해킹 威脅에서 安全地帶는 없다. 最近 벌어진 韓國水力原子力(韓水原)과 美國 소니픽처스 엔터테인먼트 해킹 事件에서 알 수 있듯 老鍊한 해커는 保安이 弱化된 작은 틈을 놓치지 않는다. 그게 아무리 작은 틈일지라도 말이다. 가뜩이나 요즘처럼 全 國民이 손안에 작은 個人用 컴퓨터(PC)를 들고 다니는 世上이라면 해커의 作業도 한層 더 수월하지 않을까. 사이버保安 專門家들에게 해킹當한 스마트폰을 가지고 企業 電算網을 뚫는 게 可能한지 물었다. 共通된 對答은 “技術的으로는 可能하다”는 것. 이러한 家庭에는 “해킹당한 스마트폰을 가지고 會社 無線네트워크를 썼을 때”라는 前提가 붙었다.
조주봉 라온시큐어 화이트햇 센터 保安技術敎育팀長은 “해킹당한 스마트폰으로 會社 無線 AP(Access Point·共有 허브)에 接續하면 스마트폰을 媒介體로 內部 電算網에 遠隔으로 接近할 수 있다”고 말했다.
“舊型 스마트폰은 最新 스마트폰에 比해 相對的으로 해킹이 쉽고, 最新 運營體制(OS)가 깔린 스마트폰은 스미싱 等으로 惡性파일을 設置해야 해킹이 可能합니다. 過去의 이슈는 해킹한 스마트폰의 카메라를 操作해 寫眞을 찍거나 마이크로 會議 內容을 錄音하거나 通話 內譯을 奪取하는 方式이었습니다. 最近에는 집 공유기를 해킹하는 攻擊 技法도 나왔는데, 해커가 집 공유기를 掌握한 狀態에서 携帶電話로 無線 AP에 接續하면 假짜 피싱사이트로 接續하게 해 情報를 빼내는 形態입니다.”
해킹당한 事實조차 몰라
携帶電話가 해킹당한 걸 當事者가 알 수 있을까. 조 팀長은 “눈에 띄는 現象이 全혀 없기에 알 수 없다”고 했다. 귀찮더라도 PC를 初期化하듯 定期的으로 携帶電話를 初期化하면 完璧한 保安이 可能할까. 그는 “完璧하지는 않다. 求刑 스마트폰은 日程 버전 以上의 펌웨어 업데이트가 支援되지 않기 때문”이라고 말했다.
최상명 하우리 次世代保安硏究센터 센터長은 “해킹당한 스마트폰이라고 해도 社內 와이파이(Wi-Fi)를 쓰지 않고 3G(3世代), 4G만 쓴다면 外部 인터넷을 쓰는 PC나 다름없기에 그를 통해 企業 電算網에 浸透하는 건 딱히 流離함이 없다”고 말했다.
“携帶電話 番號를 안다고 그 스마트폰을 해킹하는 건 不可能해요. 스마트폰을 해킹할 때는 主로 惡性코드를 活用합니다. 스미싱처럼 어떤 式으로든 해커가 文字메시지로 보낸 住所나 파일을 使用者가 클릭해야 携帶電話가 感染되죠. 와이파이를 쓰지 않고 3G만 使用하는 스마트폰이라면 파일을 옮기거나 充電하기 위해 PC에 케이블을 連結했을 때 그 PC를 통한 接續은 可能합니다. 但, 이 境遇 해킹 對象이 되는 企業이 電算網을 分離해 管理하고 있다면 쉽지는 않을 겁니다.”
요즘 企業 e메일을 구글 메일이나 네이버 메일 等 外部로 포워딩海 스마트폰으로 實時間 確認하며 業務를 하는 境遇도 많다. 崔 센터長은 “스마트폰으로도 온라인 사이트 接續이 可能한 會社라면 社內 e메일을 外部 計定으로 포워딩海 받는 것보다 웹으로 接續해 e메일을 읽는 게 파일 自體를 機器 內部에 남겨두지 않아 相對的으로 安全하다”고 말했다.
해킹 威脅으로부터 安全한 스마트폰은 “없다”는 게 專門家들의 共通된 意見이다. 다만 아이폰과 안드로이드폰를 比較한다면, 閉鎖性이 剛한 아이폰이 해킹 確率을 ‘줄일’ 수는 있다. 아이폰은 文字메시지에 적힌 住所를 클릭해도 애플리케이션(앱)을 設置할 수 없지만, 안드로이드폰은 保安 設定에서 ‘알 수 없는 出處의 앱 設置’를 選擇하면 앱을 設置할 수 있기 때문이다.
