국내 스마트폰 가입자 수가 폭발적으로 증가하고 있다. 2010년 2월말 100만이었던 가입자 수가 2010년 11월 말 550만을 찍고 2011년 3월말 1000만을 넘어섰다. 이런 추세라면 2012년에 스마트폰 2,000만 시대가 도래하게 된다.
 
또 스마트폰 OS 시장은 현재 안드로이드 OS가 국내 88%정도 점유율을 보이고 있으며 나머지가 아이폰 iOS를 사용하고 있다. 전세계적으로는 여전히 심비안이 1위를 차지하고 있지만 추후에는 안드로이드 OS가 대세를 이룰 전망이다.
 
이기혁 SK텔레콤 팀장은 23일 열린 금융보안 그랜드 콘퍼런스에서 “스마트폰 2,000만 시대를 앞두고 있다. 스마트폰 및 태블릿 PC 등 다양한 단말기에 대한 수요자가 확대되면서 스마트 단말기들을 활용한 서비스들도 계속 증가하고 있다. 인터넷뱅킹, HTS, 보험, 결제서비스 등이 여기에 속한다”고 밝히고 “최근에는 스마트 단말기를 활용해 회사 업무를 보는 스마트 워크 시대가 열리면서 스마트 플랫폼들에 대한 보안 이슈도 증가하고 있다”고 덧붙였다.
 
스마트 플랫폼과 연계된 새로운 보안위협들이 증가하고 있다. 이기혁 팀장은 “금융권 대상 공격이 증가하고 있다. 현대캐피탈, 농협 등 정보유출 사건과 시스템 해킹 사건이 계속해서 발생하고 있고 좀비화 된 PC와 스마트폰 등 이기종 단말기에 의한 mDDoS 공격이 가능해지고 금융 프로그램을 장악하는 악성 애플리케이션이 등장하고 있다”고 경고했다.
 
또 그는 “안드로이드 마켓 등 오픈 앱스토어 마켓 사용자가 늘고 페이스북, 트위터 등 SNS 사용이 보편화되고 있다. 이를 활용한 악성코드 전파, 피싱, 개인정보 유출을 위한 사회공학적 공격 양상이 더욱 다양화되고 있는 것도 문제”로 지적했다.
 
더욱이 모바일 오피스 시대가 열리면서 스마트 단말기에 민감한 개인정보 혹은 기업정보를 저장하는 사례가 늘고 있다. 단말기 분실이나 도난으로 인한 정보유출 사고가 발생할 수 있는 가능성이 커졌으며 네트워크에 대한 도, 감청 위험도 증가하고 있다. 해커들은 3G, 와이파이, 블루투스 등 다양한 루트로 공격이 가능해져 위협은 더욱 증가하고 있는 실정이다.
 
이 팀장은 “최근 모바일 악성코드 수가 급증하고 있다. 2011년 3월 기준 2,100여 종의 모바일 악성코드가 발견됐고 형태도 바이러스, 웜, 트로이목마와 같은 PC 수준과 동일한 형태로 사용자들을 노리고 있다”며 “해커들이 단말기를 해킹해 통제권한을 획득하면 엄청난 수의 좀비 스마트폰을 만들어 낼 수 있고 이를 이용해 사이버 테러를 자행 할 수도 있는 상황”이라고 우려했다.
 
반면, 이용자들의 반응은 무덤덤하다. 스마트폰 단말기에 모바일 바이러스 백신이 설치돼 있음에도 불구하고 대부분이 백신을 구동하는 경우가 없다. 발표장에서도 대부분 참관객들이 스마트폰을 사용하고 있었지만 백신으로 자신의 스마트폰을 점검하는 이용자는 거의 없었다.
 
스마트폰의 보안 위협 요소는 분실, 도난으로 인한 정보유출, 24시간 커져있어 언제나 공격이 가능하고 개방형 플랫폼, 다중 접속 환경 등으로 공격자 입장에서는 최상의 조건을 갖추고 있는 것이다. 이를 통해 기업이나 공공기관 내부망 시스템 침입 경로로도 활용될 수 있어 대책 마련이 시급하다.
 
