문자·메신저·메일로 ‘피싱 인터넷 주소’ 전송…눌러서 감염땐 통화·카톡 내용 다 들여다봐

RCS, 스마트폰 해킹 어떻게

내 스마트폰이 해킹되고 있다면 ‘그들’은 어떤 방식으로 나의 통화나 메시지 내용을 엿들고 엿보게 되는 것일까?

스마트폰 해킹 공격자가 가장 중시하는 건 ‘타킷(목표물)’이 해킹 사실을 감지하지 못하게 일을 처리하는 것이다. 내가 사용하지 않고 있는데 스마트폰이 혼자 작동한다면 의심을 사기 쉽다. 가뜩이나 쉽게 닳아 없어지는 배터리도 더욱 빨리 소진될 것이다. 몰래, 빨리, 효율적으로 훔치는 일이 ‘스마트폰 도청’의 핵심이다.

이탈리아 ‘해킹팀’이 제작·판매하는 ‘스파이웨어(상대의 컴퓨터에 몰래 설치돼 정보를 빼내는 프로그램)’가 제대로 대상을 공격하려면 일단 ‘타깃’의 스마트폰에 몰래 설치돼야 한다. 문자 메시지나 메신저, 이메일 등이 이용된다. ‘해킹팀’과 국정원의 위장 이름인 ‘5163 부대’가 서로 주고받은 이메일에도 “타킷이 악성 메시지나 이메일에 감염됐는지 확인해 달라”는 내용이 발견된다. ‘해킹팀’은 악성 코드를 심은 ‘천안함 문의’란 제목의 문서 파일을 만들기도 했다.

새정치민주연합 김광진 국회의원실이 공개한 자료를 보면 국정원이 스마트폰에 침투시키기 위한 ‘피싱 인터넷 주소(URL)’ 제작을 87회 넘게 ‘해킹팀’에 의뢰한 것으로 나타난다. 해커는 이런 인터넷 주소를 그럴싸한 내용의 문자로 보내 ‘타깃’을 유인한다. 유인이 잘 안되면, 직접 ‘타깃’에게 접근해 스마트폰을 잠시 손에 넣어 해당 링크를 클릭하고 스파이웨어를 내려받기 할 수도 있다. 통화 도청은 실시간으로 엿듣는 방식보다 음성통화를 저장·전송하는 방식으로 이루어질 가능성이 높다. 스마트폰으로 누군가와 통화할 때 스파이웨어가 몰래 ‘통화 중 녹음’ 기능을 켜고, 녹취 파일을 생성한 뒤 ‘감시자’에게 보내고 해당 파일은 삭제해버리는 식이다.

내가 ‘그들’의 타킷으로 스마트폰 공격을 당했다면 그들은 내 스마트폰 화면 전체를 들여다보고 있을 가능성이 크다. 얼굴에 붙이고 통화할 때는 화면이 꺼졌다가 떼면 켜지는 스마트폰의 인식 기능과 화면 자체를 찍는 ‘화면 캡쳐’ 기능이 결합하면 무엇이든 가능하다. 훔쳐보는 내용에는 ‘카카오톡’으로 나눈 대화도 당연히 포함된다. 그런데 아마도 타킷 하나하나를 지정해 카카오톡을 들여다 보는 일이 힘들게 느껴질 지도 모른다. 국정원이 ‘해킹팀’에 아예 ‘카카오톡 애플리케이션’ 해킹을 요청한 데는 이런 사정이 있을 것으로 추정된다.

구글 안드로이드를 운영체제로 사용하는 스마트폰이 애플 운영체제(ios)를 사용하는 아이폰에 비해 해킹이 더 쉽다는 지적도 있다. 일부는 사실이다. 안드로이드의 프로그래밍 구조라고 할 수 있는 ‘소스 코드’는 공개된데다 애플리케이션을 거래하는 마켓도 개방형으로 여러 개이기 때문이다. 이에 반해 ‘아이오에스’는 소스 코드가 비공개이며 ‘앱 스토어’가 하나 뿐이다. 하지만 이번에 ‘해킹팀’의 내부 자료가 유출돼 ‘아이오에스’의 취약점 공격 코드도 외부에 공개된 상태이므로 안심할 순 없다.

임지선 기자 [e-mail]

■ 국정원 해킹·감청 의혹 규명 ‘독자와의 협업’ 제안합니다

<한겨레>가 선도적으로 취재·보도해온 ‘국가정보원 해킹·감청 의혹’의 진상을 밝히기 위해 독자와 시민 여러분께 ‘크라우드소싱’(crowd sourcing)을 통한 협업을 제안합니다.

국정원이 해킹 스파이웨어(RCS)를 구입한 이탈리아 업체 ‘해킹팀’에서 유출된 데이터는 400기가바이트(GB)에 이릅니다. <한겨레>가 독자적으로 검색·분석하기엔 너무 방대합니다. 국정원은 이 프로그램을 국내 사찰용으로는 사용하지 않았다고 밝혔지만, 여러 정황상 불법 사찰 의혹이 강하게 제기되고 있습니다.

아래 링크에서 해킹팀 내부 자료를 내려받아 음성파일 등을 열어보거나 ‘korea’, ‘devilangel’ 등 국정원 관련 키워드로 검색한 뒤 의심 가는 내용이 발견되면 이메일([e-mail])로 알려주십시오. <한겨레>가 추가 취재해 진실을 알리겠습니다.

정보기관에 대한 민주적 통제에 관심 있는 분들이나 컴퓨터·보안 전문가 등의 적극적인 참여를 부탁드립니다.

<유출 자료 전체>

ht.transparencytoolkit.org

hacked.thecthulhu.com/HT

njsq2jeyc527mol7.onion.city

hacking.technology/Hacked%20Team

kat.cr/usearch/Hacking%20Team%20Archive%20Part

<유출 이메일>

wikileaks.org/hackingteam/emails