▲이탈리아 ‘해킹 팀’의 해킹 툴 RCS 광고 동영상(사진: 유튜브 캡처)

지난 6일 이탈리아의 스파이웨어 개발사 ‘해킹 팀(Hacking Team)’이 해킹돼 내부 자료 약 500GB 분량이 위키리크스 등을 통해 공개됐고, 이 회사의 해킹 툴을 구입한 고객 명단에 한국의 국가정보원이 포함됐다는 사실이 확인됐다.

이후 공개된 자료를 분석한 국내외 여러 매체들에 의해 지난 2012년부터 국정원이 이 회사의 해킹 툴을 사용해 국내에서 불법 사찰을 해온 정황들이 드러났다.

현재까지 밝혀진 사실은 국정원이 ‘5163부대’라는 이름으로 해킹 팀과 거래했고, 중간 브로커로는 ‘나나테크’라는 국내 IT기업이 관여했다는 점, 해킹 팀의 ‘RCS(Remote Control System)’로 알려진 해킹 툴이 윈도와 맥, 리눅스 등의 운영체제를 사용하는 PC는 물론 안드로이드, iOS, 블랙베리, 심비안, 윈도 폰 등 대부분의 스마트폰을 해킹할 수 있다는 점, 국정원은 삼성전자의 갤럭시 시리즈가 새로 발매될 때마다 이에 대한 해킹 방법을 문의했다는 점, 국정원이 실제로 네이버 블로그로 위장한 페이지나 한글 파일 등에 악성 코드를 심어 해킹을 시도했다는 점 등이다.

▲‘해킹 팀’이 해킹 가능하다고 주장한 모바일 운영체제들(사진: 해킹 팀)

이렇게 국정원의 화려한(?) 활약상이 공개되면서, 해킹을 피할 수 있는 가장 손쉬운 방법으로 ‘아이폰’이 주목받게 됐다. 왜냐하면 안드로이드는 소스 코드가 공개된 운영체제라 보안 허점이 많을 수 밖에 없지만, 아이폰의 iOS는 애플만 소스 코드를 들여다볼 수 있는 폐쇄형 운영체제라 상대적으로 보안이 강력하기 때문이다.

특히 아이폰의 iOS는 ‘샌드박스(SandBox)’ 구조를 채택, 특정 앱이 다른 앱의 데이터나 시스템 영역을 건드릴 수 없게 되어 있다.

이 때문에 아이폰은 ‘탈옥(JailBreak)’를 하지 않는 이상은 해킹에 상대적으로 안전한 편이고, 실제 이번 사건에서도 국정원은 아이폰의 해킹에 대해서는 요구하지 않았다. 국정원과 해킹팀이 교환한 모든 이메일은 갤럭시 등 안드로이드 스마트폰을 대상으로 한 공격에 초점을 맞추고 있는 것으로 드러났다.

물론, 아이폰이 완벽한 보안 환경을 제공해주는 것은 아니다. 과거 iOS 3.x, 4x 등 초기 버전에서는 단지 특정 홈페이지에 접속하는 것만으로 사용자 모르게 ‘탈옥’이 이뤄지는 해킹 툴이 존재할 정도로 보안의 허점이 있었다.  하지만 현재 대다수의 아이폰은 iOS 8.x에서 작동되고 있고, 이번 이탈리아 해킹 팀도 iOS 7.x 이상 버전 아이폰에 대해서는 탈옥 상태라도 해킹이 불가능하다고 밝히고 있다. 따라서 대부분의 탈옥하지 않은 ‘순정 아이폰’은 상대적으로 안전하다는 것이 전문가들의 견해다.

물론, 해킹 팀이 아이폰에 대한 공격을 포기하지는 않았다. 공개된 자료에 따르면, 아이폰이 PC의 아이튠즈(iTunes)와 동기화될 때 아이폰에 대한 접근이 가능한 것으로 알려졌다. 이를 위해서는 사전에 변조된 아이튠즈를 해킹 타겟의 PC나 맥에 설치해야 한다.

이런 가능성 때문에 지난해 이탈리아 해킹팀 ‘갈릴레오’의 존재를 팟캐스트 ‘김어준의 파파이스’를 통해 공개한 딴지일보 김어준 총수의 경우 “나는 아이폰만 쓰고, 일체 PC에 연결하지 않는다”는 비법을 공개한 바 있다.

이렇다보니 트위터 등 SNS와 주요 커뮤니티에서는 “안그래도 카카오톡 대신 텔레그램 쓰던 야당 정치인, 시민단체 등은 이번 기회에 아이폰으로 바꾸는 게 좋다” “국정원이 아이폰 쓰라고 등 떠미네” “알고보니 국정원은 아이폰 홍보대사” “국정원 때문에 국내 아이폰 점유율이 점점 늘어날 듯” 등의 주장이 넘쳐나고 있다.

한 트위터리안은 “이제 우리 안드로이드폰 팔고 아이폰으로 갈아타자. 아이폰이 스마트폰업계 전체 영업이익의 92%를 독식하지만 아예 100% 만들어주자. 그래서 뚜껑 열린 삼성이 국정원에 항의하게 하자. 이것이 그나마 현실적인 대처방안이지 않을까 싶다”라는 트윗을 남기기도 했다.

IT 전문 블로거 TB는 “PC, 안드로이드보다 아이폰이 안전한 것은 사실”이라며 “애플의 최신 OS를 쓰는 순정폰은 안전하다”고 단언했다. 그는 탈옥폰에 대해서도 “사용자가 보안 전문가라면 순정폰보다 더 안전할 수도 있다. 잘 모르고 쓸 경우는 당연히 위험하다”고 덧붙였다.

(CNB=정의식 기자)