제”라며 “응용프로그램을 써본 뒤 적극적으로 평가를 올려 피해 사례가 확대되는 걸 막는 등의 ‘사이버 시민의식’도 어느 때보다 중요해졌다”고 말했다.

김상훈 기자 sanhkim@donga.com

안드로이드 백신, 직접 실행시켜야만 작동
■ 스마트폰 보안 잘못된 통념

스마트폰 보안 문제가 불거지면서 일부 잘못된 지식도 전달되고 있다. 대표적인 사례가 4일 SK텔레콤이 “스파이웨어(악성코드)니 내려받지 말라”고 지적하면서 화제가 된 안드로이드용 소프트웨어 ‘월페이퍼’다. 이 프로그램은 다양한 배경화면을 쓸 수 있게 해주는 무료 프로그램인데 구글이 프로그램을 조사한 뒤 5일 “월페이퍼는 스파이웨어가 아니다”라는 결론을 내렸다.

이 프로그램이 스파이웨어일 수 있다는 가능성을 제기한 미국의 모바일보안업체 룩아웃도 이날 공식 블로그를 통해 “월페이퍼는 개발자가 사용자의 사용 패턴을 분석해 프로그램을 개선하려다 실수로 개인정보에 해당하는 일부 정보를 수집한 것”이라고 설명했다.

아이폰의 보안 우려가 작은 게 “멀티태스킹이 되지 않기 때문”이라는 일부 언론의 보도도 사실과 다르다. 애플은 iOS4라는 최신 운영체제를 만들며 멀티태스킹 기능을 만들었고 이전 버전에서도 음악과 전화 기능 등에서 제한적으로 멀티태스킹이 가능했다. 아이폰의 보안 우려가 상대적으로 작은 건 멀티태스킹 여부가 아닌 응용프로그램을 전수 조사해 관리하는 엄격한 관리정책 덕분이다.

이 외에도 안드로이드폰에 보안프로그램이 기본으로 설치돼 있어 스마트폰이 안전하다는 것도 잘못된 지식이다. 아직까지는 안드로이드 보안프로그램은 설치만 돼 있을 뿐 사용자가 직접 실행시킨 뒤부터 작동하기 때문에 일일이 이를 실행시켜줘야 효과를 볼 수 있다.

김상훈 기자 sanhkim@donga.com

e메일 전송된 사이트 접속 삼가고
비밀번호 꼭 설정… 수시로 바꿔야
■ 소비자 보안 가이드

전문가들은 스마트폰도 PC와 마찬가지로 보안 위협에 노출될 수 있다며 신중하게 사용해야 한다고 강조했다.

특히 독일과 프랑스 정부가 경고한 아이폰의 보안 결함은 아직 피해 사례가 나오지 않았지만 충분히 가능한 시나리오이기 때문에 아이폰 사용자는 당분간 애플이 소프트웨어를 업데이트할 때까지 문자나 e메일로 받은 수상한 웹사이트에 접속하지 말아야 한다는 의견이 나온다.

안철수연구소 박태환 선임연구원은 “국내 소비자는 ‘실험정신’이 강하다”며 “앞서가는 것은 좋지만 스마트폰을 맹신하기보다 보안 문제를 염두에 둬야 한다”고 말했다.

가장 기본적인 스마트폰 보안의 첫걸음은 비밀번호 설정이다. 비밀번호를 주기적으로 바꿔야 스마트폰 해킹에 대비할 수 있다. 또 비밀번호 잠금을 해놓아야 스마트폰을 잃어버렸을 때 스마트폰에 저장된 금융정보, 연락처, 중요 문서 등을 지킬 수 있다.

앱스토어나 안드로이드마켓 등에서 애플리케이션을 내려받을 때에는 이미 사용한 사람들의 평판을 충분히 확인해야 한다. 해커들이 악성코드가 들어 있는 무료 애플리케이션을 악의적으로 올릴 가능성이 높다.

스마트폰에 중요한 금융 비밀번호 등을 저장하지 않는 것도 악의적인 공격에 피해를 최소화할 수 있는 방법이다. 또 애플이 검증하지 않는 프로그램을 자유롭게 내려받을 수 있게 하는 ‘탈옥’처럼 임의로 스마트폰을 개조하지 말아야 한다. 안철수연구소 박 연구원은 “스마트폰을 임의로 개조해 쓰면 문제가 생겼을 때 제조사가 해결해 주기 어렵다”고 말했다.

안드로이드폰 사용자들은 백신엔진을 설치하고 자주 업데이트하는 게 좋다. 보안업체들은 자사 모바일 홈페이지를 통해 문제가 되는 프로그램에 대한 백신을 내놓고 있다.

김현수 기자 kimhs@donga.com