---

‘Fragmentation’ leaves Android phones vulnerable to hackers, scammers

Chris Ratcliffe/Bloomberg News - Most consumers are still more likely to be hacked or scammed on their traditional computers, experts say, but the growing numbers of Android smartphones with known security flaws offer an increasingly ripe target for criminals.

By Craig Timberg, Published: February 7

10월 하순, North Carolina State University 연구자들은 사기꾼들이 가짜 문자 메시지를 안드로이드 휴대폰에 보낼 수 있는 보안오류를 구글에게 경고했었다. 이런 행위를 스미싱(smishing)이라 하며 이용자를 기만하는 속임수이다.

구글 보안 당국은 수 분 내에, 보안 오류를 확인했으며 수정하겠노라는 답변을 보내왔다. 며칠 내에 구글은 최신 안드로이드 버전인 젤리빈 4.2에 보안 수정을 했으며, 이전 버전용 보안 업데이트도 선보였다.

그렇지만 안드로이드 폰 대부분은 해당 사항이 없다. 절대로 수정이 안 될 폰도 부지기수다.

안드로이드 기기 보안 업데이트에 들어가는 비용을 궁극적으로 구글과 휴대폰 업체, 혹은 통신사들 중 누가 떠 안아야 할지가 불확실하기 때문이다. 알려져 있는 보안 오류 수정이 개별 스마트폰에 도착할 때까지는 수 개월이 걸린다. 실제로 도착을 한다면 말이다.

보안 전문가들에 따르면 세계에서 제일 유명한 휴대폰용 운영체제인 안드로이드는 이러한 책임 소지의 문제 때문에 경쟁사에 대해 더 취약하다고 한다. 해커와 사기꾼, 점차 자라나고 있는 악성 소프트웨어에 더 취약하다는 의미다.

스마트폰보다 전통적인 컴퓨터에서 보안 구멍은 더 일반적이다. 전문가들에 따르면 데스크톱이나 노트북 머신에서 발견되지 않은 보안 기능을 해커들이 이용해왔다.

그런데 이전 버전의 소프트웨어라면 그런 문제에 대한 보호가 없을 수 있다. 악성 소프트웨어가 크게 돌 경우 업데이트를 조달할 시스템이 분산되어 있으면, 문서와 암호, 주소록, 사진, 영상, 위치 정보, 신용카드 번호 등 안드로이드 폰에 저장된 정보 보호의 효과 또한 크게 느려질 수 있다.

이 위험성은 정부 기관과 기업들에게 특히 심각한 문제다. 자기 기기를 가져와서 사용하라는 정책이 보안 컴퓨터 시스템을 노리는 잠재적인 스파이의 시작점 역할을 할 수 있기 때문이다. 연방통신위원회(FTC)의 기술 전문가였으며 현재 미국시민자유연맹(American Civil Liberties Union)에서 일하고 있는 크리스토퍼 소고이언(Christopher Soghoian)의 말이다.

"잠재적으로 수 백만 대의 안드로이드 기기가 사무실로 들어와 기밀 서류에 접근하고 있죠. 성냥을 기다리고 있는, 건조한 숲과 같습니다."

구글은 안드로이드에서 해커를 막기 위한 디자인을 계속 해 왔으며 개선도 하고 있다. 또한 구글은 자사 앱스토어인 구글 플레이에서 악성 소프트웨어를 몰아내려 노력하는 중이다. 전염의 경로를 될 수 있는 한 줄이기 위해서다. 안드로이드 엔지니어링부 부사장인 히로시 록하이머(Hiroshi Lockheimer)의 말이다.

"이런 종류의 일을 다루기 위해 처음부터 시스템을 구축했습니다. 안드로이드 생태계의 건강함이 정말 중요하기 때문이죠."

그러나 안드로이드 새 세대가 나올수록 공격 지점도 새로이 발견되고 있다. 그래서 구글은 이미 소비자들에게 전해진 스마트폰 소프트웨어를 업데이트 시키기 위해 노력해왔다.

구글이 컴파일한 데이터에 따르면 전세계에 5억 대 넘게 퍼져 있는 안드로이드 기기 중, "스미싱" 수정이 있었던 최신 버전의 안드로이드의 사용 비중은 고작 1.4%에 불과하다. 구글은 이전 버전의 안드로이드에 있는 보안 오류를 고칠 수 있는 보안 패치를 선보였다고는 하지만 구글도 통신사도 얼마나 많은 폰이 패치를 받았는지는 말할 수 없었다.

