아이폰도 해킹 되요?

스마트폰의 보안을 얘기할 때 아이폰은 다른 스마트폰에 비해 보안이 잘돼 있고 해킹이 되지 않는다는 말을 많이 합니다. FBI 가 범죄 용의자의 아이폰 잠금을 풀어 줄것을 애플사에 요구해도 승복하지 않는 등 보안에 민감한 정치인 등의 인사들은 애플사의 방침을 옹호하기도 하죠. 여러가지 면에서 아이폰은 보안에 있어서는 안심하고 쓸 수 있다는 생각들을 많이 합니다.


아이폰의 폐쇄성
애플사의 아이폰의 앱들은 샌드박스 안에서 작동되기에 다른 데이터에 영향을 미치지 않습니다. 샌드박스는 미국의 가정집에서 아이들이 다치지 않도록 만들어 둔 샌드박스(모래 상자) 처럼 앱이 설치될 때 부터 그 앱의 샌드박스를 만들어서 앱이 손상되도 시스템과 다른 데이터를 보호하도록 설계 되어 있다고 합니다.

샌드박스의 개념

안드로이드의 개방성
이에 비해 Google은 안드로이드를 설계할 때 최대한 개방성과 유연성을 고려했습니다. 이는 사용자와 개발자들에게 쉽게 접근할 수 있도록 해주었고 아이폰에 비해 더 많은 자유를 제공했습니다. 그러다 보니 보안성에 있어서는 아이폰에 비해 떨어질 수 밖에 없는 것이지요.
2021년 10월 기준으로 스마트폰 시장의 OS 점유율은 안드로이드가 71.1%로 압도적 1위, iOS가 28.2%로 2위였습니다.
해킹이 더 쉽고 더 많은 먹이감이 있다보니 안드로이가 해커들의 타겟이 될 수 밖에 없습니다.

그럼 아이폰은 완벽한 철옹성일까요 ? 대답은 No 입니다.

AWDL(Apple Wireless Direct Link) 취약점 공격
2021년 11월 30일 Google Project Zero 소속의 유명 화이트해커 이안 비어가 아이폰 해킹에 성공했다고 밝혔습니다. 무슨 거창한 장비를 마련해 해킹에 사용하지도 않았고 라즈베리파이와 100달러 상당 와이파이(Wi-Fi) 장비 그리고 코드 몇 줄만으로 해킹에 성공했습니다.
https://youtu.be/_sTw7GGoJ6g

이 취약점의 문제점은 사용자가 악성 링크를 클릭하게 하거나 악성 문서를 열게 할 필요도 없었단 점입니다. 공격자가 피해자와 와이파이망 거리 정도 안에 있기만 하다면 피해자는 아무런 행동을 하지 않아도 감염이 됐습니다.
이 취약점을 통해 피해자의 모든 사진과 이메일, 비밀 메시지를 열람할 수 있으며, 아이폰으로 사용자가 하는 모든 일을 실시간으로 모니터링 할 수 있었다고 합니다.

이스라엘 NSO 그룹의 페가수스 앱을 이용한 공격
2021년 12월 이스라엘의 보안회사인 NSO그룹이 제작한 스파이웨어인 페가수스를 이용한 미국 정부기관 관리의 스마트폰을 감시한 사례가 확인되었습니다. 피해를 입은 것은 아프리카 동부 우간다에서 근무하는 미국 국무부 직원들이었고. 일부는 미국 국적의 외교관이며 현지인 대사관 직원도 포함된 것으로 알려졌습니다. 로이터는 적어도 9명이 표적이라고 보도했고, 월스트리트저널(WSJ)은 애플이 공격을 탐지하고 표적이 된 11명에게 해당 사실을 알렸다고 전했습니다.
페가수스는 저널리스트, 인권활동가,반체제인사파,정부관계자,대사관직원 등을 표적으로 악용되어 왔으며 2018년 터키에서 살해된 사우디아라비아 언론인 자말 카쇼끄지와 그의 주변인물도 표적이 됐고, 2021년 7월에는 마크롱 프랑스 대통령의 아이폰도 해킹 피해를 당한 사실이 알려졌습니다.

애플사는 프로그램 제작사인 NSO그룹을 상대로 소송을 제기했는데 , 소장의 내용은 "NSO그룹이 페가수스를 이용해 아이폰 이용자의 이메일이나 문자 메시지, 웹브라우저 열람 이력 등의 정보를 수집할 수 있고 단말 카메라 및 마이크에도 접속할 수 있다"고 지적하며 NSO그룹이 자사 소프트웨어나 서비스, 단말 사용을 못하도록 하는 명령을 법원에 요청했습니다.



페가수스는 포스드엔트리(Forced Entry) 라는 해킹기법을 활용했으며 iOS 14.7.1 및 이하 버전들에서 작동하는 익스플로잇으로, 피해자가 아무런 클릭을 하지 않아도 아이폰에 침투해 공격의 활로를 열어두는 기능을 가지고 있습니다. GIF 파일들을 처리하는 iOS 요소들 속에 컴퓨터 에뮬 환경을 만든다고 합니다. 포스드엔트리를 분석한 구글사의 분석팀인 프로젝트 제로팀은 이런 소스를 본적이 없으며 “이걸 개발하는 데 공을 세운 인물이 누구인지 모르겠지만 천재 이상일 것”이라고 말하기도 했다고 합니다.

Pegasus 로 감시한 대상들

Pegasus 설치방법들과 Pegasus로 할 수 있는 것들 - 출처 BBC