모바일이란 ‘움직이기 쉬운’이라는 뜻의 라틴어 mobilis에서 유래하여 ‘고정되어 있지 않고, 이동하기 쉬운’이라는 사전적 의미를 갖고 있습니다. 오늘날 정보통신 분야에서는 이동성을 가진 휴대용 통신을 통칭하여 모바일(mobile)이라고 부르고 있죠.

모바일의 대표는 ‘손 안의 PC’로 불리는 스마트폰으로 대중화를 넘어 이제 생활의 필수품이 되었습니다. 현재 우리나라 성인 인구 4천1백만여 명 중 83%인 3천4백만여 명이 스마트폰을 보유하고 있는데요. 스마트폰 보급률은 아랍에미리트(90.8%), 싱가포르(87.7%), 사우디아라비아(86.1%)에 이어 세계 4위(KT경제경영연구소 ‘2015년 상반기 모바일 트렌드’ 보고서)에 이르고 있습니다.

이 시간에는 이처럼 빠르게 보급되어 점차 인터넷에 연결되는 사물들(IoT)의 중심이 되고 있는 스마트폰의 보안 위협, 그리고 대응 방안에 대하여 알아보도록 하겠습니다.

스마트폰의 등장

위키피디아에서는 스마트폰(Smart Phone)을 PC의 소형화된 운영 체제를 탑재한 기기에 무선 전화 통신이 가능한 하드웨어와 소프트웨어 모듈이 추가된 휴대전화로 정의하고 있습니다.

최초의 스마트폰은 1992년 IBM에서 디자인하고 벨사우스(Bellsouth)에서 개발하여 1993년에 대중에게 공개된 ‘Simon’입니다. 3인치 크기의 감압식 터치 스크린1을 사용하였고, 휴대전화의 기능을 할 뿐 아니라 주소록, 세계 시각, 계산기, 메모장, 전자 우편, 팩스 송수신, 오락까지 할 수 있는 기능을 갖춘 DOS를 탑재한 스마트폰이었죠. “핸드폰으로 전화거는 행위를 터치스크린으로 구현하는 방법”으로 현대 스마트폰에도 영향을 미친 원천 기술과 특허를 다수 포함한 획기적인 제품이었습니다. 그러나, 당시에는 인터넷은 물론 스마트폰이 대중들에겐 아무런 의미도 없는 시대였습니다.

1996년 모토로라와 휴대폰 시장을 양분하던 노키아에서 PDA와 휴대폰이 혼합된 형태의 새로운 제품인 노키아 9000을 발표하였는데요. 이것은 자판과 디스플레이(Display)가 구분되고 인텔의 iCPU와 램(Ram)이 장착된 ‘GEOS 3.0’ 운영체제를 탑재한 커뮤니케이터 시리즈의 시작이었으며 본격적인 스마트폰의 예고였습니다.

2000년에는 에릭슨(Ericsson Inc)사에서 처음으로 컬러 TFT액정을 사용하고 스마트폰에 최적화된 개방형 OS인 ‘심비안OS’을 탑재하여 최초로 외부개발자가 개발한 앱을 설치해 사용할 수 있게 한 ‘에릭슨 R830’을 출시하고 최초로 “스마트폰” 이라는 신조어를 마케팅에 사용했습니다.

2007년 1월 9일 애플은 맥월드 2007에 2G 전화로 아이팟(iPod)과 휴대전화, 인터넷의 기능을 가진 터치스크린 스마트폰인 아이폰(iPhone)을 발표하였습니다. 혁신적인 UI와 UNIX2에 적용 멀티태스킹(Multitasking) 환경 및 안정된 애플리케이션(Application) 개발 환경 제공으로 우리나라를 비롯한 전 세계적인 스마트폰 열풍을 일으켰습니다.

스마트폰의 보안 위협

이제 모바일 디바이스인 스마트폰이 개인과 기업에서 활용도가 높아지면서 이로 인한 스마트폰에 대한 보안이 주요 이슈로 부각되고 있는데요. 스마트폰은 24시간 인터넷과 연결되어 있는 특성과 휴대성으로 새로운 보안 위협에 항상 노출되어 있습니다. 스마트폰이 활성화될수록 스마트폰의 보안 위협을 이용한 악성코드들의 제작 및 유포가 증가될 전망입니다.

스마트폰 보안의 위협 요소는 크게 모바일 단말 자체에 대한 위협(디바이스), 무선 네트워크, 모바일 운영체제(플랫폼), 애플리케이션 등의 영역으로 나누어 볼 수 있습니다.

