터치 한 번 이면 개인정보 줄줄…진화하는 스마트폰 범죄

"국가정보원 직원은 스마트폰을 안 가지고 다닙니다." 지난해 국정원 여직원 대선 개입 의혹 사건이 터졌을 때 여직원 변호인 측이 기자들에게 한 말이다. 공식적인 확인은 어렵지만 국정원 등 정보 보안을 중시하는 기관 직원들은 기능이 단순한 피처(구형)폰을 사용하는 것으로 알려져 있다. 애플리케이션(이하 '앱') 등 공개된 소스와 플랫폼을 사용하지 않아 해킹이 어려운 것으로 알려져 있기 때문이다.

◆규모 커진 스마트폰 서비스 시장

국민 1인당 1대꼴로 스마트폰을 사용하는 시대가 다가오고 있다. 방송통신위원회는 지난해 9월 이미 "국내 스마트폰 가입자 수가 3천만 명을 넘어섰다"고 밝혔다. 지난달 12일 KT경제경영연구소는 "2015년 국내 스마트폰 가입자 수가 5천800만 명에 달할 것으로 보인다"고 했다.

이와 함께 각종 스마트폰 서비스 이용자 수도 늘고 있다. 스마트폰은 내 손안의 관계 및 놀이 도구가 됐다. 각종 소셜네트워크서비스(SNS)와 모바일게임이 인기를 얻고 있는 것. 특히 모바일게임의 경우 한국콘텐츠진흥원은 올해 시장 규모가 1조원대를 돌파할 것으로 보고 있다.

스마트폰은 내 손안의 비즈니스 도구도 됐다. 모바일뱅킹이 대표적이다. 한국은행은 지난달 21일 "국내 스마트폰 모바일뱅킹 등록 고객 수는 지난해 말 기준으로 2천395만 명이다. 1년 사이 1천360만 명이 늘었다. 지난해 4분기의 경우 하루 평균 이용금액은 1조719억원이었다"고 밝혔다.

◆터치하면 돈 뜯기는 '스미싱'

스마트폰 서비스는 이용자 수는 물론 오고 가는 돈의 규모도 엄청난 시장이 됐다. 이를 노린 스마트폰 해킹 범죄가 최근 고개를 드는 까닭이다. 수법은 대체로 두 가지다.

하나는 '스미싱'(smishing)이다. 문자메시지(SMS)와 피싱(phishing)의 합성어다. 피싱은 개인정보(private data)와 낚시(fishing)의 합성어로 '개인정보를 낚는다'는 뜻이다. 앞서 '보이스피싱'(전화사기)이 잘 알려져 있다.

그런데 이젠 침착하게 대처하면 얼마든 피할 수 있는 보이스피싱과 달리 스미싱은 사용자가 피해를 당했는지 짐작하기 힘들어 문제가 심각하다. 무료쿠폰 제공이나 이벤트 당첨 등의 문자메시지를 받고 해당 인터넷주소로 접속했더니 게임 사이트에서 수십만원이 결제되는 사례가 흔하다. 사용자 모르게 악성코드가 스마트폰에 설치돼 결제인증번호가 자동으로 전송되는 식이다. 수법은 점점 지능화하고 있다. 연말정산 시즌인 최근 '연말정산 환급금 조회하세요'라는 문자메시지에 당한 사례가 잇따랐다.

◆유인해서 개인정보 빼내는 '파밍'

또 하나는 '파밍'(pharming)이다. 악성코드를 몰래 설치하는 방식은 같지만 스미싱보다 수법이 치밀하다. 진짜 같은 가짜 사이트 혹은 '크래킹앱'(악성코드가 내장된 가짜 앱)으로 사용자를 유인한 다음 각종 개인정보를 입력하게 만드는 것이다. 그런 다음 개인정보를 빼내거나 온라인뱅킹으로 현금을 빼내는 식이다.

