안드로이드 해킹 앱 1000만건 유포···구글, 뒤늦게 삭제

위장 문자메시지 보낸 후 사용자가 앱 설치하면 개인정보 빼가

[아시아경제 권해영 기자]악성코드에 감염된 스마트폰 애플리케이션(이하 앱)이 구글 온라인 마켓을 통해 1000만건 가까이 다운로드된 것으로 알려져 파장이 일고 있다.

22일 미국 월스트리트저널(WSJ) 자매지 올싱스디지털은 보안업체 룩아웃이 구글플레이에서 악성 코드 '배드뉴스'에 감염된 앱이 최소 900만건 이상 다운로드된 것을 확인했다고 전했다. 배드뉴스는 4명의 개발자가 배포한 32개의 앱에 숨겨져 배포됐다는 게 룩아웃의 설명이다.

구글은 룩아웃의 신고를 받자마자 이들 앱을 삭제했으나 이미 1000만건 가까이 다운로드된 후라 사용자들의 피해가 우려된다. 배드뉴스는 위장 문자메시지를 보내 사용자가 앱을 설치하도록 유인한 후 연락처, 디바이스 ID 등 개인정보를 외부 명령 및 제어 서버(C&C 서버)로 전송하는 역할을 했다.

국내에서도 유사한 방식의 해킹 피해가 발생하는 등 스마트폰 앱을 이용한 공격이 늘고 있다. 보안 전문가들은 매일 수천 건의 새로운 악성 코드가 생성되고 있어 유포를 막는 것은 쉽지 않으며 사용자가 인터넷 주소(URL) 등이 포함된 문자메시지가 올 경우 URL을 클릭하지 않는 게 가장 안전하다고 조언한다.

룩아웃측은 "기업 보안 책임자들은 (등록 전) 철저한 앱 검수 과정을 거쳤다고 해도 지금까지 발견되지 않은 악성 코드나 수법 등은 파악하기 어렵다는 사실을 알아야 한다"고 주의를 당부했다.

권해영 기자 roguehy@