스마트폰은 기존 PC에서 가지고 있던 위협과 모바일 기기의 위협을 모두 포함하고 있습니다. 다양한 기능이 추가된 만큼 기존 PC에서 나타났던 많은 위협들이 그대로 나타날 수 있으며, 신규 서비스 증가로 인해 새로운 위협도 늘어나고 있습니다.

스마트폰은 3G•4G 이동통신망뿐만 아니라, 무선랜(Wi-Fi) 및 블루투스 기능이 기본적으로 탑재되어 공중 무선랜이나 사설 무선랜의 이용 빈도가 높은데요. 스마트폰 사용자들은 무선데이터 요금을 아끼기 위해 무작위로 검색되는 무선 AP를 이용하는 사례도 늘고 있습니다. 만약 해커가 악성코드를 심어놓은 무선 AP를 제공한다면, 스마트폰 사용자는 이러한 무선 AP에 접속하는 것만으로도 악성코드에 감염될 수 있습니다.

따라서 스마트폰의 무선인터넷 접속환경은 유해한 사이트 방문으로 악성코드에 감염되었던 기존 PC 환경보다 악성코드 유입이나 해킹 공격 등이 용이한 환경이라 할 수 있습니다.

스마트폰이 일반 휴대폰과 구분되는 가장 큰 특징은 개방성입니다. 일반 휴대폰과 다르게 무선인터넷 및 외부 인터페이스를 개방하여 제공하고 있고, 애플리케이션 개발 시 시스템 자원의 사용을 위한 API를 제공하고 있다는 점입니다.

스마트폰의 다양한 외부 인터페이스는 사용자가 손쉽게 네트워크 서비스를 이용할 수 있도록 지원하고, 내부 API 인터페이스 제공은 개발자가 편리하게 개발할 수 있는 환경을 제공합니다. 하지만 다양한 외부 인터페이스 제공은 악성코드 전파경로가 다각화되어 악성코드가 쉽게 퍼지는 결과를 가져왔으며, 내부 인터페이스는 악의적인 개발자가 모바일 애플리케이션에 악성코드를 쉽게 은닉하여 제작할 수 있도록 만들었는데요.

스마트폰은 구글 안드로이드 마켓 등 개방형 스마트폰 애플리케이션 마켓을 통해 누구든지 콘텐츠 제작과 유통, 사용이 가능하여 악성코드가 삽입된 애플리케이션 유통 위협이 존재합니다.

스마트폰은 휴대 편의성으로 인해 분실 및 도난율이 높은데요. 개인 연락처, 문자전송 내역은 물론 위치정보, 이메일, 전자결재, 기밀정보 등 개인 사생활과 업무 관련 중요 정보를 가지고 있어, 이를 분실하거나 도난당할 경우 유출된 정보는 보안 사고뿐 만 아니라 심각한 사회문제를 야기할 수도 있습니다.

또한 이동성, 개방성, 다양성을 통하여 외부에서 사내업무를 처리할 수 있는 업무 환경을 제공함으로써 모바일 오피스(Mobile office, 이동 사무실)라는 새로운 형태의 업무 서비스로 기업의 비용절감, 효율성 증대 등 다양한 측면에서 긍정적인 효과를 가져오기도 합니다. 하지만, 스마트폰의 보안 위협으로 인하여 개인정보 및 기업 기밀정보 유출 등 여러 형태의 보안 사고가 발생할 수 있으며, 이로 인한 피해는 더욱 커질 것으로 예상됩니다.

대응 방안

스마트폰의 보안위협을 감소시키기 위해서는 다차원적인 접근이 필요합니다.

스마트폰을 활용한 모바일 오피스로 업무 효율성 증대 및 비용 절감의 효과를 누리려는 기업들의 요구가 많아지고 있는데요. 모바일 오피스는 사내 정보를 언제 어디서나 접근할 수 있다는 특성상 다양한 보안 위협에 노출되어 있으므로 서비스 환경에 맞는 보안대책을 수립하는 것이 필수적입니다. 국정원 및 금융감독원은 모바일 보안 대책을 위한 가이드 라인을 아래 표와 같이 제시하고 있습니다.

기업들은 자사의 모바일 오피스 도입 유형에 따라 알맞은 보안정책을 수립하고 주기적으로 이를 점검하고 보완하는 노력이 필요합니다.

수립된 보안 정책과 업무 환경에 따라서 아래 그림과 같이 영역별 보안위협에 대하여 보안적용 솔루션을 통하여 기술적으로 보안 대응을 진행할 수도 있습니다.

지금까지 스마트폰 확산에 따른 보안 위협 요소와 이동성 및 편리성을 중시하는 모바일 오피스의 보안 정책을 통하여 개인 프라이버시 침해는 물론 기업의 중요 정보가 유출되지 않도록 하기 위한 방안을 알아보았습니다.

