문자 클릭 한번에 아이폰을 완전히 장악, 전화와 문자 내역, 위치정보 등을 감시할 수 있는 해킹 프로그램이 발각됐다. 알려지지 않았던 취약점을 이용한 해킹 프로그램이 밝혀짐에 따라 아이폰 제조사인 미국 애플은 25일(현지시간) 전세계 아이폰 사용자들이 iOS 9.3.5를 즉시 다운로드해 업데이트할 것을 권고했다. 이번 해킹 프로그램을 분석한 시티즌랩과 룩아웃 측의 발표문(바로가기)을 참조하여, 이번 사안의 전말과 자신의 스마트폰을 지키기 위한 방법을 문답으로 정리했다.
-어떻게 발견됐나.
아랍에미리트(UAE)의 아흐메드 만수르가 지난 10일 자신의 아이폰에 수상한 문자가 온 것을 보고 발견했다. ‘노벨 인권상’이라고도 불리는 ‘마틴 에널스상’을 수상한 적 있는 저명한 인권운동가인 만수르는 이전에도 여러 번 감시프로그램의 타깃이 된 적이 있다. 이 때문에 수상한 문자의 인터넷 주소(URL)를 클릭하지 않은 채 캐나다 토론토대 시티즌랩으로 보냈다. 시티즌랩은 이번 악성코드가 매우 복잡하고 정교해 미국의 스마트폰 보안회사 룩아웃에 협조를 요청했고, 2주 동안의 분석 끝에 두 회사는 아이폰을 거의 완전하게 통제하는 해킹 프로그램을 찾아낼 수 있었다.
-어떻게 설치되나
iOS ‘탈옥’(jailbreaking)이란 iOS의 보안 제한을 풀어 외부 프로그램을 실행할 수 있도록 하는 것을 말한다. 보통 사용자가 억지로 탈옥 프로그램을 설치하지 않는 이상 아이폰에는 외부 프로그램이 설치되지 않으나, 이번 프로그램은 문자로 온 URL을 누르면 사용자가 모르게 자동으로 아이폰을 탈옥시키며 감청 프로그램을 설치한다. 아이폰을 뚫을 수 있는 취약점은 매우 발견하기 어렵기 때문에 수십만~수백만달러에 거래된다고 시티즌랩은 전했다. 실제로 미국 FBI도 올해 초 애플에 ‘아이폰 잠금해제’를 강제로 풀 수 있는 기능을 애플에 요구하다 거절 당하자, 이스라엘 보안업체 셀레브라이트(Cellebrite)에 거액을 주고 잠금해제를 한 것으로 알려졌다.
-이 프로그램은 어떤 것들을 할 수 있나
사용자의 아이폰 전체를 장악하는 ‘주머니 속의 스파이’라고 보면 된다. 사용자가 은신해 있더라도 위치를 추적할 수 있고 카메라와 마이크를 통해 주변을 엿보거나 엿들을 수 있고, 메신저, 문자, 통화, 이메일 등 모든 것을 훔칠 수 있다. 안전하다고 알려진 왓츠앱이나 바이버로 온 전화도 녹음이 가능하다.
-이 프로그램은 어디서 만들었나
룩아웃과 시티즌랩은 이스라엘 회사인 NSO그룹이 이 프로그램을 만들어 판 것으로 의심하고 있다. 지난해 국가정보원이 감청 프로그램을 구입했다고 해 떠들썩했던 이탈리아의 해킹팀처럼 각국 정부나 정보기관에 판매하고, 이들 기관은 반정부인사나 기자, 인권운동가 등을 겨냥해 판매하는 것으로 보인다는 주장이다. 실제로 만수르는 해킹팀으로부터도 공격을 당한 적 있고, NSO그룹은 당시 해킹팀처럼 “정부 기관만을 대상으로 적법한 감청 프로그램을 판매한다”고 홍보하고 있다. 하지만 NSO그룹은 이 프로그램을 만들었는지 등에 대해 언급하지 않은 채 자사는 합법적인 정부가 테러와 범죄에 대처하도록 도움을 줄 기술을 제공할 뿐이라고 밝혔다.
-이런 프로그램에 감염되지 않으려면 어떻게 해야 하나
안드로이드 스마트폰의 경우 설정에서 ‘확인되지 않은 애플리케이션 설치’를 해제하면 어떤 프로그램이든지 설치할 수 있다. 따라서 안드로이드 폰을 공격하는 해킹 프로그램은 매우 다양하고, 일반인들에게도 이른바 문자를 통한 ‘스미싱’ 기법을 통해 공격하는 경우가 빈번하다. 그러나 지난해 이탈리아 해킹팀도 “탈옥 폰이 아닌 정품 iOS7 이상을 공격하는 자사 해킹 프로그램은 없다”고 밝혔듯 아이폰은 상대적으로 해킹 프로그램을 만들기 어려운 것으로 알려져 왔다. 그러나 결국 보안에 완전한 프로그램이란 없는 셈. 이번에 iOS에도 취약점이 존재한다는 사실이 밝혀졌으므로, 아이폰 사용자라 하더라도 수상한 문자가 오면 주소를 바로 클릭하지 않는 것이 바람직하다.
-패치 버전 iOS를 설치하는 방법은
아이폰 사용자는 이번 취약점을 해결하기 위해 긴급 패치를 설치해야 한다. 방법은 자신의 폰에서 ‘설정 > 일반 > 정보 > 버전’을 클릭해 자신의 iOS 버전이 9.3.5인지 확인하고 이보다 낮다면 ‘설정 > 일반 > 소프트웨어 업데이트’를 클릭해 새 버전으로 업그레이드해야 한다. 혹시라도 자신의 스마트폰이 해킹 프로그램의 타깃이 된 것 같다는 의심이 들 경우 시티즌랩(info@citizenlab.org)으로 문의할 수 있다.
최진주기자 pariscom@hankookilbo.com
기사 URL이 복사되었습니다.
댓글0