페가수스 사태로 세계의 굵직한 매체들의 헤드라인이 전부 장식되어 있는 상황이다. 국민들을 억압하고 탄압하는 정부의 주요 기관들이 국민들을 지속적으로 감시해왔다는 사실이 공개되었으니 그럴 만도 하다. 혹시 ‘나도?’라는 생각이 든다면 해야 할 것들이 있어 소개한다.

[보안뉴스 문가용 기자] 이스라엘의 보안 업체 NSO그룹(NSO Group)이 만든 스파이웨어 페가수스(Pegasus)는 강력했다. 보이지 않게 침투해 들어와 수만 명을 감시함으로써 누군가를 이롭게 만들었다. 피해자의 장비나 보안 솔루션은 침묵했고, 피해자 자신도 이상한 낌새를 채지 못했다. 강력하다던 장비도, 빈틈없다던 메신저 프로그램들도 페가수스 앞에 무릎을 꿇었다. 이렇게 강력한 위협 앞에 보안이나 해킹을 전문적으로 공부하지 않은 일반인이 할 수 있는 일은 그리 많지 않다.


[이미지 = utoimage]

하지만 ‘그리 많지 않다’와 ‘아무 것도 할 수 없다’는 분명히 다른 것이다. 보안 업체 퍼스트포인트(FirstPoint)의 CEO이자 화이트해커인 아담 웨인버그(Adam Weinberg)는 위험을 줄일 수 있는 방법이 있다고 말한다.

해외 매체인 스레트포스트와 진행한 팟캐스트에서 그는 “스마트폰과 같은 장비를 가짐으로써 우리는 ‘편리’라는 것을 누릴 수 있게 되고, 그에 대한 값으로 온갖 위협들에 스스로를 노출시키게 되었다”고 말하면서 모바일 생태계가 태생적으로 위험하다고 강조했다. 특히 통신망을 이용하는 고객은 통신망을 사용함으로써 통신사들에 자기의 위치 등 민감한 정보를 노출시킬 수밖에 없는 구조임을 강조하며 누구나 잠재적인 추적의 위협 아래 있게 된다고 짚었다.

또한 모바일 장비들은 통신 기지국과 연결될 때, 가장 신호가 강력하고 상태가 양호한 곳을 찾아 연결하도록 설계된 것도 위험한 부분이라고 그는 지적했다. 공격자 입장에서 신호가 강력한 기지국으로 스스로를 위장시킴으로써(가짜 기지국을 만드는 건 공격자들에게 간단한 일이다), 피해자가 자동으로 공격자의 가짜 기지국에 접속하게 되기 때문이다. 그렇게 될 경우 모든 세션 정보가 공격자의 손으로 넘어간다.

하지만 이런 공격자가 악용하려면 어느 순간 피해자를 속여 특정한 행동을 취하게 만들어야 한다고 웨인버그는 강조했다. 물론 이른 바 ‘제로 클릭’이라는 특성을 가진 취약점도 있고, 이번 페가수스 스캔들에서도 제로 클릭 취약점을 익스플로잇 해서 스파이웨어를 피해자의 장비에 심은 사례가 있긴 하지만, 이는 매우 드문 경우라고 그는 설명한다. 그렇기 때문에 일반적인 사이버 보안 실천 사항을 준수하는 것이 스파이웨어를 방지하는 데에도 도움이 된다고 한다.

“신뢰할 수 있는 사이트에만 접속하고, 신뢰할 수 있는 메시지에만 반응하고, 신뢰할 수 있는 링크만 눌러야 합니다. 여기서 ‘신뢰’란 두세 번 반복해 확인했을 때 나오는 결과를 바탕으로 하는 것이고요. 모바일 장비를 가지고 돌아다닐 때 공공 와이파이 등 아무 네트워크에 자동으로 연결되지 않도록 하세요. 정말 안전히 중요하다면 셀룰러 네트워크만 접속하도록 하고 자동 와이파이 연결 옵션은 끄는 게 좋습니다. 더 나아가 선불폰을 가지고 다니는 게 더 안전할 수도 있습니다.” 그가 강조하는 스파이웨어 예방법이다.

혹시 페가수스에 감염된 것이 염려된다면?
정부의 감시 대상이 되었을 만한 분명한 근거를 가지고 있고, 그래서 페가수스에 감염되었을 가능성이 높다고 판단되는 상황에서 개인이 취할 수 있는 행동에는 어떤 것이 있을까? 가장 권장되는 건 보안 전문가에게 모바일 장비의 검사를 의뢰하는 것이다. 국제사면위원회는 깃허브를 통해 점검 및 확인을 돕는 도구인 모바일 확인 툴킷(Mobile Verification Toolkit, MVT)을 공개했다. 이 툴킷을 다운로드 받을 수 있는 주소는 여기(https://github.com/mvt-project/mvt)다. 보안 전문가와 함께 점검하는 것이 확실하다.

조직의 보안 담당자 입장에서 조직 전체의 검사를 하고 싶을 경우, 침해지표(IoC)가 도움이 될 수 있다. 국제사면위원회가 페가수스의 침해지표를 역시 깃허브에 공개하고 있다. 여기(https://github.com/AmnestyTech/investigations/tree/master/2021-07-18_nso)서 정보를 취득하는 게 가능하다.

하지만 조직 차원의 검사도 할 수 없고, 마음 놓고 보안 전문가를 찾을 수 없는 상황에 놓인 사람이 있을 수도 있다. 그런 경우라면 “당장 심카드를 새 것으로 교체해야 한다”고 웨인버그는 제안한다. “심카드를 새로 바꾸는 것만으로도 페가수스로부터 벗어날 수 있다고 알려져 있습니다. 또 새 심카드를 사용할 때 일반 통신사보다 MVNO라고 알려진 서비스를 활용하는 게 보다 안전합니다. 선불폰 상품에 가입하는 건 안전성을 더 높이고요.”

3줄 요약
1. 페가수스와 같은 스파이웨어에 감염되지 않으려면, 제로트러스트의 생활화가 중요.
2. 국제사면위원회, 감염 여부 확인 위한 도구와 침해지표 공개.
3. 심카드 바꾸고 MVNO 서비스 및 선불폰 사용하는 것이 가장 안전.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>