[보안칼럼] 스마트폰 보안 취약점과 기업 대처방안

스마트폰은 ‘손안의 PC’로 OS(운영체제)가 탑재된 핸드폰이다. 기존 피처폰(feature phone)보다 무선통신 기본 지원(Wi-Fi, 블루투스), 여러 응용프로그램을 동시에 실행하는 멀티테스킹 지원 등의 장점으로 판매가 폭발하고 있다.

삼성전자는 스마트폰 개발 대응을 발 빠르게 하여 판매가 증가하면서 내년에는 1위 NOKIA를 탈환할 기세다. 스마트폰이 20년 이동통신 역사의 패러다임을 바꾸고 있으나 보안에 대한 인식과 대처는 부족한 실정이다.

스마트폰은 보안에 왜 취약할까?

스마트폰의 보안 문제는 뉴스기사 등에서 이슈가 된 것은 어제오늘 일이 아니다. 해킹등 보안 위협에 노출되어 있으나 사용자는 관심이 없어 보인다. “스마트폰에 친구 연락처 뿐인데 해킹해서 뭐하겠어요? 핸드폰은 컴퓨터와 달리 문서작업을 하지 않아서 중요 데이터가 없습니다”라고 말한다. 먼저 보안에 취약한 원인과 사례를 알아보자.

첫째, 애플의 IOS나 구글의 안드로이드 등 스마트폰 운영체제(OS)가 개방적으로 해킹도구 등의 개발이 쉽다. 누구라도 애플리케이션을 개발할 수 있도록 SDK를 이용하여 API를 제공하고 있어서 악성코드를 만들어 배포하는 것이 손쉽다.

최근 해외에서 악의적인 목적으로 광고업자가 위치정보 전송기능을 숨겨서 앱스토어에 애플리케이션을 올려놓고 다운받은 사용자의 위치정보를 수시로 파악하여 지역 광고를 뿌리는 사건이 문제가 되었다. 이 정도는 스팸 문자 메시지를 받는 수준이라 금전적인 피해가 없으니 넘어 갈 수도 있으나 시작일뿐이다.

둘째, 스마트폰은 경량 소형 제작으로 배터리와 CPU, 메모리 성능이 제한적으로 백신등의 보안 소프트웨어 상주시에 배터리 소모가 많다. 모바일 플랫폼 개발자 입장에서도 필수 보안 모듈외에는 개발하지 않으며 사용자 입장에서는 게임 애플리케이션을 설치할 수는 있어도 백신은 설치하지 않는다.

“스마트폰에 백신프로그램을 상주시켰더니 골프게임 실행 시 느려져서 삭제했습니다”라는 사용자도 있었다. 기업사용자도 “회사에서 모바일오피스 설치와 몇 개 보안프로그램이 상주하여 짜증이 날 때가 많습니다.”

셋째, 사용자의 보안 인식이 부족하다. 스마트폰에 수십 개의 애플리케이션은 설치해도 보안에 필요한 보안 애플리케이션은 설치하지 않는다. ‘스마트폰 지킴이’, ’유해사이트검사’ 등의 애플리케이션이 있다는 것을 아는 사용자는 몇 명 안 될 것이다. 백신 의무화로 스마트폰으로 웹 사이트 접속 시 백신이 없으면 접속이 안 되는 방안을 검토해야 한다.

기업은 스마트폰 활용을 위해 보안 강화 중

기업에서는 언제 어디서나 회사 업무를 볼 수 있는 모바일 오피스 시스템이 도입되어 사용하는 곳이 많다. 업무처리의 스피드화로 기업경쟁력이 높아지기 때문이다. 그러나 기업 무선랜 취약점 점검시 노트북 등 IT 기기를 휴대폰에 연결하여 무선 인터넷을 사용하는 ‘테더링’과 외부 공공 무선랜 접속 등이 지적이 되었다. 그래서 스마트폰에 대해 기술적으로 여러 가지 보안 대응을 하고 있다.

첫째, MDM(Mobile Device Management)을 도입하여 사용하고 있다. 주요 기능으로는 핸드폰 분실시 원격에서 핸드폰내의 USIM메모리에 있는 데이터를 삭제하거나, 스마트폰 화면 내용을 캡쳐 못하게 하거나 카메라로 사진 찍기를 못하게 할 수 있다.

또한 무선랜(Wi-Fi)와 블루투스 사용을 통제한다. “왜 이런게 필요하나구요?” 007영화를 보면 제임스본드가 몰래 적진에 들어가서 소형카메라로 기밀문서를 찍어서 정보를 빼내는 장면이 있다. 스마트폰으로 회사 내 중요 설계도를 쵤영하거나 모바일오피스로 보내준 회사 중요 내용을 화면 캡처해서 외부 메일로 보내는 노출 위험성이 존재하기 때문이다.

둘째, 모바일 보안 가이드를 작성 배포한다. 모든 직원들이 스마트폰에 화면 잠금은 필수이고, 아이폰에서 ‘탈옥 (Jailbreaking)’ 유틸리티로 각종 설정을 사용자가 조작하는 것을 금지하며, 안티바이러스를 항상 업데이트 하는 등의 내용이 담겨있다.

앞으로 스마트폰으로 물건구입시 모바일 결재를 하여 일반 지갑이 없어지고 금융 서비스 조회, 자동이체 등의 기능을 수행으로 신용카드가 없어질 날이 멀지 않았다. 스마트폰보안은 점점 중요해지고 있으며 이슈 발생시 사회적 혼란이 예상된다.

앱스토어 등록 애플리케이션에 대한 보안성 검토 강화, 스마트폰 전자결재 전자결재 강화, 단말 보안 기술 강화 등에 대한 정부와 기업, 개인 등 서비스 제공 주체들의 관심과 노력. 상호협력체계가 필요하다.

[글 _ 임보혁 보안컨설턴트(airbag1@naver.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)