모바일 웹사이트에 악성코드가?…"대담해진 스파이앱"

공격자 서버에 저장된 SMS 송수신 내역. /사진=빛스캔.

# 지난 22일 국내 모 기업의 모바일 웹사이트. 당시 스마트폰으로 이 사이트를 방문했던 이용자들은 스마트폰 화면에 '앱을 설치하시겠습까' 묻는 메시지를 받았다. 해당 앱은 모 포털회사에서 개발한 '윌렛' 앱으로 위장돼 있다. 그러나 정작 이용자들의 스마트폰에 설치된 것은 개인정보를 빼가는 스파이 앱이었던 것으로 확인됐다.

스마트폰을 통해 모바일 웹사이트에 접속하는 것만으로 악성코드가 다운로드 되는 공격사례가 첫 발견됐다. 웹사이트를 해킹한 뒤 방문자들을 대상으로 악성코드를 유포하는 웹 코드 공격이 모바일로 전면 확대되는 신호탄이라는 게 전문가들의 분석이다.


◇모바일 웹사이트 접속만으로 악성코드 감염=1일 보안전문업체인 빛스캔에 따르면, 해당 모바일 웹사이트에서 안드로이드 운영체제(OS)를 노린 악성 앱(.apk)이 유포됐다.

만약 사용자가 스마트폰을 통해 해당 웹사이트에 접속했을 경우, 악성파일(.apk)이 자동으로 다운되며, 모 포털의 '윌렛' 앱으로 위장된 프로그램 설치화면이 뜬다. 부지불식간에 해당 프로그램을 설치할 경우, SMS 송수신 데이터 등 스마트폰 안의 개인정보가 해외 소재의 특정서버로 실시간 전송된다.

빛스캔측이 해당 서버를 추적한 결과, 해당 서버에는 악성코드에 감염된 이용자들의 SMS 문자메시지 정보와 SMS 인증문자, 제품 구매 안내 문자 등이 수집되고 있는 정황이 포착됐다. 특히 SMS를 통해 유출된 정보에서는 사용자의 사적 대화는 물론 아이디, 비밀번호 재발급시 임시 발급되는 코드와 계좌이체, 누적금액, 카드사 정보 등도 포함돼 있었다는 전언이다.


이제 PC에서 접속했을 때와 마찬가지로 악성코드가 숨겨진 웹사이트에 방문하는 것만으로 악성코드에 감염될 수 있다는 사실이 확인된 것. 기존에는 주로 문자메시지(SMS)에 첨부된 단축 URL(인터넷주소)를 통해 악성코드 설치를 유도했으나, 유명 모바일 웹사이트를 직접 해킹해 모바일 악성코드를 숨겨놓는 방식으로 진화한 것.

이에 따라 스마트폰을 통해 웹서핑을 하는 것만으로도 충분히 개인정보 유출 위험에 노출될 수 있는 셈이다.

◇안드로이드 취약점 결합시 피해규모 클 듯=빛스캔 전상훈 이사는 "문자 메시지를 통한 스미싱 공격방식에 대해 이용자들이 인지하면서 아예 이용자들이 찾는 모바일 웹사이트에 악성코드를 숨겨놓는 방식으로 진화되고 있다"며 "이같은 모바일 공격이 전면 확대될 경우, PC기반 인터넷처럼 악성코드 감염사례가 크게 늘 수 있다"고 경고했다.

다만, 현재 발견된 피해사례는 스마트폰에 악성코드가 다운되지만, 이용자가 설치 동의를 하지 않을 경우, 실행되지 않는다.

그러나 머지않아 안드로이드 취약점과 본격적으로 결합될 경우, 모바일 웹사이트에 접속하는 것만으로 악성코드가 자동 실행될 가능성도 배제할 수 없다는 것이 보안 전문가들의 경고다. 이 경우, 모바일 악성코드 감염사례가 PC기반 인터넷처럼 기하급수적으로 늘어날 수 있다는 것.

안드로이드 OS의 경우, 취약점 발생 시 각 개발사가 업데이트를 개별적으로 제공해야 하기 때문에 적시 업데이트가 불가능한데다 구형 OS 사용 비율도 높은 만큼 이에 대한 대응력은 PC 기반에 비해 취약할 수 밖에 없다는 지적이다.