안전한 스마트폰 사용 환경을 보장하고 향후 발생 가능한 보안 위협에 대해 선제적 방어 체계를 구축하기 위해서는 단말 내부 보안 기술과 원격 보안 관리뿐만 아니라 모바일 애플리케이션에 대한 검증 기술, 이용자 보안 의식 제고, 정부의 보안정책, 유관기관들의 보안 기술개발 노력들이 합쳐진다면 보다 안전한 스마트폰 사용 환경이 구성될 것입니다.

마지막으로 스마트폰을 안전하게 사용하기 위해 지켜야 할 사용자 안전수칙(KISA-방통위, 2010년 9월)으로 피해 없이 안전하고 편리하게 스마트폰을 사용하길 바랍니다.

[스마트폰 사용자 10대 안전수칙]

1. 의심스러운 어플리케이션은 다운로드 하지 않기
   스마트폰의 경우 앱시장을 통해 이용자가 다양한 앱을 유•무료로 사용이 가능하므로 스마트폰용 악성코드는 위•변조된 애플리케이션에 의해 유포될 가능성이 있습니다. 따라서 의심스러운 애플리케이션을 다운로드하지 않고 자제할 필요가 있습니다.

2. 신뢰할 수 없는 사이트는 방문하지 않기
   스마트폰을 통한 인터넷 접속이 가능해졌지만 신뢰할 수 없는 사이트를 방문하지 않는 것으로 스마트폰을 이용하는 중에 의심스럽거나 알려지지 않은 사이트를 방문할 경우, 정상 프로그램으로 가장한 악성프로그램이 사용자 몰래 단말기에 설치될 수 있습니다.

3. 발신인이 불명확하거나 의심스러운 메시지 및 메일 삭제하기
   첨부파일 기능을 제공하는 멀티미디어메시지(MMS)와 이메일은 스마트폰 악성코드를 유포하기 위한 좋은 수단으로 해커들은 게임이나 공짜 경품지급, 유명인의 사생활 이야기 등 흥미로운 내용으로 사용자를 현혹하는 방법을 통해 악성코드를 유포합니다. 따라서 자신의 스마트폰에 발신인이 불명확하거나 의심스러운 메시지 및 메일이 수신됐다면 즉시 삭제하는 것이 최선입니다.

4. 비밀번호 설정 기능을 이용하고 정기적을 비밀번호 변경
   휴대폰은 휴대기기인 만큼 분실 가능성이 높으므로 단말기를 분실 혹은 도난 당했을 시 개인정보가 유출되는 것을 방지하기 위해 단말기 비밀번호를 설정해야 합니다. 예를 들어 ‘1111′, ‘1234′ 등과 같은 유추하기 쉬운 비밀번호를 사용해서는 안됩니다. 정기적으로 비밀번호를 변경해주는 것도 필수입니다. 제품출시 시 기본으로 제공되는 ‘0000′ 등의 비밀번호를 반드시 변경해 사용해야 합니다.

5. 블루투스 기능 등 무선 인터페이스는 사용할 때만 ON
   블루투스(Bluetooth) 기능 등 무선 인터페이스는 사용시에만 켜놓아야 합니다. 지금까지 국외에서 발생한 스마트폰 악성 코드의 상당수는 무선인터페이스의 일종인 블루투스 기능을 통해 유포된 것으로 조사되고 있으므로 스마트폰 이용자는 불루투스나 무선랜을 사용하지 않을 경우, 해당 기능을 비활성화 상태로 설정해야 합니다. 이로써 악성코드 감염 가능성을 줄일 수 있습니다.

6. 이상증상이 지속될 경우 악성코드 감염여부 확인
   애플리케이션 실행 혹은 스마트폰을 통한 웹 사이트 접속 중 스마트폰 오작동, 바탕화면 변조, 저장 개인정보 삭제 등 이상 증상이 발생하면 반드시 스마트폰 매뉴얼에 따라 조치해야 합니다. 조치를 취했지만 이상 증상이 지속될 경우 스마트폰 악성코드에 의한 감염일 가능성이 있으므로 백신 프로그램을 통해 단말기를 진단하고 치료해야 합니다. 이를 통해 악성코드 감염이 확인된 경우, KISA 등에 신고해 확산을 막아야 합니다.

7. 다운로드 파일은 바이러스 유무 검사 후 사용
   다운로드 한 파일은 바이러스 유무를 검사한 후 사용해야 합니다. 스마트폰용 악성프로그램은 인터넷을 통해 특정 프로그램이나 파일에 숨겨져 유포될 수 있습니다. 그러므로 프로그램이나 파일을 다운로드 해 실행할 경우 가급적 스마트폰용 백신프로그램으로 바이러스 유무를 검사한 후 사용하는 것이 좋습니다.

