스마트폰, 악성코드 설치되면 '좀비폰'

[아시아경제 김철현 기자]악성코드에 감염된 스마트폰은 주소록의 전화번호로 다량의 문자메시지를 한 번에 보낼 수 있다. 주소록에 등록된 각 번호로 1000건의 같은 메시지를 보내는 것도 기술적으로 가능하다고 한다. 이렇게 되면 과도한 요금이 청구되는 것은 물론 통신 장애까지 발생할 수 있다.

악성코드에 감염된 후 분산서비스거부(DDoS) 공격에 악용되는 '좀비PC'처럼 스마트폰도 '좀비폰'이 될 수 있다는 얘기다.

뿐만 아니라 악성코드는 스마트폰에 저장된 위치정보와 주소록 등의 개인정보도 빼낼 수 있다.

보안업체 에이쓰리시큐리티는 24일 서울 삼성동 코엑스 그랜드볼룸에서 '2010 보안관리전략 세미나'를 개최하고 안드로이드폰 해킹 과정을 시연하며 이 같이 밝혔다.

발표에 나선 주세홍 에이쓰리시큐리티 지식사업팀장은 동영상을 통해 안드로이드폰을 해킹하는 과정을 시연했다. 해킹은 간단히 이뤄졌다. 안드로이드폰에서 악성코드가 첨부된 메일을 확인하고 이를 설치하면 끝나는 것이다.

'애플리케이션을 설치하면 노트북을 경품으로 제공한다'는 내용의 메일을 보고 호기심으로 이 애플리케이션을 설치해 실행하면 해커의 PC에 바로 연결돼 '좀비폰'이 된다는 설명이다.

이렇게 해킹된 스마트폰은 주소록의 다른 번호로 이른바 '문자폭탄'을 보내는 데 악용될 수 있다. 주 팀장은 해킹된 스마트폰에 명령을 보내 5개의 같은 문자메시지를 주소록의 각 번호에 보내는 과정을 시연했다.

주 팀장은 "사용자의 주소록에 등록된 번호로 원하는 만큼의 문자메시지를 보낼 수 있다"며 "1000통의 문자를 보내라는 명령을 내리면 상대방 휴대폰 장애는 물론 통신사의 트래픽에도 영향을 줄 수 있을 것"이라고 말했다.

또한 해커는 주소록 등 사용자의 정보도 빼낼 수 있다. 주 팀장은 명령어만 입력하면 주소록의 전화번호가 줄줄이 해커의 PC에 뜨는 과정을 직접 시연했다. 위치정보도 빼낼 수 있다. 대부분의 스마트폰이 GPS를 내장하고 있기 때문이다.

주 팀장은 "개인의 위치정보는 납치, 스토킹, 감시 등에 악용될 수 있고, 주요인물의 위치 정보를 확인하면 테러나 물리적인 침투경로를 확보할 수도 있다"며 주의를 당부했다.

또한 최근 모바일 오피스 구축 추세에 따라 스마트폰 해킹만으로 회사의 기밀이 유출될 우려도 있다.

주 팀장은 "스마트폰은 컨버전스(융합) 환경에서 선도적인 역할을 하고 있어 이를 악용하려는 보안 위협도 컨버전스되는 추세"라며 종합적인 대응책 마련의 필요성을 강조했다.

스마트폰이나 애플리케이션 등을 통제하고 주요 정보를 암호화하는 등의 노력이 요구된다는 것이다.

결국 스마트폰에서도 PC와 마찬가지로 메일 확인 시 검증되지 않은 첨부파일을 내려 받지 않는 등 노력이 필요하다고 보안 전문가들은 입을 모으고 있다.

하지만 스마트폰 보안 위협이 과도하게 부각되고 있다는 지적도 적지 않다. 안철수연구소 김홍선 대표는 블로그를 통해 "개방형 플랫폼의 스마트폰이 태생적인 보안 문제가 있는 것은 사실이지만 막연히 불안해하거나 사용을 기피하는 것은 바람직하지 않다"며 "위협의 실체를 명확히 파악하고 종합적인 대책을 마련해야 한다"고 강조했다.



김철현 기자 kch@