[서울=뉴시스]윤현성 기자 = 구글이 가짜 이동통신 기지국을 이용한 신종 문자 피싱을 원천 차단하고 나섰다.

최신 5G 스마트폰을 보안이 허술한 구형 2G망으로 강제로 떨어뜨려 악성 문자를 심는 이른바 'SMS 블래스터' 공격을 막기 위해서다.

구글은 27일(현지시간) 안드로이드17에 ▲2G 기본 차단 ▲암호화 클라이언트 헬로(ECH) ▲로컬 네트워크 보호 ▲인증서 투명성(CT) 등 4가지 네트워크 보안 기능을 도입한다고 밝혔다.

◆가짜 기지국이 5G폰을 2G로 강등…통신사 필터도 우회

가장 눈에 띄는 변화는 2G 접속 차단 방식이다. 스마트폰을 겨냥한 사이버 범죄의 경우 휴대용 가짜 기지국에서 강한 신호를 내보내 주변 스마트폰이 정상적인 LTE·5G망 대신 공격자가 만든 가짜 망에 붙도록 유도할 수 있다. 이후 단말 연결을 구형 2G로 강등시켜 피싱 문자를 직접 주입하는 식이다.

2G는 단말과 기지국이 서로의 신원을 확인하는 '상호 인증'이 없어 최신 이동통신 규격보다 보안이 취약하다. 공격자가 암호화되지 않은 연결까지 강제하면 중간자 공격을 통해 문자 등을 끼워 넣을 수 있다.

특히 이 방식은 정상 이동통신망을 거치지 않아 통신사가 운영하는 스팸·사기문자 필터까지 우회할 수 있다. 발신번호 등 문자 정보도 조작할 수 있어 은행이나 공공기관이 보낸 정상 메시지처럼 꾸미는 것도 가능하다.

구글에 따르면 이런 장비는 'SMS 블래스터'로 불리며 차량이나 여행가방 형태로 이동하면서 번화가·대중교통 등 사람이 밀집한 곳을 노리는 사례가 나타나고 있다.

국내에서도 지난해 KT 무단 소액결제 사태에서 불법 초소형 기지국(펨토셀)이 이용자 단말을 유인해 인증정보를 탈취한 유사한 사례가 나타난 바 있다. 다만 KT 사건은 단말을 2G로 강제 전환해 피싱 문자를 직접 주입하는 SMS 블래스터와는 공격 방식에 차이가 있다.

안드로이드는 앞서 안드로이드12부터 이용자가 직접 모뎀 단계에서 2G 연결을 끌 수 있는 기능을 제공해왔다. 안드로이드14에서는 가짜 기지국이 악용할 수 있는 암호화 미적용 연결인 '널 암호(null cipher)'를 차단하는 기능도 추가했다.

안드로이드17에서는 이를 한 단계 더 강화해 통신사가 가입자의 2G 접속을 기본 차단할 수 있도록 했다. 이용자가 별도로 설정하지 않아도 되는 '제로클릭' 방식이다. 구글은 참여 통신사의 경우 공격이 시작되기 전부터 구형 2G 접속면 자체를 없앨 수 있다고 설명했다.

국내는 KT가 2012년, SK텔레콤이 2020년, LG유플러스가 2021년 2G 상용 서비스를 종료했다. 하지만 2G망이 사라졌다고 가짜 기지국 공격 위험까지 없어지는 것은 아니다. 안드로이드 오픈소스 프로젝트(AOSP)는 통신사가 더 이상 2G 인프라를 운영하지 않더라도 단말 자체가 2G 기지국을 검색·접속할 수 있다면 다운그레이드 공격에 여전히 취약하다고 설명한다.

구글은 2G를 보안 목적으로 꺼도 긴급전화에는 영향을 주지 않도록 설계했다. 다만 2G망 의존도가 높은 일부 국가에서 로밍할 때는 연결이 제한될 수 있다.

아울러 안드로이드17의 2G 기본 차단이 국내에서 실제로 적용될지는 통신사 참여와 제조사의 OS 업데이트 정책 등에 따라 달라질 수 있다.
◆HTTPS 써도 보이던 '어디 접속했나' 숨긴다

웹 이용 과정에서 남는 정보도 더 감춘다. 기존에는 HTTPS로 웹사이트나 앱과 주고받는 내용이 암호화돼도 접속하려는 도메인 이름은 통신사업자나 네트워크 감시자에게 노출될 수 있었다.

안드로이드17은 TLS 1.3 확장 표준인 ECH를 지원한다. ECH는 연결 초기에 서버 이름을 전달하는 SNI 정보를 암호화해준다. 이를 사설 DNS와 함께 사용하면 이용자가 어떤 사이트나 앱에 접속하는지 외부에서 파악하기가 어려워진다.

구글은 안드로이드17이 주요 모바일 OS 가운데 광범위한 ECH 지원을 처음 제공한다고 강조했다.

집 안 와이파이에 연결된 기기 정보도 보호 대상이다. 기존에는 앱이 별도 허가 없이 같은 로컬 네트워크에 연결된 스마트TV·보안카메라·게임기 등을 검색할 수 있었지만, 안드로이드17을 대상으로 개발·업데이트된 앱은 '로컬 네트워크 접근' 권한을 받아야 한다.

특정 TV로 영상을 보내는 것처럼 개별 기기만 고르면 되는 경우에는 시스템 선택창을 이용해 앱에 전체 네트워크 검색 권한을 주지 않아도 된다.

가짜 인증서를 이용한 통신 가로채기 방지 기능도 기본 적용된다. 인증기관이 해킹되거나 잘못된 인증서를 발급했을 때 이를 공개 로그에 남겨 외부에서 검증할 수 있도록 하는 '인증서 투명성'을 기본 활성화한다.

구글의 이번 조치는 스마트폰 보안의 무게중심이 악성 앱이나 OS 취약점 방어를 넘어 '어떤 망에 연결되고, 누구에게 접속하는지'까지 확대되고 있음을 보여준다. 특히 2G 차단은 이동통신사 설정과 직접 연계되는 만큼 향후 통신사와 OS 사업자의 보안 역할 분담도 더 밀접해질 전망이다.


◎공감언론 뉴시스 hsyhs@newsis.com