8. PC에서도 백신프로그램을 설치하고 정기적으로 바이러스 검사
   스마트폰은 물론 PC에서의 백신 프로그램 설치 및 정기점검이 반드시 요구되며 동기화 프로그램을 통해 스마트폰과 PC 간 데이터 백업 및 복사, 음악파일 전송, 운영체제 패치 등의 작업이 빈번히 수행되고 있어 이 과정에서 PC에 숨어있는 악성코드가 스마트폰으로 옮겨질 수 있습니다.

9. 스마트폰 플랫폼의 구조의 임의로 변경하지 않기
   스마트폰 플랫폼의 구조를 임의로 변경하지 않습니다. 탈옥(Jailbreak)등 스마트폰 플랫폼 구조를 변경해 사용할 경우, 기본적인 보안기능 등에 영향을 줘 스마트폰에 문제가 발생할 수 있어 이용자 스스로 스마트폰 플랫폼의 구조를 변경하지 않도록 주의해야 합니다.

10. 운영체제 및 백신 프로그램을 항상 최신 버전으로 업데이트 하기
    운영체제 및 백신프로그램을 항상 최신 버전으로 업데이트 해야 합니다. 해커들은 스마트폰 플랫폼의 보안 취약점을 이용해 악성코드를 유포하며, 백신프로그램의 탐지를 회피하기 위해 다양한 공격기법을 사용하고 있습니다. 따라서 이용자 자신이 사용하는 운영체제 및 백신프로그램을 항상 최신 버전으로 업데이트해 사용해야 합니다.

글 | LG CNS 보안컨설팅팀

[‘보안, 이렇게 하면 된다’ 연재 현황]

• [1편] ISMS 의무인증 대상 확대! 어떻게 대응해야 할까?
• [2편] ISMS 인증을 위한 보안솔루션 구성 방안
• [3편] ISMS 인증 주요 결함사항 및 대응방안
• [4편] 정보보호 관련 인증 및 평가 제도
• [5편] 스마트폰의 보안 위협과 대응 방안
• [6편] IoT 보안 취약점 사례 소재 및 취약점 진단
• [7편] 스마트폰 앱 서비스 보안의 현재와 미래
• [8편] 중국 개인정보 보호법 제도 동향 및 대응방향
• [9편] 출입 보안을 위한 보안 설계
• [10편] 소프트웨어 개발 보안 – 시큐어 코딩
• [11편] 당신의 출입카드는 안녕하십니까?
• [12편] 통합 보안 관리 동향 및 활용 방안
• [13편] 비대면 실명인증이란 무엇인가?
• [14편] 프로젝트에서 소스 코드 보안 점검하기
• [15편] 차세대 행위 기반 위협 탐지 방식에 관하여
• [16편] 핀테크 보안 위협과 대응 방안
• [17편] 인공지능과 보안
• [18편] ‘보안은 제품이 아니라 절차다!’라는 말의 의미
• [19-1편] 인증의 완성판 생체인증에서 다중 생체인증까지 ①
• [19-2편] 인증의 완성판 생체인증에서 다중 생체인증까지 ②
• [20-1편] 중국 네트워크 안전법 분석 및 대응 방안 ①
• [20-2편] 중국 네트워크 안전법 분석 및 대응 방안 ②
• [21편] 유전자 정보 보안 안전한가?

• 감압식 터치: 손가락이나 터치펜을 직접 화면에 클릭해 입력합니다. 감압식은 화면에 압력을 가해 인식하는 방식으로 손가락, 터치펜 등 다양한 도구로 사용할 수 있습니다. 정전식에 비해 정확도나 인식율이 떨어지지만, 간단한 게임에서는 문제 없습니다. [네이버 지식백과] [본문으로]
• UNIX: 미국 벨(Bell) 연구소에서 개발된 소프트웨어 개발용의 운영 체제(OS). 유닉스는 1969년에 그 원형이 완성되었지만 1973년에 프로그램 대부분이 C 언어로 수정되었다. 이 때문에 이식성이 높아졌으며, 동시에 다중 사용자/다중 태스크의 실행을 지원할 수 있는 것을 특징으로 하는 대화형의 운영 체제이며, 텍스트 조작 툴, 문서 처리, 전자 메일 외에 취급이 쉬운 파일 시스템을 갖추고 있다. 당초에는 미니컴퓨터용이었지만 최근에는 퍼스널 컴퓨터나 범용 컴퓨터용의 유닉스도 개발되어 일반에게도 보급되기 시작했다. 최근에도 이러한 유닉스에 준한 기능을 갖춘 OS가 출현하였으며 이것을 유닉스라이크 OS(UNIX-like operating system)라고 한다. [네이버 지식백과] [본문으로]