[2015 국감] "스마트폰 악성 앱 3년간 238배 급증"

대응기술ㆍ보안의식 제자리…적극적인 대응책 필요

스미싱 악성 앱이 최근 3년간 238배로 폭증한 것으로 나타났다. 스미싱 악성 앱은 스마트폰 사용자로 하여금 문자메시지 내 인터넷주소를 클릭하도록 유도해 악성 앱을 설치하고 개인정보, 금융정보 등을 탈취하는 사이버사기 수법 중 하나다.

국회 미래창조과학방송통신위원회 소속 최원식 의원(새정치민주연합, 인천 계양을)이 21일 한국인터넷진흥원(KISA)로부터 제출받은 국정감사 자료에 따르면 작년 한 해 KISA가 분석한 스마트폰 악성 앱 분석건수는 4048건으로 집계 돼 2012년 17건에 비해 무려 238배나 폭증한 것으로 조사됐다.

2013년 2351건, 올해 6월 현재 927건을 포함해 3년 반 동안 분석된 악성 앱은 7343건에 이른다. 이 중에는 최근 ‘국정원 해킹 프로그램 구입 사건’으로 논란이 됐던 RCS(원격제어 시스템)와 동일한 원격제어 악성 앱도 2012년 18건에 이어 올해 6월 현재 148건이 분석된 것으로 나타났다.

KISA의 ‘2015년 상반기 스미싱 분석’ 결과를 보면 악성 앱은 계속 진화하고 있다. 문자메시지(SMS)와 피싱(Phishing)의 합성어인 스미싱(smishing)의 초기 악성 앱은 기기정보나 간단한 개인정보, 금전적 이득을 취하기 위해 소액결제 인증문자를 탈취하는 방식에서 시작됐다. 그러나 현재는 원격제어를 받아 유출된 정보가 저장되는 서버의 주소를 변경하거나, 인터넷뱅킹에 필요한 계좌번호와 비밀번호, 보안카드 등을 탈취하고 악성 앱이 삭제되지 않도록 스스로 보호하는 기능까지 보유하는 방식으로 진화하고 있다.

이처럼 악성 앱은 진화를 거듭하고 있지만, 대응 능력은 제자리 수준에 머물러 최근에는 악성 앱 수집도 어려움을 겪고 있다. 과거에는 스미싱 문자메시지 내에 있는 URL을 클릭하면 추가 과정 없이 APK파일을 다운로드 할 수 있었다. 그러나 최근에는 사용자 버튼 클릭, 캡챠코드 입력, 스미싱 문자를 수신한 전화번호 입력 등 다양한 방법을 통해 스마트폰 사용자의 의심을 피하고 있어 KISA가 악성 앱을 확보하기도 쉽지 않은 상황이다.

KISA가 개발한 스마트폰 보안점검 앱 ‘폰키퍼’ 역시 악성 앱을 거의 차단하지 못한다는 지적을 받고 있다.

악성 앱은 ‘날고’ 대응능력은 ‘뛰는’ 가운데 국민들의 모바일 보안의식은 현격하게 떨어지고 있다. 지난 7월 이스트소프트의 ‘2015 사용자 정보보호 보안인식 실태조사’에 따르면 스마트폰 이용자의 절반 이상이 악성 앱 설치, 정보유출 등에 심각한 공포를 느끼고 있지만, 수시로 백신을 활용하고 있는 비율은 23.9%에 그치고 33.2%는 보안수칙을 무시하는 것으로 나타났다. 보안수칙을 지키지 않는 이유로는 60.5%가 내용이 어렵거나 귀찮고 불편하기 때문이라 답했다.

최원식 의원은 "현재의 기술 수준으로는 악성 앱으로 인한 피해를 원상복구하기 어렵고 보상 또한 거의 불가능하다는 점에서 문제가 매우 심각하다"며 "정부가 악성 앱에 대한 체계적인 관리와 함께 대응력을 키우기 위한 과감한 투자, 보안의식 제고 방안을 종합적으로 마련해야 한다"고 지적했다.