기술 업계를 다루는 뉴스 사이트인 Ars Technica는 지난 12월, 제일 유명한 안드로이드 스마트폰 10여 대의 업데이트 일정을 분석했다. 그런데 구매 이후로 업데이트를 받아 본 사람들 대다수는 딱 두 번만 받았었고 그마저도 몇 년 전인 경우가 허다했다.

안드로이드 스마트폰의 제일의 경쟁자인 애플 아이폰은 일 년에 수 차례씩 운영체제 업데이트를 실시한다. 데스크톱과 노트북용 운영체제와 기타 소프트웨어들 또한 유사한 업데이트 일정을 갖고 있고, 이들은 업데이트를 자동적으로 실시한다. 사용자마저 모를 때가 있을 정도다.

안드로이드 스마트폰에서는 뭐가 다를까? 안드로이드 스마트폰은 삼성, LG, HTC 등 여러 업체가 여러 휴대폰을 만든다.이들은 업데이트를 각자 사양에 맞춰서 다듬는다. Verizon과 AT&T, Sprint같은 통신사들 또한 자사 통신망으로 소비자들에게 업데이트를 보내기에 앞서 각자 통신망용으로 또 업데이트를 수정한다.

따라서 안드로이드 폰의 전체적인 업데이트 과정은 수 개월이 걸린다. 보안 전문가들의 권장 기간보다 훨씬 덜 한다는 얘기다. 이러한 기업간 책임 소지의 분산 현상을 "파편화(fragmentation)"라 부른다. 보통은 제일 중요한 애로 사항으로서 통신사에 집중하기는 하지만 책임 전가는 넓게 퍼져 있다. 보안 업체인 CrowdStrike의 CTO인 드미트리 알퍼로비치(Dmitri Alperovitch)의 말이다.

"다섯 번의 업데이트 지원하기는 비용이 들어가는 일입니다. 관여하고 싶어하질 않죠."

Collective interest

통신사들도 바로 바로 업데이트를 하고 싶다고 말하지만 실제 처리 과정은 수 개월이 소요된다는 점을 그들도 인정한다. AT&T의 보안수석(CSO)인 에드 아모로소(Ed Amoroso)의 말이다.

"안드로이드 환경에서 보시듯, 최종 제품 전달에 한 곳 이상의 회사가 관여합니다. 보안 업데이트에 개선이 있으면 모든 관련 업체를 다 포함해야 하죠. 우리가 다른 곳보다 더 나은 솔루션을 만들어낼 수 있는지 다른 제공업체들과 계속 협조할 생각입니다."

최대의 통신사인 Verizon Wireless와 안드로이드 폰 최대 업체인 삼성 양사 모두, 업데이트를 최대한 빨리 제공하겠다는 것 외에 자세한 답변은 거절했다. Sprint는 인터뷰 요청을 여러번 거절하면서 구글에게 알아보라 말했다.

하지만 구글의 보안 전문가들에게는 최대한 빠르게 업데이트를 제공할 힘이 없다. 구글이 2011년, 통신사 및 휴대폰 업체들과 함께 Android Update Alliance를 세우기는 했지만 실제로 낸 성과는 거의 없다.

지난 해 구글은 대표적인 휴대폰 제조사 중 한 곳인 Motorola Mobility를 인수했다. 즉, 모토로라 휴대폰용 업데이트는 더 빨리 나오리라 예상할 수 있다. 구글이 직접 관여한 Nexus 휴대폰 및 태블릿의 소프트웨어 업데이트는 기록적이며 안드로이드 시스템을 채택한 다른 휴대폰 업체들보다 더 빠르다. 안드로이드는 구글이 만들어서 자유롭게 뿌리고 있다.

보안 전문가들 사이에서는 스마트폰에 대한 위험의 확산이 큰 논란 거리다. CrowdStrike의 알퍼로비치는 구글 스토어를 통해 앱을 사고, 특히 중국에서 자라나고 있는 써드파티-스토어에서는 구입하지 않으면 괜찮을 것이라 한다.

그러나 모든 안드로이드 사용자들에게 실질적인 위험이 커지고 있다는 전문가들도 있다. 반-바이러스 업체인 McAfee는 안드로이드 운영체제를 목표로 삼는 악성 소프트웨어의 폭발적인 증가를 문서화 시켜 놓았다. 안드로이드는 현재 새로 팔리는 스마트폰 넉 대 중 세 대에 설치돼 있다. 개인 정보를 훔치거나 월 요금고지서에 나타나는(하지만 막상 검출이 안 되는) 요금에 이르기까지 악성 소프트웨어는 다양하다.

