“어느 것이 더 안전할까?” 안드로이드 vs. iOS 보안 집중 비교 분석

2배로 증가한 모바일 위협
4월 발행된 시만텍의 인터넷 보안 위협 보고서에 따르면, 지난 한 해 동안 모바일 기기 상의 악성코드 탐지 건수는 1,820만 건에 달했으며 전반적인 위협 탐지 건수 역시 2배 가까이 증가했다. 또한 동 보고서는 2015년에도 비슷한 위협 패턴이 목격되었으며 지난 2년 동안 매 해 전체 기기의 5% 가량이 감염 타깃이 되었다고 밝히고 있다.



시만텍 보고서에서 보면 2014년부터 2016년 사이 iOS 취약점은 비교적 균등하게 유지되어 왔다. 반면 안드로이드 악성코드 종류는 2014년 46종에서 2015년 18종, 그리고 2016년 4종으로 확연히 줄어드는 경향을 보였으나, 여전히 모바일 공격의 주요 타깃이 되고 있다고 밝혔다.

2016년에는 특히 악성 안드로이드 앱의 개수가 105% 가량 증가하였으며, 그 전 해인 2015년에는 이보다 더 높은 증가율인 152%를 기록하기도 했다.

모바일 악성 위협은 ‘변종(variants)’와 ‘종(families)’으로 구분된다. 동일 종에 속하는 악성코드들은 동일한, 혹은 유사한 공격 그룹으로부터 가해진 위협들을 지칭한다. 2014년에는 총 277종의 악성코드가 존재했다. 이듬해인 2015년에는 그 수가 295종으로 늘었고, 2016년에는 299 종이었다. 종의 증가 속도는 느려지고 있지만, 전반적인 악성코드 종류의 가짓수는 늘어나고 있는 추세이다.



그러나 이러한 취약점의 숫자가 몇 가지나 되는가가 전부는 아니다. 골드는 “이러한 취약점을 노린 악성코드 변종의 숫자가 훨씬 더 많다”고 지난 해 발행한 보고서 ‘비즈니스 환경에서의 안드로이드, 안전한가?’를 통해 밝혔다.

변종이란 해커들이 악성코드를 일부 수정하여 배포한 것으로, 그 종류만 해도 수천 가지가 넘는다. 예를 들어, 지난 해에는 총 18종의 악성코드에 대한 59종의 변종 악성코드가 새롭게 생겨났는데 이는 곧 1,000여 가지 이상의 새로운 모바일 악성코드 변종이 생겨났음을 의미한다고 시만텍은 지적했다. 모바일 악성코드 한 종 당 변종의 수량은 2015년에는 30% 가량, 2016년에는 이보다 약간 적은 25% 가량 증가했다.

“이는 아주 심각한 문제가 아닐 수 없다. 특히 BYOD를 실천하는 기관들은 선택의 여지가 없다. 자신들이 관리하는 기기가 아니므로 OS가 최신으로 업데이트 되어 있는지 조차 알 수 없다. 일부 기관들은 이를 의무화 하여 최신 OS로 업데이트 하지 않고는 회사 네트워크에 로그인 할 수 없게끔 정책을 만들어 두었지만, 이런 경우는 드문 축에 속한다”고 골드는 말했다.

2016년에는 악성코드 종 자체는 크게 증가하지 않았지만, 변종의 숫자는 크게 증가했다. 시만텍은 그 이유가 해커들이 “기존에 없던 새로운 위협을 새로이 만들어 내기보다 기존 악성코드 종을 더욱 정교하게 다듬고 수정하는 쪽을 선택했기 때문”이라고 설명했다.

iOS라고 공격에서 자유롭지는 않다
이러한 공격 대상에는 iOS 기기도 포함되어 있었다.

드물긴 하지만, 2016년 페가수스 악성코드로 iOS 폰을 감염시키려는 공격 시도가 있었다. 이들은 모두 iOS의 3가지 제로 데이 취약점을 노렸다. 페가수스 악성코드는 스파이 소프트웨어로 아이폰을 점령하여 사용자의 메시지, 통화기록, 이메일 등을 해킹한다.
뿐만 아니라 페가수스는 지메일, 페이스북, 스카이프, 와츠앱 등 앱으로부터 정보를 수집할 수도 있다고 시만텍은 경고했다.

이 공격은 주로 피해자에게 문자 메시지를 보내는 방식으로 이루어 졌다. 아이폰을 탈옥한 사용자가 문자로 전송된 링크를 클릭할 경우 페가수스 악성코드가 주입되어 스파이 활동을 시작하는 방식이었다.

페가수스 악성코드는 링크를 클릭할 경우 기기 보안을 무너뜨리는 사파리 웹킷 상의 취약점을 노렸다. 또한 사용자가 링크를 클릭하면 OS 커널을 통해 정보가 새어나가는 취약점, 그리고 커널 메모리 오염이 탈옥으로 이어질 수 있다는 취약점을 노렸다고 시만텍은 설명했다.

단 1대의 모바일 기기만 악성코드에 감염이 되어도 평균적으로 9,485 달러의 비용이 소모된다고 포네몬 인스티튜트(Ponemon Institute)의 지난 해 보고서는 밝히고 있다. 직원 한 명의 모바일 기기가 감염되어 개인 정보 및 중요 기업 데이터가 유출될 경우 그 피해 규모는 더 커질 수 있다. 이러한 공격을 조사하고, 공격의 여파를 봉쇄하며 데미지 컨트롤까지 하는 데에는 평균적으로 2만 1,042 달러가 소요되는 것으로 알려졌다.




모바일 기기에 대한 대부분 공격은 연락처 리스트 같은 개인 정보를 훔치거나, 문자 메시지를 보내거나, 서비스 거부 공격을 목적으로 한다. 해커가 기기를 잠그고 소위 ‘몸값’을 지불해야만 풀어주는 랜섬웨어 공격은 일반적인 유형의 공격 형태에 비하면 흔한 것은 아니라고 골드는 말했다. 하지만 “가까운 미래에는 모바일 기기를 상대로 한 랜섬웨어 공격도 활발해 질 것이다. 그러지 않을 이유가 없다.

“대부분 스마트폰 사용자들이 폰에 저장해두는 정보들을 생각해 보라. 아마 많은 이들이 핸드폰이 잠기면 큰 곤란을 겪게 될 것이다”라고 골드는 설명했다.