개인을 특정하고 추적할 수 있는 정보를 장비로부터 외부로 내보내
악의적인 의도를 가지고 설계되었다기보다 개발 단계에서의 실수로 보여

[보안뉴스 문가용 기자] 중국 거대 IT 업체인 바이두(Baidu)의 앱들이 구글 플레이 스토어에서 삭제됐다. 이 앱들에서 민감한 정보가 유출되는 것이 확인됐기 때문이다. 이를 발견하고 제보한 건 보안 업체 팔로알토 네트웍스(Palo Alto Networks)이며, 오늘 분석 보고서가 발표됐다.


[이미지 = utoimage]

문제가 되었던 건 바이두 서치 박스(Baidu Search Box)와 바이두 맵스(Baidu Maps)라는 애플리케이션들이다. 미국 구글 플레이 스토어 기준으로 600만 번 이상의 다운로드를 기록했다. 둘 다 사용자 장비의 고유 식별자 정보를 외부로 유출시키는 것이 발견됐다. 그 외에 Homestyler - Interior Design & Decorating Ideas라는 앱에서도 수상한 정보 수집 및 유출 현황이 발견됐다고 한다.

팔로알토의 젠 밀러오스본(Jen Miller-Osborn)은 “악의를 가지고 일부러 이런 기능들을 심은 것이라기보다 개발 과정이 꼼꼼하지 못해 발생한 일”이라고 설명한다. “그럼에도 너무나 치명적인 정보가 새나갔습니다. 장비 식별 정보는 특정 인물의 현재 위치를 구체적으로 알아낼 수 있게 해 주거든요. 절대 남에게 알려주고 싶지 않은 정보입니다.”

모바일 앱들에서 민감한 정보가 새나가는 건 꽤나 자주 발생하는 일이다. 지난 5월 보안 업체 콤패리테크(Comparitech)의 보안 전문가들은 50만 개의 안드로이드 앱들을 분석해 약 1%에서 데이터베이스 설정 오류를 발견할 수 있었다. 이러한 설정 오류 덕분에 민감한 정보가 외부로 새나갔었다고 한다. 이를 숫자로 환산하면 약 2만 4천여 개의 앱들이 된다.

3월에는 보안 업체 체크포인트(Check Point)가 구글 플레이 스토어에서 56개의 악성 애플리케이션들을 발견했었다. 전부 100만 번 이상 다운로드 된 것으로, 테키야(Tekya)라는 멀웨어를 포함하고 있었다. 테키야는 허위로 광고 클릭 수를 기록해 광고주로부터 부당한 돈을 갈취하는 기능을 가지고 있었다.

이번에 제거된 바이두 애플리케이션들의 경우 안드로이드 푸시(Android Push)라는 SDK에서 잘못된 부분들이 나타났다고 한다. 위에서 언급된 고유 식별자 외에도 장비 모델명, 통신사, 화면 해상도, 맥주소, IMSI 번호 등까지도 전부 수집하고 있었다. 이런 정보들은 전부 종합하면 개인을 특정할 수 있게 된다. 팔로알토는 머신러닝 기능이 탑재된 스파이웨어 탐지 도구를 가지고 이 앱들을 찾아냈다고 한다.

구글 플레이 스토어는 각종 스파이웨어와 멀웨어 운영자들이 빈번하게 노리는 공격 대상 중 하나다. 수많은 앱들이 이곳에서부터 배포되고, 구글 플레이 스토어에 대한 소비자들의 신뢰도가 높기 때문이다. 보안 업체 노턴라이프락(NortonLifelock)에서 발표한 바에 따르면 악성 앱들의 2/3은 구글 플레이 스토어에서 나온다고 한다. 흔히 악성 앱의 온상이라고 알려진 서드파티 앱 스토어들은 10%만을 차지했다. 다만 비정상 앱 대 정상 앱의 비율은 구글 플레이 스토어가 0.6%로 서드파티 스토어들(3.2%)보다 월등한 것으로 나타났다.

팔로알토의 제보를 받은 구글은 문제가 되는 앱들 전부를 플레이 스토어에서 삭제했다. 바이두는 서치 박스 앱에서 발견된 문제점을 수정했다고 밝혔으나 아직까지 등록되어 있지 않은 상태다. 구글 맵스에 대해서는 아직 특별한 언급이 없다. 구글은 팔로알토에 감사의 마음을 전하며 “보안 업체들과 협력하여 플레이 스토어의 보안을 강화하고자 하며, 앞으로도 많은 제보와 도움을 기대한다”고 밝혔다.

3줄 요약
1. 중국 업체의 바이두가 플레이 스토어에 등록한 앱들에서 수상한 점 발견됨.
2. 장비의 고유 식별자와 같은 민감한 정보를 외부로 유출시킨 것.
3. 앱 하나는 수정됐다고는 하지만 현재 구글 플레이에서는 퇴출된 상태.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>