<손안의 스파이 스마트폰-3> 도청·도촬의 무법지대

아주경제 장윤정 기자 = 단 10초면 스마트폰에 악성코드를 심고 해커의 PC에서 통화내용을 도청하거나 몰래 사진을 찍어 전송할 수 있다는 것이 아주경제 시연 결과 밝혀졌다.

시연 결과에 따르면 전화번호부, 통화내역, 문자메시지 등 개인정보 유출도 10초면 가능하다. 24시간 365일 켜져 있는 스마트폰은 은밀한 사생활을 그대로 노출하며 손안의 스파이 노릇을 하고 있었다.

28일 본지가 에스이웍스와 스마트폰 해킹 시연을 해본 결과 스마트폰에 악성코드를 감염시키고 도청, 도촬, 문자메시지와 통화기록 등 개인정보를 빼내기까지 걸린 시간은 단 10초에 불과했다. 악성코드를 심은 문자 메시지 하나면 사용자의 통화·문자메시지 내역, 위치 정보 파악은 물론 일상생활에서 주고받는 대화까지 송두리째 빼 갈 수 있다. 

◆10초면 스마트폰 권한, 해커에게 넘어가 

에스이웍스 해킹시연팀과 본지는 “고객님 XXXX커피 기프티콘이 도착했습니다”라는 문자를 안드로이드 스마트폰으로 전송했다. 문자를 받은 스마트폰에서 URL을 누르니 문자에 숨겨진 악성코드가 설치되고 스마트폰내의 전화번호, 통화내역, 문자메시지 등 각종 개인정보들이 해커의 PC에 나타나기까지 10초도 걸리지 않았다. 

에스이웍스와 본지가 스마트폰에 악성코드를 심고 도청해 본 결과 사무실밖에서 통화하는 사람의 목소리가 그대로 해커PC에서 재생됐다

이어 시연팀 중 사람이 회사밖으로 나가 전화를 걸었다. 사무실 안 해커의 PC에서는 바깥에서 전화를 거는 사람의 목소리가 그대로 흘러나왔다. 이어 통화중인 사람의 이동거리도 구글 지도위에 좌표값으로 나타났다. 도청은 물론 위치정보까지 파악할 수 있었다. 

홍동철 에스이웍스 이사는 "스마트폰 마이크를 활성화시켜 도청기 역할을 하게 할 수 있다"며 "항상 소지하는 스마트폰은 주요 회의 등에도 함께 하기 때문에 도청기로 안성마춤"이라고 말했다. 도청시에는 해커가 스마트폰에 도청 시작, 정지 명령이 담긴 문자를 보내야하는데 알림음이나 진동이 울려도 사용자가 휴대폰을 열어보면 문자수신 기록이 남지 않아 도청을 당하고 있는지조차 알 수가 없었다.
 

에스이웍스와 본지가 스마트폰 도청, 도촬 해킹시연을 실시한 결과 10초 안에 도청, 도촬, 개인정보 탈취 등이 가능하다는 결과를 얻었다

도촬은 더욱 간단했다. 스마트폰에 심어진 악성코드가 사진찍을 때 발생하는 ‘찰칵’ 소리를 없앤 채 몰래 사진을 찍어 해커의 PC로 전송했다. 심지어 스마트폰 화면이 꺼져있었지만 조용히 사진을 촬영되고 있었다. 

홍 이사는 “도청, 도촬, 위치추적 등이 가능한 일명 스파이 앱이 안드로이드마켓에서 배포, 검출된 사례가 다수”라며 “최근 흥신소 등에서 배우자의 외도나 채무자의 위치파악을 위해 스파이 앱을 활용하는 경우가 많다”고 말했다.

◆스마트폰 안전수칙 지켜야·사용자 주의가 최선

도촬은 스마트폰만의 문제가 아니다. 안드로이드 운영체제를 이용해 앱을 바로 다운받아 촬영하고 인터넷에 바로 전송할 수 있는 ‘스마트카메라’도 악성코드의 위험에서 자유롭지 않기 때문이다. 실제 해외에서는 스마트카메라 해킹 이슈를 시연한 적도 있다. 

홍 이사는 “안드로이드 운영체제를 사용하며 와이파이로 찍은 사진을 바로 전송할 수 있게 해 인기가 높은 스마트카메라도 도촬 가능성이 높다”며 “책상위에 무심히 놔둔 스마트카메라가 일상생활의 일거수일투족을 모두 도촬해 누군가에게 전송할 수 있다”고 말했다. 

지난 10월말 트렌드마이크로는 안드로이드 마켓에서 악성 앱이 100만건을 돌파했다고 밝혔다. 안드로이드 마켓은 누구나 앱을 만들고 올릴 수 있기 때문에 악성코드가 숨겨진 앱을 가려내기 쉽지 않고 정상적인 앱이라도 위·변조가 손쉬워 악성코드를 숨긴 가짜 앱도 부지기수다. 

향후 스마트폰 악성코드는 더욱 늘어날 전망이다. 하지만 이를 방어하기란 쉽지 않다. 홍동철 이사는 "안드로이드 스마트폰은 소스코드 공개형이라 누구나 쉽게 만들 수 있고 애플리케이션(이하 앱) 검수도 철저하지 않기 때문에 해킹에 취약한 구조"라며 "사용자들이 의심스러운 문자나 앱에 주의하는 수밖에 없다“고 전했다. 

최근 정부는 늘어나는 스마트폰 악성코드 피해를 막기 위해 스마트폰 이용자 10대 안전수칙을 발표했다. △의심스러운 애플리케이션 다운로드하지 않기 △신뢰할 수 없는 사이트 방문하지 않기 △발신인이 불명확하거나 의심스러운 메시지 및 메일 삭제하기 △비밀번호 설정 기능을 이용하고 정기적으로 비밀번호 변경하기 △블루투스 등 무선인터페이스는 사용 시에만 켜놓기 △이상증상이 지속될 경우 악성코드 감염여부 확인하기 △다운로드한 파일은 바이러스 유무를 검사한 후 사용하기 △PC에도 백신 프로그램을 설치하고 정기적으로 바이러스 검사하기 △스마트폰 플랫폼의 구조를 임의로 변경하지 않기 △운영체제 및 백신 프로그램을 항상 최신 버전으로 업데이트하기 등이다.

관련 전문가들은 “스마트폰이 생활의 편리를 가져다 준만큼 역기능도 크다는 것을 명심하고 안전한 사용을 위해 사용자가 주의를 기울이는 것이 급선무”라고 당부했다.