스마트폰 관련해서 국내 해커들의 연구가 활발하게 진행되고 있다. 조주봉 안철수연구소 연구원은 최근 발견한 스마트폰 관련 보안위협 몇가지를 공개하고 피해를 당하지 않도록 주의를 당부했다. (우측 이미지 www.flickr.com / by Andrew Mason) 
 
◇와이파이 무료 사용=우선 통신사에서 제공하는 와이파이망의 경우, 무료로 이용할 수 있는 헛점이 있을 수 있다는 것이다. 조 연구원은 “White List에 Mac Address가 등록되는 과정에서 특정 Mac Address가 등록되어지고 잘못 등록되어진 Mac Address는 변조를 통해 일반 사용자가 쉽게 사용이 가능하다”고 설명했다.
 
원인은 바로 스마트폰 제조사에서 무선랜 카드의 Mac Address를 초기화 상태로 그냥 내보내서 생기는 문제로 파악된다.
 
◇SMS 인증 서비스 문제=또 조 연구원은 일부 SMS 인증 서비스의 문제도 거론했다. 일부 SMS 인증 서비스를 하는 홈페이지들이 서버에서 키를 비교하지 않고 클라이언트 즉 일반 사용자의 컴퓨터에서 비교해 인증을 한다. 이 문제를 통해 공격자는 상대의 휴대폰이 없어도 ‘html 소스보기’를 통해 손쉽게 번호를 확인할 수 있다는 것이다.
 
◇모든 데이터와 패스워드 등 평문으로 저장=한편 스마트폰 사용자에게 가장 큰 보안위협은 스마트폰을 분실했을 때다. 조 연구원은 “일반적으로 스마트폰을 분실할 경우에 대비해서 폰에 패스워드을 걸어놓는데 이는 해커에 의해 손쉽게 뚫릴 수 있다”며 “또한 안드로이드 스마트폰의 경우 저장되는 많은 데이터와 패스워드들은 평문 그대로 저장하고 있다. 그중 보안에 문제가 될 수 있는 것이 와이파이 패스워드와 이메일 계정과 패스워드 등이다”라고 경고했다.
 
조주봉 연구원은 “단 한번이라도 와이파이 망에 접속을 했다면, 그때 사용한 패스워드와 SSID는 그대로 평문으로 들어 있다”며 “또한 이메일 내용뿐 아니라 이메일에 접속하기 위한 계정과 패스워드가 그대로 평문으로 들어가있다”고 밝혔다.
 
이를 악용해 공격자는 얼마든지 APT 공격에 활용할 수 있다는 것이다.
 
조 연구원은 “스마트폰이 공격자의 손에 들어간다면 공격자는 락을 풀고 와이파이 망의 패스워드를 열어볼 것이다. 그리고 피해자 회사 근처로 가서 와이파이망에 접속하고 스마트폰에서 얻은 이메일 계정과 패스워드를 이용해 내부 인트라넷에 얼마든지 접근할 수 있다”고 경고했다. 기업들은 이에 대한 대응방안을 염두에 두고 보안을 해야 한다. [데일리시큐=길민권 기자]