우리 손안의 멋진 안드로이드 기기는 단순한 도구를 넘어, 일상생활의 중심에서 다양한 활동을 가능하게 합니다. 업무 처리부터 엔터테인먼트, 창작 활동, 그리고 소통까지, 이 모든 것이 안드로이드 기기 하나로 이루어집니다.
하지만 2023년 현재, 증가하는 보안 위협은 안드로이드 기기에 저장된 데이터, 개인 정보 보호, 그리고 기기 자체의 안전까지 위협하고 있습니다. 그렇다면 우리가 주의해야 할 주요 위협들은 무엇일까요?
1. 악성코드
Securelist 보고서에 따르면, 카스퍼스키는 2023년 2분기에만 570만 건이 넘는 악성코드, 애드웨어 및 리스크웨어 공격을 안드로이드 기기에서 차단했습니다.
가장 흔한 문제 중 하나는 유용한 앱으로 위장한 ‘잠재적 유해 프로그램(PUP)’입니다. 발견된 위협 중 30% 이상이 기기에 광고를 표시하거나, 개인 정보를 수집하거나, 스누핑을 활성화할 수 있는 RiskTool PUP로 분류되었습니다.
더욱 심각한 것은 해당 분기에 37만 개가 넘는 악성 앱 패키지가 발견되었다는 점입니다. 이 중 약 6만 개는 금융 정보를 훔치는 모바일 뱅킹 트로이 목마였으며, 1,300개 이상은 몸값을 요구하며 기기를 잠그는 모바일 랜섬웨어였습니다. 공격자들의 수법이 더욱 정교해짐에 따라 이러한 수치는 더욱 증가할 가능성이 높습니다. Securelist는 카스퍼스키가 이전에는 볼 수 없었던 새로운 유형의 랜섬웨어와 뱅킹 트로이 목마를 발견했다고 발표했습니다. 심지어 영화 스트리밍 서비스로 위장한 가짜 암호화폐 채굴 앱이 구글 플레이 스토어에서 발견되기도 했습니다.
애드웨어 역시 여전히 기승을 부리고 있으며, 전체 위협의 20% 이상을 차지합니다. MobiDash나 HiddenAd와 같이 교묘한 애드웨어 계열은 숨겨진 프로세스를 실행하여 원치 않는 광고로 사용자를 괴롭힙니다. 이러한 애드웨어는 원치 않는 소프트웨어 감지 분야에서 가장 큰 비중을 차지하고 있습니다.
안드로이드 사용자로서 안전을 지키려면, 공식 플레이 스토어를 이용하고, 앱 권한 요청을 꼼꼼히 확인하며, 보안 소프트웨어를 최신 상태로 유지하고, 신뢰할 수 있는 모바일 보안 도구를 사용하는 것이 중요합니다.
2. 피싱
피싱 사기는 2023년 안드로이드 사용자에게 또 다른 큰 보안 위협으로 자리 잡았습니다. 이러한 공격은 사회 공학적 기법과 가짜 인터페이스를 활용하여 사용자를 속여 중요한 정보를 탈취합니다. 스트레이츠 타임즈의 보도에 따르면, 2023년 3월 이후 싱가포르에서만 최소 113명의 안드로이드 사용자가 피싱 사기로 인해 약 44만 5천 달러의 피해를 입었습니다.
가장 흔한 수법은 자격 증명과 일회용 비밀번호를 탈취하기 위해 가짜 은행 로그인 페이지로 연결되는 앱이나 링크를 사용하는 것입니다. 이후 사기꾼은 실제 은행 앱에 접근하여 승인되지 않은 거래를 진행합니다. 일부 피싱 앱에는 백그라운드에서 비밀번호나 기타 데이터를 가로채는 악성 코드가 포함되어 있기도 합니다.
공격자들은 주로 소셜 미디어나 메시징 앱에서 합법적인 기업으로 위장하여 피싱 링크를 배포합니다. 그들은 상품이나 서비스 구매를 위해 링크를 클릭해야 한다고 주장합니다. 현재 스트리밍 서비스, 게임, 크라우드 펀딩 및 기타 인기 있는 디지털 서비스 관련 피싱이 증가하는 추세입니다.
스피어 피싱은 개인 맞춤형 콘텐츠를 사용하여 공격을 식별하기 더욱 어렵게 만듭니다. 사기꾼들은 현재 사건이나 코로나19와 같은 인기 주제를 이용하여 사용자를 속여 링크를 클릭하도록 유도합니다. ChatGPT와 같은 인공지능 모델 또한 설득력 있는 피싱 사이트와 콘텐츠를 쉽게 생성하여 공격을 더욱 강화할 수 있습니다.
