‘비행기 모드’ 설정하면 읽음 표시없이 메시지 확인 가능

[보안뉴스 김태형] 최근 스마트폰 대중화로 인해 이를 이용한 모바일 메신저 사용자도 크게 늘었다. 특히, 카카오톡은 이미 사용자가 우리나라 인구수에 육박하는 것으로 알려졌다.

이 카카오톡은 자신이 보낸 메시지를 상대방이 읽었는지, 읽지 않았는지를 알 수 있는 기능이 있다. 하지만 이 기능은 경우에 따라서 민감할 수도 있는데, 메시지를 보낸 상대방이 모르게 메시지를 확인할 수 있는 방법이 있다.

이를 본지에 제보한 인하대학교 컴퓨터클럽 ‘NewHeart’의 맴버 박민건 씨는 “제보 내용은 이미 알려져 있는 ‘편법’일 수도 있는데, 이는 다른 모바일 메신저 앱도 마찬가지일 것이라 생각된다”면서 “현재 수천만명이 사용하는 카카오톡은 내가 보낸 메시지를 상대방이 읽었는 지 체크하기 위한 변수를 사용한다. 개인 간의 대화의 경우에는 1이며 단체 대화의 경우에는 자신을 제외한 사람 수 만큼 올라간다”고 설명했다.

이어서 그는 “그런데 이와 같은 상대방의 메시지 읽음 표시 기능은 경우에 따라서는 메시지를 읽었는지 읽지 않았는지에 따라 개인에게는 매우 민감한 사안이 될 수 도 있다. 또한 업무나 연인사이 등의 대인관계 측면에서 악용될 수 있다는 점을 지적하고 싶다”고 덧붙였다.

특히, 최근엔 ‘카카오톡 몰래보기’ 앱도 만들어지고 있을 만큼 상대방 몰래 메시지를 보는 것은 많은 대중들에게 귀를 솔깃하게 한다. 그러나 사용자들은 ‘앱까지 다운받아서 카카오톡 메시지를 상대편 모르게 몰래 봐야 될까?’라는 생각을 하게 된다. 

박민건 씨는 “하지만 이러한 앱을 다운 받을 필요 없이 더 쉽게 카카오톡 메시지를 상대방 모르게 볼 수 있다. 모든 카카오톡 메시지는 상대방이 메시지를 보내면 로컬에서 SQLite로 저장되고 그 정보를 가져와서 사용자에게 보여주게 된다”면서 “여기에서 글을 읽었는지 여부를 체크하는 변수도 함께 저장되는데 여기에서 스마트폰의 3G, 4G 등과 같이 통신할 수 있는 모든 기능을 꺼버린 상태로 메시지를 보면 숫자 1이 나타나지 않은 상태, 즉 내가 메시지를 읽지 않은 상태로 상대방의 메시지를 볼 수 있다”고 설명했다.

즉, 3G, 4G, Wi-FI 등과 같은 통신을 할 수 있는 모든 기능을 꺼버리면 통신이 끊기게 되고 데이터 또한 오고 갈 수가 없기 때문에 모든 스마트폰과 관계없이 이러한 데이터 통신을 차단할 경우 카카오톡 채팅방에 들어가서 메시지를 읽고 다시 데이터를 활성화시키면 상대방은 여전히 내가 글을 읽지 않은 것으로 보인다는 얘기다.

이어서 그는 “이러한 대표적인 방법으로는 비행기 모드가 있다. 이는 스마트폰의 종류에 상관없이 모두 가능하다. 이러한 방법은 세션이 탈취될 수 있거나, 인젝션 및 XSS 등과 같은 위협적인 취약점은 아니지만 문제가 될 소지가 있고, 카카오톡 입장에서는 이미 글을 읽었는지 여부를 체크하는 변수의 역할을 상실했다고 볼 수 있다”고 덧붙였다.

이러한 방법은 앱 설치 여부와 관계없이 손쉽게 카카오톡 메시지를 상대방으로 하여금 읽지 않았다고 인식시킨 후, 몰래 읽을 수 있기 때문에 이 기능에 대한 신뢰는 낮아질 수 밖에 없다.
박민건 씨는 “이러한 취약점은 다른 모바일 메신저도 마찬가지겠지만 카카오톡의 경우, 상대방이 자신의 메시지를 읽었음을 알 수 있도록 하는 기능을 염두에 두고 개발됐을 것으로 판단된다. 하지만 이러한 취약점이 있다면 개발취지와는 전혀 다르게 악용될 수 있다는 점을 이야기하고 싶었다”고 강조했다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>