"나도 모르는 사이에 좀비폰"…'조용한 해킹' 어떻게 대응하나

[아이뉴스24 김혜경 기자] 제로 클릭(Zero Click) 공격이란 사용자가 모르는 사이에 기기를 감염시킨 뒤 정보를 탈취하는 방식으로 '조용한 해킹'으로 불린다. 사용자가 보안수칙을 지키는 것만으로는 차단이 불가능한 이유다. 최근 삼성전자가 모바일 기기에 제로 클릭 해킹을 차단하는 보안솔루션을 탑재했다고 밝힌 가운데 피해를 예방할 수 있을지 주목된다.

21일 정보기술(IT) 업계에 따르면 삼성전자는 최근 정식 출시한 ‘갤럭시S23’ 시리즈에 제로 클릭을 차단하는 '삼성 메시지 가드'를 추가했다고 발표했다. 통신사 망을 통해 문자 메시지를 받을 때 메시지 가드 솔루션이 격리된 메모리 공간에서 이미지 파일에 악성코드가 있는지 여부를 확인한다. 일종의 가상 선별 검역소 역할을 하는 셈이다.

일반적으로 악성코드에 감염되려면 사용자가 특정 링크를 클릭하거나 앱 등을 내려받아야 한다. 특정 기관‧기업을 사칭한 피싱 이메일과 문자 등이 대표적인 사례다. 제로 클릭은 이같은 행위가 이뤄지지 않았는데도 악성코드에 감염되는 해킹 수법이다. 스마트폰에 전송하는 이미지 등에 악성코드를 숨겨 사용자 몰래 개인정보를 빼돌린다.

화이트해커인 신동휘 스틸리언 부사장은 "보안 취약점에 따라 사용자의 행위가 필요하지 않은 경우가 있는데 이를 제로 클릭 취약점 공격(익스플로잇)이라고 부른다"며 "공격자가 문자 메시지나 이메일을 발송하기만 했을 뿐인데 악성코드에 감염되는 경우가 대표적인 시나리오"라고 말했다.

한 국내 사이버보안 전문가는 "제로 클릭은 운영체제 자체의 취약점을 이용하는 것"이라며 "일반적으로 문자나 이메일을 통해 공격이 이뤄지며 공격자는 제조사에서 기본 탑재하는 애플리케이션이나 브라우저에서 발견된 취약점을 악용한다"고 말했다.

이스라엘 보안기업 NSO그룹이 개발한 모바일 해킹 프로그램 '페가수스'가 제로 클릭 해킹의 대표적인 사례다. 페가수스는 모바일 기기에 침투해 개인정보를 탈취하고 카메라 등도 사용자 몰래 작동시킬 수 있다. NSO 측은 이스라엘 국방부의 승인을 받은 외국 정부에만 판매된다고 해명했지만 누구를 감시하는지 통제할 수 없다는 점에서 논란이 인 바 있다. 페가수스는 애플 iOS에 기본 탑재된 메시지 앱의 취약점을 이용한다.

한 보안 전문가는 "윈도우의 경우 원격 제어·공격이 가능한 '리모트 코드 익스큐션'이 가장 파급력이 높은 취약점 중 하나"라면서 "사용자가 특정 사이트를 방문했을 뿐인데 브라우저 취약점으로 인해 PC에 악성코드가 설치되는 원리"라고 말했다. 제로데이(알려지지 않은 취약점) 공격일 경우 백신 프로그램이 탐지하는 작업은 불가능하다.

사용자가 제로 클릭에 대응할 수 있는 방법은 거의 없다. 제조사가 나서 취약점을 보완하는 등 조치를 취하는 수밖에 없다는 것. 이번 삼성 모바일에 탑재된 보안솔루션의 경우 제조사가 직접 나섰다는 점에서 과거 대비 좀 더 높은 차원의 대응이 가능할 것으로 업계는 보고 있다.