따라서, 소셜 미디어 광고를 클릭할 때는 주의하고, 출처를 알 수 없는 앱이나 개발자는 피해야 합니다. 또한 앱 권한을 면밀히 확인하는 습관을 길러야 합니다.
3. 패치되지 않은 취약점
구글이 발표한 내용에 따르면, 패치되지 않은 버그로 인한 취약점은 2023년 안드로이드 사용자에게 여전히 심각한 문제입니다. 구글은 가장 심각한 새로운 취약점 중 하나로 CVE-2023-21273을 지목했는데, 이는 시스템 구성 요소의 원격 코드 실행 버그입니다. 이 취약점을 통해 해커는 사용자의 아무런 조치 없이도 기기를 완전히 제어할 수 있습니다.
이는 유일한 치명적인 취약점이 아닙니다. 미디어 프레임워크의 CVE-2023-21282 및 커널의 CVE-2023-21264와 같이 해커가 악성 코드를 실행할 수 있는 여러 취약점이 존재합니다. 이 외에도 해커가 장치에 무단으로 접근하거나 손상시키거나 개인 정보를 탈취할 수 있는 36개 이상의 심각한 취약점이 발견되었습니다.
안타깝게도 많은 안드로이드 기기가 이러한 중요한 보안 패치를 즉시 받지 못합니다. 최신 플래그십 모델을 사용하지 않는 한, 기기가 몇 달 또는 몇 년 전에 구글에서 패치한 이러한 버그에 여전히 취약할 가능성이 높습니다. 현실적으로 1~2년에 한 번씩 최신 휴대폰으로 업그레이드할 여유가 있는 사람은 극소수입니다.
따라서 가능한 한 안드로이드 기기의 소프트웨어를 최신 상태로 유지해야 합니다. 기기가 더 이상 업데이트를 지원하지 않는다면, 보안 패치가 지속적으로 제공되는 중고 모델로 업그레이드하는 것을 고려해야 할 때입니다.
4. 공용 와이파이 해킹
무료 공용 와이파이는 데이터 요금제가 부족하거나 소진되었을 때 꿈처럼 보일 수 있습니다. 그러나 커피숍, 공항 또는 호텔에서 개방형 네트워크를 사용하기 전에 다시 한번 생각해봐야 합니다. 해커들은 안드로이드 사용자의 데이터와 자격 증명을 훔치기 위해 공용 와이파이를 표적으로 삼고 있습니다.
악의적인 사용자들이 가짜 핫스팟을 설정하거나 주변 기기의 트래픽을 감시하는 것은 매우 쉽습니다. 비밀번호, 로그인 정보, 은행 계좌, 신용 카드 정보 등 민감한 정보는 공용 네트워크에서 쉽게 가로채질 수 있습니다.
‘중간자 공격’과 같은 기법은 해커가 사용자 기기와 와이파이 라우터 사이에 끼어들어 네트워크 데이터를 도청하거나 변경합니다. 또한 사용자들을 속여 악성 네트워크에 연결하도록 유도하여 악성 코드를 확산시키기도 합니다.
안드로이드 기기는 이전에 사용했던 와이파이에 자동으로 연결되는 경우가 많으며, 이는 사용자가 자신도 모르게 해킹된 공용 네트워크에 접속할 수 있다는 것을 의미합니다. 가능하면 공용 와이파이를 사용하지 않는 것이 가장 좋지만, 필요한 경우 신뢰할 수 있는 VPN을 사용하는 것이 좋습니다. 자동 연결 기능을 끄고, “보안되지 않은 네트워크” 경고에 주의하며, 민감한 앱이나 사이트에 접속할 때는 주변을 경계하는 것이 중요합니다.
개인 네트워크는 안전해야 하지만, 이동 중에는 연결에 더욱 주의해야 합니다. 클릭하거나 데이터를 입력하기 전에, 심지어 공용 와이파이를 통해 이메일을 열기 전에 다시 한번 생각해야 합니다. 편리함이 해킹된 데이터, 신원 및 계정이라는 엄청난 위험만큼 가치가 있는 것은 아닙니다.
5. USB 충전 위험
배터리가 부족할 때 휴대폰을 충전할 방법을 찾는 것은 흔한 일입니다. 하지만 안드로이드 기기를 충전하기 위해 아무 USB 포트에나 연결하는 것은 주의해야 합니다. 해커는 공용 USB 충전기를 조작하여 사용자 휴대폰을 손상시킬 수 있습니다.
