국정원, 금융기관 사칭 악성 앱 통해 국내 4만 명 해킹된 정황 발견
가짜 앱 통한 스마트폰 정보유출 예방 방법 정리

[보안뉴스 이상우 기자] 국가정보원 사이버안보센터가 금융기관을 사칭한 악성 앱을 통해 국내 이동통신사에 가입된 스마트폰 약 4만 대가 해킹 당한 사실을 포착했다고 밝혔다. 사이버 공격 조직은 피싱, 스미싱 등을 통해 사용자가 스마트폰을 통해 가짜 인터넷 뱅킹 앱을 설치하도록 유도한다. 이후, 설치된 악성 앱을 통해 통화기록·문자메시지, 스마트폰 저장 문서 등을 탈취하고 특히 감염된 휴대폰의 통화를 도청하기도 했다는 설명이다. 이에 따라 국정원은 국내 백신 업체와 공조해, 이번 해킹에 쓰인 악성코드에 대한 백신 업데이트 등 보완 조치를 완료하고, KISA·금융보안원 등 유관기관과 협력해 피해 차단에 주력하고 있다고 밝혔다.


[이미지=utoimage]

국정원 관계자는 “스마트폰 해킹 예방을 위해 주기적으로 백신 검사를 실시하고 안전한 경로를 통해 앱을 다운로드 하는 등 스마트폰 보안관리에 만전을 기해야 한다”며, “사이버 공격 시도가 민간, 공공기관은 물론 일반 국민까지 무차별적으로 확대되고 있기 때문에 앞으로도 유관 부처는 물론 필요시 민간과도 정보공유·협력을 확대해 나갈 계획”이라고 밝혔다.

이번 공격의 경우 악성 앱을 사용자 스마트폰에 설치하는 방식으로 각종 정보를 유출했다. 이러한 유형의 공격은 문자 메시지나 카카오톡 등 메신저, 이메일 앱을 통한 첨부파일 등으로 악성 apk 파일을 유포하는 것에서 시작한다. 메시지 내용은 ‘인터넷 뱅킹 앱 업데이트’나 ‘신규 뱅킹 앱 출시’ 등으로 꾸미는 경우가 많다. 평소 이를 주거래 은행으로 삼고 있던 사람이라면 큰 의심 없이 apk 파일을 내려받아 설치하도록 유도하기 위함이다.

아이폰에서는 외부 앱 설치 파일을 직접 내려받아 스마트폰에 설치하는 것이 상대적으로 어렵다. 반면 삼성전자와 LG전자 등의 안드로이드 스마트폰은 외부파일을 통한 앱 설치가 가능하기 때문에 해당 유형의 공격이 빈번하게 발생한다. 안드로이드 스마트폰 역시 기본적으로는 외부 파일을 통한 설치가 차단돼 있지만, 공격자는 이러한 것까지 계산해 사용자가 제한 설정을 풀도록 ‘친절하게’ 안내하는 경우도 있다.

이러한 공격을 피할 수 있는 확실한 방법은 간단하다. 우선 스마트폰 문자 메시지나 메신저 등에 포함된 URL을 함부로 누르지 않고, 혹시라도 눌렀을 경우 연결된 웹 페이지에서 개인정보를 입력하거나 해당 웹 페이지를 통해 내려받은 apk 파일을 실행해서는 안 된다.

다음으로 내려받은 apk 파일을 실수로 실행하더라도 실제 설치까지 이어지지 않도록 ‘알 수 없는 앱 설치’ 기능을 끄는 것이 좋다. 기본적으로는 이 기능이 꺼져있지만, 앞서 언급한 것처럼 공격자에 속아 허용으로 설정했을 가능성도 있다. 출처를 알 수 없는 앱 설치 권한을 설정하려면 우선, 설정에서 앱 및 알림 > 관리 및 접근 권한 > 알 수 없는 앱 설치 항목에 진입해야 한다. 혹은 설정화면 상단에 있는 검색창에 ‘관리 및 접근 권한’이라는 키워드를 입력해 해당 항목을 찾을 수도 있다.


▲알 수 없는 앱 설치 허용 관련 설정[자료=보안뉴스]

악성 apk 파일이 주로 유입되는 앱은 웹 브라우저(Chrome, 삼성 인터넷 등), 메신저, 이메일 앱 등이 대표적이다. 이러한 앱을 선택해 확인한 뒤 ‘앱 설치 허용’으로 설정돼 있다면 이를 끄는 것이 좋다.

apk 파일은 공식 경로를 통해서 내려받은 것만 사용하는 것이 좋다. 안드로이드 스마트폰에는 구글 플레이 스토어가 공식적인 앱 마켓이며, 삼성전자 스마트폰의 경우 기본 설치된 갤럭시 스토어 역시 공식 경로 중 하나다. 여기에 이동통신3사와 네이버가 합작해 제공하는 원스토어 역시 믿을 만한 경로다. 마지막으로 V3, 알약 등 스마트폰용 무료 백신을 통해 이미 설치된 악성 앱이 더 이상 악성 행위를 할 수 없도록 차단하는 것 역시 중요하다.

메시지에 포함된 URL 클릭하지 않기, 첨부파일 함부로 실행하지 않기, 설치는 공식 경로를 통해 진행하기 등은 보안 전문가가 항상 강조하는 스마트폰 보안 수칙이다. 이처럼 간단한 수칙을 지키는 것만으로도 정보유출 등 사이버 공격을 피하는 것이 가능한 만큼, 평소 사용 및 설정 법 등을 익혀두는 것이 좋다.
[이상우 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>