"사내 메신저는 왠지 찜찜" PC에 텔레그램·왓츠앱 깔았다가…

임종철 디자이너 /사진=임종철 디자이너

MS(마이크로소프트) 팀즈나 슬랙 등 기업 협업 용도로 만들어진 메신저가 아닌 텔레그램이나 WhatsApp(왓츠앱) 등 개인 용도의 메신저 서비스를 PC에서 사용할 때 해킹 당할 위협이 훨씬 높아진다는 분석이 나왔다.

8일 글로벌 사이버보안 기업 카스퍼스키는 자사 블로그에 '데스크톱 메신저를 사용하지 말아야 할 5가지 이유'라는 게시물을 통해 "모바일 장치들은 악성코드에 감염되기가 훨씬 더 어렵고 중요한 파일들이 훨씬 적게 저장된다"며 "모바일 장치에 대한 공격이 성공하더라도 기업 네트워크에 궤멸적인 손상을 입힐 가능성도 낮다"고 했다.


또 "기업의 메일 시스템에 특화된 보안 솔루션은 첨부된 악성코드나 피싱(Phishing) 공격의 방지를 강화해주지만 데스크톱에 설치된 메신저의 고객들에게는 상황이 더 복잡하다"며 "메신저 자체 서버를 이용해 당사자들 사이에 암호화된 메시지가 교환되는 상황에서는 (보안 솔루션의) 방어 수준이 떨어지게 된다"고 했다.


"PC버전 메신저, 적시적 보안 업데이트 어려울 수도"카스퍼스키에 따르면 PC버전 개인용도 메신저의 대부분이 '일렉트론 프레임워크'에 구축된다. 일렉트론 프레임워크는 모든 운영체제에서 구동되는 애플리케이션을 쉽고 빠르게 제작할 수 있게 해준다는 큰 장점이 있다.

그러나 일렉트론 프레임워크에 올라와 있는 메신저들은 상시적으로 지속되는 사이버 보안위협에 적시적으로 대응하기 어렵다. 메신저 개발자가 새로운 버전을 출시해야만 업데이트가 이뤄지기 때문에 상시적인 보안 위협에 적시적으로 대응하기 어렵다.


카스퍼스키는 "당신의 직원들이 일렉트론 기반 앱(PC용 메신저 등)을 사용한다는 것은 각종 침해행위가 정기적으로 일어나는 브라우저의 위협에 노출돼 있다는 것"이라며 "이같은 앱을 더 많이 이용할수록 더 높은 위협에 노출된다. 업무용으로 사용하는 개인용도 메신저의 수를 제한하는 게 현명할 것"이라고 했다.

임종철 디자이너 /사진=임종철 디자이너

메신저 암호키 도난 가능성도 ↑뿐만 아니라 PC버전 메신저는 메시지 송수신 과정에서 필요한 암호화 키를 도난당할 가능성이 훨씬 크다. 일반적으로 메신저 서비스를 쓸 때는 송신자와 수신자가 사용하는 장치에 암호키가 저장돼 있다. 두 사람 사이의 메시지는 암호화돼 있고 당사자가 열어볼 때만 메시지가 열린다.

이같은 암호키가 도난되면 공격자는 메신저 송수신자 사이의 메시지를 읽을 수 있을 뿐 아니라 대화에 참가한 이들 중 누군가로 사칭할 수도 있다.

모바일 메신저는 이같은 암호키가 각자의 단말기에 저장돼 있고 이를 탈취하기란 매우 어렵다. 반면 PC 등 데스크톱에 저장된 메신저의 경우 암호키가 하드드라이브에 저장된다. 모바일 단말기에 비해 훨씬 쉽게 도난될 수 있다는 게 카스퍼스키 측 설명이다.


"원격 데스크톱 모드로 PC 메신저 다 볼수도 있다"다른 사람이 내 PC에 원격으로 접속할 수 있을 때도 PC 메신저의 보안성은 극히 미흡해진다. 트로이목마 악성코드를 활용해 불법적으로 타인의 PC에 원격접속하는 것은 물론이고 합법적인 원격 PC관리 프로그램을 사용할 때도 마찬가지다.

원격 프로그램의 제어를 받는 PC에서 메신저를 이용할 때는 별도의 암호키를 탈취하지 않고서도 그 사람의 메시지 송수진 내역을 고스란히 볼 수 있다. 아무리 보안장치를 높인다더라도 원격 관리 프로그램 앞에서는 무용지물이기 때문이다. 악의적인 공격자가 나로 가장해서 메시지를 보내는 것도 가능하다. 이같은 원격관리 도구는 인터넷에서 쉽게 구할 수도 있다.

뿐만 아니라 송신자와 수신자 사이에 악성코드를 담고 있는 파일이 메신저로 오가더라도 이를 차단할 방법이 마땅찮다는 것도 문제다. 이메일 첨부 파일이나 인터넷 사이트에서 내려받는 파일에 대한 잠재적 위험성에 대해서는 대부분 사람들이 상대적으로 잘 알고 있지만 메신저, 특히 아는 사람에게서 온 메신저에 담긴 파일에 대해서는 경계심이 낮다는 지적이다.

카스퍼스키는 이같은 위협을 줄이는 가장 좋은 방법으로 "데스크톱 버전의 메신저를 사용하지 않는 것"이라고 했다. 피치 못할 이유로 메신저를 PC에 설치해 사용하더라도 △보안 소프트웨어 설치 △하나 이상 메신저를 사용하는 관행 금지 △원격 접속 프로그램 점검 △직원에 대한 정보보안 교육 제공 등 조치가 필요하다고 당부했다.