‘주스 재킹’이라고 불리는 이 공격은 악성 코드를 설치하거나, 데이터를 훔치거나, 악성 코드가 로드된 충전 케이블을 사용하여 기기에 접근합니다. 공항, 쇼핑몰, 레스토랑 등 공용 USB 충전 스테이션은 이러한 공격에 취약하며, 빠른 충전을 제공한다는 미끼로 사용자를 유혹할 수 있습니다.
일단 연결되면 악성 케이블이나 충전기는 기기를 잠금 해제하지 않고도 단 몇 초 만에 감염시킬 수 있습니다. 이후 악성 코드는 휴대폰이 백그라운드에서 조용히 충전되는 동안 개인 정보와 데이터를 공격자에게 전송할 수 있습니다.
가장 좋은 방법은 공용 USB 충전 포트를 아예 사용하지 않는 것입니다. 불가피한 경우에는 제공된 충전 케이블과 어댑터를 사용하세요. 충전 중에는 휴대전화를 잠근 상태로 유지하고, 파일 전송을 허용하지 않으며, 나중에 의심스러운 활동이 있는지 기기를 확인해야 합니다.
전원만 통과시키고 데이터 전송을 차단하는 USB 데이터 차단 동글을 사용하는 것도 좋은 방법입니다. 궁극적으로, 정품 충전기와 어댑터를 사용하고, 가능하면 외부 배터리 팩을 사용하는 것이 가장 안전합니다. 몇 개의 추가 배터리 팩을 가지고 다니면 ‘주스 재킹’의 위험을 피할 수 있습니다.
6. 물리적 기기 도난
우리 모바일 기기에는 비밀번호, 계정 정보부터 사진, 메시지 등 방대한 개인 데이터가 저장되어 있습니다. 따라서 이는 민감한 정보를 훔치고 악용하려는 도둑들의 주요 표적이 됩니다. 2023년에도 안드로이드 기기의 물리적 도난은 여전히 심각한 보안 위험 요소입니다. BBC 보도에 따르면, 런던 경찰은 2022년에 9만 대 이상의 휴대폰이 도난당했다고 밝혔습니다. 휴대폰 도난은 레스토랑, 바, 공항, 대중교통과 같은 공공장소에서 가장 흔하게 발생합니다.
숙련된 도둑들은 어깨 너머로 비밀번호를 보거나, 심지어는 사용자의 손에서 휴대폰을 낚아채는 등의 방법을 사용합니다. 기기를 확보한 후에는 무차별 대입 공격을 통해 잠금 화면을 뚫고, 안드로이드 보안 기능을 우회하며, 악성 코드를 설치하여 데이터를 빼돌릴 수 있습니다.
휴대폰이 즉시 절전 모드로 전환되도록 설정하고, 잠금 화면을 활성화하는 것은 많은 도둑들을 막을 수 있는 효과적인 방법입니다. 생일이나 패턴과 같이 쉽게 추측할 수 있는 비밀번호는 피해야 합니다. 또한 ‘내 기기 찾기’와 같은 안드로이드 기능을 미리 활성화하는 것이 중요합니다.
현실적으로 휴대폰을 도난당한 경우, 민감한 정보는 여전히 위험에 노출될 수 있습니다. 데이터를 안전하게 보호하는 유일한 방법은 원격 잠금, 삭제 및 복구 기능을 제공하는 모바일 보안 솔루션을 사용하는 것입니다. 외부 소스에 백업을 유지하는 것도 또 다른 보호 계층을 제공합니다.
결국, 잠금 해제된 기기를 손에 넣는 것은 디지털 세계의 열쇠를 훔치는 것과 같습니다. 공공장소에서 예방 조치를 취하고 휴대폰을 소중한 데이터 저장소처럼 보호해야 합니다.
안드로이드 위협에 대한 경계를 늦추지 마세요
안드로이드는 수년에 걸쳐 내장된 보안 기능을 강화해왔지만, 여전히 다양한 위협에 노출되어 있습니다. 이러한 위협들은 우리가 끊임없이 주의를 기울이고 예방 조치를 취해야 하는 이유를 보여줍니다. 휴대폰이 제공하는 편리함과 자유에 안심하여 보안에 대한 경계를 늦추지 않아야 합니다.
강력하고 고유한 비밀번호와 2단계 인증을 사용하여 계정을 보호해야 합니다. 앱을 설치하기 전에는 꼼꼼하게 확인하고, 신뢰할 수 있는 개발자의 앱만 설치해야 합니다. 운영체제와 보안 소프트웨어를 항상 최신 상태로 유지하고, 기기를 분실하거나 도난당했을 때를 대비해 추적 및 원격 삭제 기능을 활성화해야 합니다. 공용 와이파이나 충전기에 연결할 때는 신중하게 접근하고, 민감한 정보를 입력할 때는 더욱 주의해야 합니다.