웨어러블 기기가 위험하다 ... 스마트워치 등 보안 취약해

아주경제 장윤정 기자= 애플이 스마트워치를 내놓으며 불붙은 웨어러블 시장에 보안 위험이라는 먹구름이 예상된다. 

보안업계는 스마트워치 및 소형전자 기기 등 새로운 디바이스의 폭증으로 신종 보안위험이 생길 것이라고 전망했다. 

카스퍼스키랩(지사장 이창훈)은 사물인터넷(Internet of Things) 환경에서 커넥티드 디바이스와 하이퍼커넥티드 세계(hyper-connected world)의 보안 위험에 대해 16일 경고했다.

스마트워치 및 구글 글라스(Google Glass)와 같은 소형 전자 기기 등의 웨어러블 디바이스들은 스마트폰과 태블릿보다 훨씬 더 편리하게 웹 및 애플리케이션에 액세스할 수 있는 반면, 이러한 새로운 디바이스의 폭증은 앞으로 디바이스 소유자들이 해결해야 할 새로운 보안 위험을 야기할 것으로 나타났다.

카스퍼스키랩의 로베르토 마르티네스와 후안 안드레스 게레로 연구원은 구글 글라스와 삼성 갤럭시 기어 2를 통해 이 기기들이 사람들의 프라이버시 및 보안에 어떤 영향을 미치는지 조사했다.

구글 글라스는 맨 인더 미들(중간자 공격)에 취약한 것으로 나타났다.  구글 글라스를 블루투스와 와이파이 등으로 연결해 조사한 결과에 따르면, 디바이스와 핫스팟 간 교환된 모든 트래픽이 암호화돼 있진 않은 것으로 나타났다. 암호화되지 않은 정보를 통해 공격 당한 사용자가 어느 항공사, 호텔, 여행지를 찾고 있는지 확인할 수 있었다. 이는 사용자를 대상으로 한 프로파일링 작업 및 간단한 형태의 감시가 가능한 수준이다.

카스퍼스키랩의 로베르토 마르티네스 연구원은 "아직 매우 심각한 수준의 취약점은 아니지만 웹 트래픽 교환에서 비롯된 메타 데이터를 통한 프로파일링은 디바이스 소유자를 타깃으로 한 더 복잡한 공격으로 성장할 가능성이 매우 크다”고 말했다.

후안 안드레스 게레로 연구원은 삼성 갤럭시 기어 2가 사진 촬영 시 주위 사람들이 알아차릴 수 있는 정도로 큰 소리가 나도록 설정돼 있음을 확인했다. 그러나 갤럭시 기어 2의 소프트웨어 조사 결과, 디바이스 루팅과 삼성의 상용 소프트웨어 툴인 오딘(ODIN) 사용 시 사진 촬영음 없이 내장 카메라를 무음으로 사용할 수 있는 것으로 드러났다. 이는 다른 사람들의 프라이버시를 침해하는 데 악용될 수 있다.

또 갤럭시 기어 워치는 스파이 툴로 악용 가능하다.

카메라의 촬영음 제거 외에도 스마트워치를 스파이 툴로 악용하는 방법이 있다. 갤럭시 기어 2 전용 애플리케이션은 스마트폰에서 스마트워치로 앱을 전송할 수 있도록 설계된 기어 매니저(Gear Manager) 앱을 사용해 기기에 설치된다. 문제는 앱이 스마트워치의 운영 시스템에 설치될 때 시계 화면에는 어떠한 알림도 나타나지 않는다는 것이다. 이는 악성 앱을 몰래 설치하는 등의 악용 가능성을 시사한다.

카스퍼스키랩의 후안 안드레스 게레로 연구원은 "웨어러블 디바이스들이 현재 전문 APT 공격자들의 공격 타깃으로 떠오르고 있는 것을 보여주는 증거나 사례는 없다. 하지만 웨어러블 디바이스의 사용률이 점점 증가할수록 앞서 말한 보안 위험이 실현될 가능성은 크게 증가할 것”이라며, “미래에 웨어러블 디바이스에 의해 수집된 데이터는 사이버 스파이 공격의 새로운 표적이 될 것”이라고 전했다.