보안 업체인 Trend Micro는 안드로이드-기반의 봇넷(botnet)의 확산을 보고했다. 봇넷은 한 번에 수 천에서 수 백만 대의 기기의 네트워크가 있으며, 원격 사용자가 이 네트워크를 통제하는 경우를 말한다.

스마트폰을 해킹하고 싶다면 브라우저나 문자 메시지, 이메일, 셀 신호(cellular signals), WiFi 신호, 블루투쓰 연결 등 여러가지 방법이 있다. 최신 휴대폰에서는 가까운 곳의 라디오 통신도 해당된다. 보통 정부가 사용하는 강력한 스파이 소프트웨어 중에서는 카메라나 마이크를 활용하여 이용자의 눈과 귀가 되는 경우도 있다. 사이버보안에 대한 오바마 대통령 위원회 위원이자 Trend Micro의 부사장이기도 한 톰 켈러만(Tom Kellermann)의 말이다.

"이제 우리는 단지 여러분의 사이버-인생만이 아니라 여러분의 인생과 물리적인 인생도 해킹할 수 있습니다."

물론 그런 해킹은 어렵고 시간이 많이 필요하며 평범한 사용자용으로 하는 일이 아니다. 그러나 보안 전문가들은 기업 중역이나 정부 고위 간부들, 특히 그들이 오래된 소프트웨어를 사용하는 경우 좋은 목표가 될 수 있다고 경고한다. McAfee의 수석 부사장인 팻 컬훈(Pat Calhoun)의 말이다.

"본질적으로 약한 사슬의 고리입니다. 사이버 범죄자들은 기업을 침투하고 싶을 때, 최고의 수단이 휴대기기라는 사실을 알아냈어요."

The need for fast action

"스미싱" 취약성이 널리 퍼졌다는 증거는 거의 없다. (이름이 스미싱인 이유는 원래 "SMS 피싱(phishing)"의 준 말이기 때문이다. 가짜 문자 메시지에 있는 악성 링크를 클릭하게 해서 사용자를 속이는 행위다.) 구글에게 해당 오류를 보고했던 컴퓨터학과 의 지앙 주지안(Xuxian Jiang) 교수는 중국에서는 "스미싱" 공격 사례가 여러 건 있다고 들었으나 미국에서는 없었다고 말한다.

하지만 전문가들에 따르면 심각한 확산이 안드로이드 폰 업데이트에 관여된 기업들이 미처 대응을 하기 전에 훨씬 더 빠르게 일어날 수 있다고 지적한다. 악성 프로그램에 전염된 폰을 교체할 필요가 생길 경우 소비자와 통신사에게 막대한 피해를 끼칠 잠재성도 있다. 모바일 보안 회사인 Lookout의 CTO, 케빈 매허피(Kevin Mahaffey)의 말이다. "몇 시간이면 세상을 뒤엎을 수 있습니다. 다행히 아직 모바일에서 그런 일이 일어나지 않았지만 10억 달러 규모의 문제가 생길 수 있으리라 보고 있어요."

구글은 그런 심각한 문제가 생길 경우 빠르게 행동할 수 있다고 말한다. 실제로 2011년, 구글의 무료 이메일 서비스인 Gmail을 사용하던 30만 명의 이란인들을 이란 정부가 감시하게 된 해킹 사건이 생겼을 때 구글이 발빠르게 대처한 적이 있었다.

주요 업체의 컴퓨터 브라우저는 모두, 문제 해결 업데이트가 매우 빠르다. 그동안 구글은 향후 유사 문제 발생을 막기 위해 안드로이드를 업데이트했으며 예전 같지 않은 속도로 스마트폰 업데이트를 제공해왔다. 안드로이드 엔지니어링을 맡고 있는 록하이머의 말이다.

"업데이트 과정을 서둘러 했어요. 내세울 만합니다."

그러나 그에 따르면 그렇게 공격적으로 빠르게 조치를 취했던 적은 이란 건이 마지막이었다. 심지어 1년 반이 흐른 지금, 구글은 안드로이드 폰 대부분에 업데이트가 들어가기는 했지만 취약한 안드로이드 휴대폰이 얼마나 남아 있는지는 알지 못 한다고 한다.

Sign up today to receive #thecircuit, a daily roundup of the latest tech policy news from Washington and how it is shaping business, entertainment and science.
ⓒ The Washington Post Company

‘Fragmentation’ leaves Android phones vulnerable to hackers, scammers - The Washington Post