최근 보육료와 양육수당 지원을 신청받는 '복지로' 사칭 앱이 등장, 보건복지부가 주의를 당부하는 등 파밍도 수법이 지능적으로 변하고 있다. 대구경찰청 사이버수사대 관계자는 "스미싱과 파밍 범죄 대부분이 중국 등 해외 서버를 통해 이뤄지는 것으로 보여 추적은 물론 피해보상이 어렵다"며 "의심이 가는 문자메시지에 표시된 인터넷주소로 접속하지 않는 등 스스로 예방하는 것이 최선이다"고 설명했다.

◆똑똑해지는 만큼 무시무시해져

스마트폰 해킹을 통해 금융사기는 물론 사생활을 몰래 훔쳐보는 범죄도 가능하다. 일명 '스파이앱'이라 불리는 프로그램을 사용자 몰래 스마트폰에 설치하면 된다.

이 프로그램은 주로 관련 서비스 사이트에서 월 수십만원을 받고 의뢰인에게 공급한다. 사이트 측은 사진 및 영상 촬영은 물론 녹음과 위치추적(GPS) 등 스마트폰에 탑재된 첨단 기능을 역이용한다. 스파이앱이 설치된 스마트폰에 저장된 문자메시지와 사진 등을 빼내고, 통화내용을 녹음하고, 카메라와 위치송신 정보를 종합해 사용자가 어디에서 무엇을 했는지를 상세히 기록, 의뢰인에게 이메일로 보내주는 식이다. 오프라인에서 흥신소에 타인 몰래 사생활 뒷조사를 의뢰하던 것의 진화(?)인 셈이다.

스마트폰과 호환이 되는 가전제품이나 차를 해킹해 '원격조종'도 가능하다. 스마트폰으로 주택 전원을 껐다 켜고, 차 시동을 거는 등 사용자 편의를 위해 최근 도입되고 있는 유비쿼터스 기술을 범죄에 악용할 수 있는 것. 지난해 10월 고려대 정보보호대학원 임종인 교수 연구팀 주관으로 열린 스마트폰 해킹 시연회에서는 스마트폰 해킹 툴을 이용해 차 핸들 조작, 급가속시키기 등을 시연했다. 최근 각종 스마트폰 호환 제품이 속속 출시되고 있지만 보안은 무방비 상태라는 점을 여실히 보여줬다.

◆스마트폰 기술의 명과 암

전문가들은 스마트폰 기술이 추구하는 '오픈소스' 문화가 역설적으로 스마트폰 이용자가 해킹 등 범죄에 그대로 노출되는 부작용을 낳고 있다고 본다. 오픈소스란 개발사가 스마트폰 운영체제의 설계도인 소스코드를 공개해 누구나 관련 소프트웨어를 개발'개량하고 배포할 수 있도록 한 개념이다. '참여'와 '개방'이라는 좋은 취지가 담겨 있다. 하지만 그 이면에는 해킹 등 범죄 관련 소프트웨어를 누구나 쉽게 만들어 뿌리는 상황이 나타나고 있는 것.

지난해 10월 미국 노스캐롤라이나대학 연구진은 대표적인 오픈소스 스마트폰 운영체제인 안드로이드의 보안 취약점을 발견, 개발사 '구글'에 알렸다. 하지만 해당 버전 안드로이드를 탑재한 100만 대 이상의 스마트폰이 전 세계에 공급된 후였다. 보안 대책이 제대로 마련되지 않은 상황에서 스마트폰이 너무 급속히 확산됐다는 분석이다.

스마트폰을 활용한 사생활 침해 범죄도 나타나고 있는 상황에 대해 '감시사회, 벌거벗고 대한민국에서 살아가기'의 공동 저자인 문화연구가 최철웅 씨는 "디지털 감시 시대가 됐다. 스마트폰 등 다양한 디지털 도구로 서로 다른 정보를 축적 및 조합하는 '데이터 마이닝'(data mining) 능력이 사회적으로 굉장히 커졌다. 그렇게 수집한 엄청난 양의 개인정보를 얼마든지 사고팔 수 있는 시대가 됐다"고 분석했다.

황희진기자 hhj@msnet.co.kr