무슨 일이 있었나요
‘SMS of Death’라는 이름의 사이트를 통해 안드로이드 기기를 노리는 제로클릭·무음·원격 DoS 공격이 공개됐어요. 수식어 하나하나가 보안 쪽에서는 꽤 무거운 단어라서 뜻부터 풀어볼게요.
제로클릭(Zero-click)은 사용자가 아무것도 누르지 않아도 공격이 성립한다는 뜻이에요. 링크를 클릭하거나 앱을 깔 필요 없이 그냥 ‘받기만’ 하면 되는 거죠. 무음(Silent)은 사용자가 공격받았다는 걸 알아차리기 어렵다는 뜻이고, 원격(Remote)은 가까이 있을 필요가 없다는 뜻이에요. 전화번호만 알면 어디서든 시도할 수 있다는 의미죠. 마지막으로 DoS(Denial of Service, 서비스 거부)는 정보를 훔치는 게 아니라 기기나 기능을 정상적으로 못 쓰게 만드는 공격이에요. 앱이 죽거나, 재부팅이 반복되거나, 특정 기능이 마비되는 게 대표적인 형태예요.
정리하면 “나는 아무것도 안 했는데, 나도 모르는 사이에, 멀리 있는 누군가가 내 폰을 못 쓰게 만들 수 있다”는 얘기예요. 어떤 기기와 버전이 영향을 받는지, 패치가 나왔는지 같은 구체적인 사항은 원문과 이후 제조사 공지를 꼭 확인하세요.
‘SMS of Death’는 사실 오래된 이름이에요
이 이름에는 역사가 있어요. 2010년 말 독일에서 열린 해커 컨퍼런스 27C3에서 보안 연구자 Collin Mulliner와 Nico Golde가 같은 제목으로 발표를 했거든요. 여러 제조사의 피처폰에 조작된 SMS 한 통을 보내면 폰이 재부팅되거나 먹통이 되는 걸 보여준 연구였어요. 15년 가까이 지나서 같은 이름이 다시 나왔다는 것 자체가 많은 걸 말해줘요.
왜 이런 일이 반복될까요? SMS는 생각보다 훨씬 복잡한 프로토콜이거든요. 텍스트만 오가는 게 아니라 여러 데이터가 함께 실려 와요. 긴 문자를 여러 조각으로 나눠 보낸 뒤 다시 합치기 위한 정보, 문자 인코딩 방식, 화면에 바로 뜨는 플래시 문자(Class 0), 설정 정보를 밀어 넣는 WAP Push 같은 것들이요. 받는 쪽은 이걸 전부 파싱(해석)해야 하는데, 개발자가 예상하지 못한 값이 들어오면 파서가 그대로 죽어버려요. 우편함에 이상한 모양의 편지를 넣었더니 우편함 자체가 고장 나는 상황이라고 보면 돼요.
게다가 문자 처리는 앱 하나에서 끝나지 않아요. 통신 칩(모뎀, 베이스밴드)부터 안드로이드의 전화 기능 프레임워크, 메시지 앱까지 여러 계층을 거쳐요. 문제가 어느 계층에 있느냐에 따라 패치를 누가 어떻게 배포해야 하는지도 달라져요.
제로클릭이 특히 무서운 이유
보안 교육은 대부분 “수상한 링크 누르지 마세요”에 맞춰져 있죠. 제로클릭은 이 방어선을 아예 건너뛰어요. 사용자가 아무리 조심해도 소용이 없거든요.
과거 사례를 보면 얼마나 위험한지 알 수 있어요. 2021년에 알려진 NSO 그룹의 FORCEDENTRY는 iMessage로 받은 조작 파일 하나로 아이폰을 장악했어요. 2023년에는 구글 Project Zero가 삼성 엑시노스 모뎀에서 전화번호만으로 원격 코드 실행이 가능한 취약점들을 공개했고요. 이번 건은 기기 장악이 아니라 DoS라서 심각도는 다르지만, “받기만 해도 공격이 성립한다”는 구조는 같아요.
DoS라고 가볍게 볼 일도 아니에요. 지금 폰에는 은행 OTP, 본인인증, 업무 메신저, 긴급 연락까지 다 걸려 있잖아요. 누군가 특정인의 폰을 원하는 순간에 먹통으로 만들 수 있다면, 인증을 방해하거나 중요한 순간에 연락을 끊는 데 악용될 수 있어요.
한국 개발자에게 주는 시사점
한국은 문자 기반 서비스가 유독 많은 나라예요. 본인인증, 카드 승인, 택배 알림까지 전부 문자로 오죠. 그래서 이번 이슈에서 개발자가 챙길 교훈도 꽤 많아요.
첫째, 외부 입력을 해석하는 코드는 언제나 공격 표면이에요. 메시지 포맷, 파일 포맷, 네트워크 패킷을 다루는 코드를 짠다면 퍼징(fuzzing)을 꼭 고려해 보세요. 무작위로 변형한 입력을 대량으로 넣어서 크래시를 찾는 테스트예요.
둘째, SMS 하나에만 기대는 인증 구조를 점검해 보세요. 문자가 안 오거나 기기가 먹통일 때 사용자가 서비스에 들어올 다른 길이 있나요?
셋째, 보안 패치 수준을 확인하는 습관을 들이세요. 안드로이드 설정의 휴대전화 정보 메뉴에서 ‘보안 패치 수준’ 날짜를 볼 수 있어요. 구글이 매달 보안 패치를 내도 제조사와 통신사를 거치면서 시간이 걸리고, 오래된 기기는 아예 업데이트가 끊기기도 하거든요.
마무리
한 줄로 정리하면 제로클릭이 무서운 이유는 사용자가 아무리 조심해도 의미가 없다는 데 있다는 거예요. 결국 방어는 입력을 처리하는 코드를 짜는 개발자들의 몫이에요.
여러분이 만드는 서비스는 SMS 인증이 실패했을 때 어떤 대안을 갖고 있나요? 그리고 이런 취약점을 별도 사이트까지 만들어서 공개하는 방식은 어떻게 보세요?
🔗 출처: Hacker News