조 팀長은 “企業의 마인드 差異일 수 있는데 애플은 監視와 統制 政策으로 모든 앱을 檢收하고 올리기 때문에 使用者가 不便함을 느낄 수 있지만, 안드로이드는 使用者 便宜性을 重視해 開放的이다 보니 保安 關聯 이슈가 發生하는 便”이라고 말했다. 崔 센터長은 “아이폰이 相對的으로 스미싱에서 安全한 便이지만, 脫獄(iOS의 制限을 풀어 署名되지 않은 코드를 實行 可能하게 하는 것)韓 아이폰이라면 注意가 必要하다”고 말했다.
韓水原 해킹 事件은 職員들이 團體로 받은 e메일에 添附된 파일을 無心코 클릭했다가 惡性코드에 感染되면서 發生했다. 따라서 해킹으로 因한 被害를 막으려면 個個人의 保安意識을 强化하는 게 가장 重要하다. 조 팀長은 “多數가 勤務하는 職場에서는 一括的인 統制가 쉽지 않기 때문에 職員들의 保安意識을 높이기 위한 週期的인 敎育이 必要하다”고 말했다.
“會社에서 許容하지 않는 앱을 쓰지 않도록 하고, 와이파이를 쓰거나 테터링을 할 때도 注意가 必要합니다. 自身이 하는 行動이 問題가 될 수 있다는 事實을 알려줘야 합니다. 또 會社는 外部에서 企業 電算網에 接近할 수 없도록 시스템을 構築해야 하고요.”
崔 센터長은 “企業들은 會社 主要 資料가 있는 內部網과 一般 職員이 쓰는 外部網을 分離해놓아야 한다. 企業이 아무리 保安을 强化했다 해도 e메일 클릭을 잘못하면 끝나기 때문에 個個人의 保安意識度 重要하다”고 말했다.
“大企業은 會社 建物에 進入하면 機器가 自動으로 制御되는 모바일 端末機 管理(MDM) 機能으로 內部 保安을 强化하고 있습니다. 會社 內에 들어오면 스마트폰 카메라나 錄音 프로그램 等이 作動하지 않는 거죠. 이럴 境遇 個人이 따로 神經 쓰지 않아도 되지만 그런 시스템이 構築되지 않은 곳이라면 注意가 必要합니다.”
林鍾仁 고려대 情報保護大學院 院長은 “스마트폰을 통한 企業 電算網 해킹이 理論的으로는 可能할 수 있겠지만, 會社에서는 大部分 e메일 等을 쓸 수 있는 網과 主要한 情報에 接續할 수 있는 網을 分離해 管理한다. 그렇기에 設令 스마트폰으로 會社 와이파이를 掌握하더라도 이런 시스템이 잘 갖춰진 企業이라면 重要한 資料까지 해킹할 수는 없다”고 말했다.
백신과 暗號化 保管 앱 使用
個人이 最大限 安全한 스마트폰 使用 環境을 만들려면 어떻게 하는 게 最善일까. 知人이 보낸 文字메시지라도 添附된 링크는 클릭하지 않고, 모바일 백신을 늘 最新 버전으로 업데이트해 實時間으로 켜둬야 한다. 또한 公認認證書나 會社와 關聯한 主要 資料는 되도록 스마트폰에 貯藏하지 않는 것이 좋다.
崔 센터長은 “모바일 백신을 켜두면 배터리가 빨리 닳고 速度가 느려져 不便하게 여기는데 깔아놨다고 끝나는 게 아니라 實時間으로 켜놔야 한다. 요즘에는 保安카드를 寫眞으로 찍어 스마트폰에 貯藏해두는 사람도 많다. 하지만 해킹당하면 資料를 그대로 뺏길 수 있으니 暗號化해 保管할 수 있는 앱을 活用해 이中잠금을 해두는 게 좋다. 그래야 해커가 資料를 가져가더라도 惡用하는 걸 막을 수 있다”고 말했다.
林 院長은 “現在 스마트폰에 백신 6個를 깔아서 使用하고 있다”며 “백신을 2~3個쯤 깔아두고 使用하되 定期的으로 업데이트해 最新 버전을 維持해야 한다. 添附파일度 함부로 열어서는 안 된다. 無料 온라인 사이트에서 파일을 다운로드하다 惡性코드에 感染되는 境遇가 잦으니 注意가 必要하다”고 當付했다.