◇스마트폰 보안 위협 사례 증가=2010년 4월 중국 업체가 개발한 ‘3D 안티-테러리스트 액션’ 게임에 러시아 해커가 악성코드를 삽입했다. 이 악성코드가 설치되면 6개의 특정 번호로 국제전화가 자동 발신된다. 이용자가 요금폭탄을 맞게 되는 것이다. 국내에서도 공격이 시도됐지만 미수에 그쳤다.
 
2009년 12월, 09Droid라는 해커가 구글 안드로이드 마켓에서 은행 프로그램을 가장한 불법 소프트웨어를 판매하다 적발됐다. 이 프로그램은 이용자의 은행 비밀번호를 공격자의 서버로 전송하는 역할을 한다.
 
지난해 3월에는 HTC사에서 제공하는 안드로이드 폰에서 PC Sync에서 작동하는 악성코드가 발견됐다. 사용자들이 핸드폰과 PC를 USB로 연결할 때 autorun.inf 파일이 실행되며서 PC가 악성코드에 감염된다. 발견된 악성코드는 봇넷과 관련된 악성코드로 발견됐다.
 
지난해 7월, 이토마토 증권통이 사용자 인증수단으로 스마트폰 내 IMEI/USIM 일련번호를 무단 수집한 협의로 기소됐다. 수집한 정보는 서버에서 암호화하지 않은 채 보관됐고 국내 현행법상 IMEA 값은 통신사만 수집할 수 있다. 서울지방법원은 개인정보 무단 수집혐의로 올해 2월 이 사건에 대해 유죄판결을 내린바 있다.
 
올해 2월에는 스크린 세이버용 앱인 스티미 윈도우에 악성코드가 삽입, 유포됐다. 중국 블랙 마켓 등을 통해 확산된 것이다. 증상은 음성 녹음 및 자동 SMS가 발송되고 앱이 자동 설치되며 원격서버에서 명령제어를 할 수 있다. 또 IMEI, IMSI, USIM 등 개인정보 수집도 한 것으로 드러났다.
 
또 올해 3월에는 안드로이드 마켓에서 드림드로이드 등 개인정보를 유출하는 악성 앱 56개가 발견됐다. 삭제 이후 변종 악성 앱이 지속적으로 올라오고 있으며 증상은 IMEI, IMSI, 기기 버전 정보 등을 원격서버로 전송하고 단말에 해가 될 수 있는 루팅 코드도 포함됐다. 또 다른 악성코드를 추가로 다운로드 하도록 설정됐다.
 
◇스마트 시큐리티 환경 구축해야=이기혁 팀장은 다음과 같은 스마트 시큐리티 환경을 제안했다.기업들은 스마트디바이스 전용 백신으로 실시간 탐지/차단을 통해 악성코드로 인한 스마트디바이스의 침해 및 오사용을 예방해야 한다.(모바일 안티바이러스) 또 문서기반의 기업 정보가 안전하게 저장되고 적합한 사용자에게만 처리될 수 있도록 무선 관리체계를 스마트디바이스 영역까지 확대 적용(모바일 DRM)해야 하고 스마트디바이스를 통한 기업 내 정보시스템 사용을 위한 안전한 통신채널을 제공해야 한다.(모바일 VPN)
 
또 스마트디바이스를 통한 기업 내 모바일 업무 환경을 위한 안전한 사용자 인증체계(모바일 PKI)를 제공하고 기업 와이파이 망의 안전한 사용을 위한 무선 네트워크 보안 인프라를 제공하고 비인가 모바일 장치의 사용을 엄격히 통제해야 한다는 것이다.
 
이기혁 팀장은 “완벽한 성능의 차로 최고 실력의 운전자가 운전을 한다고 해서 사고가 발생하지 않을까. 통계상 아무리 완벽한 운전자라 할지라도 24%의 사고확률은 가지고 있다. 이때 피해를 최소화 하기 위해서는 운전자의 안전밸트 착용은 필수인 것처럼, 기업이 아무리 백신을 제공하고 앱 다운로드시 주의를 당부해도 이용자가 백신을 사용하지 않고 앱스토어에서 주의를 기울이지 않으면 좀비화된 스마트폰으로 큰 사회적 피해사례가 발생할 것이다. 안전한 스마트 시대를 열기 위해 기업과 이용자 모두 보안을 위한 인식변화가 필요하다”고 강조했다. 
[데일리시큐=길민권 기자]