[이미지=utoimage]

▲애플 계정 정보 입력을 유도하는 피싱 사이트[이미지=한국인터넷진흥원]

▲애플 취약점 정보 및 대응 현황 정보[이미지=애플]

더욱이 최근 구글 프로젝트 제로 팀의 보안 전문가 이안 비어는 아이폰을 100% 원격에서 제어할 수 있는 취약점을 발견해 애플에 전달했으며, 애플은 해당 취약점을 패치했다. 프로젝트 제로 팀은 알려지지 않은 취약점을 악용하는 공격(제로데이 공격)에 대응하기 위해 신규 취약점을 발굴하는 화이트해커 집단이다.

이안 비어는 최근 자신의 블로그를 통해 “코로나로 인한 락다운으로, 아무 일도 할 수 없을 때 집에서 아이폰을 만지작거리다 익스플로잇을 개발했다”고 밝혔다. 익스플로잇이란 버그나 보안 취약점 등을 이용해 공격자가 의도한 명령어를 실행하는 공격을 말한다.

그의 설명에 따르면 에어드롭처럼 여러 애플 기기 사이를 무선으로 직접 연결하는 AWDL 프로토콜을 통해 커널 메모리를 변경하는 데 성공했다. 이 취약점을 악용하면 이메일이나 메시지 등을 열람하는 것은 물론, iOS 기기를 사용하는 모든 과정을 실시간으로 감시할 수 있다. 기존 사이버 공격처럼 악성 사이트나 악성 앱을 이용하지도 않고, 단지 무선 연결이 가능한 거리 안으로 들어가기만 하면 이 공격을 수행할 수 있다.

병법서 삼십육계에는 ‘만천과해’라는 전술이 있다. 하늘을 속여 바다를 건넌다는 의미로, 무의미한 반복행위를 통해 상대방의 의심을 풀어버린 다음 예상치 못한 방법으로 허를 찔러 목적을 달성하는 전술이다. 아이폰 사용자가 iOS의 보안에 대해 신뢰하는 것은 당연하다. 하지만 이 때문에 공격에 대한 의심을 풀어버리면, 이 틈을 노린 의외의 공격이 발생할 수 있다.

이에 아이폰 사용자도 운영체제 및 애플리케이션 업데이트를 주기적으로 확인해 시행해야 한다. 지나치게 많은 정보 접근 권한을 요구하는 앱을 사용하지 않고, 문자메시지에 포함된 URL을 함부로 누르지 않으며, 확인되지 않은 사이트에는 개인정보나 계정 정보(ID/PW)를 입력하지 않는 등 기본적인 보안수칙을 지켜야 한다. 또한, 2단계 인증 역시 활성화해 애플ID를 보호하는 것이 좋다.
[이상우 기자(boan@boannews.com)]

[출처 : 보안뉴스(https://www.boannews.com/media/view.asp?idx=93283​)]