미 국가안보국 NSA가 안드로이드 단말을 위한 앱 마켓인 구글플레이(Google Play)와 삼성전자가 운영하는 갤럭시앱스(Galaxy Apps)를 해킹, 스마트폰 데이터를 수집하는 스파이웨어를 비밀리에 뿌릴 계획을 세웠던 것으로 밝혀졌다.
지난 2013년 6월 NSA 직원으로 정보 수집 활동에 참여했던 에드워드 스노든이 NSA의 개인 정보 수집 실태를 폭로했다. NSA가 대기업 서버에 있는 개인 정보를 허가 없이 참조할 수 있는 시스템인 프리즘(Prism)을 운영하고 있다는 것. 마찬가지로 영국 첩보 기관인 GCHQ 역시 자체 감청 행위를 하는 등 정부가 진행 중인 첩보 활동 실태가 밝혀진 것이다.
그런데 이 때 공개된 극비 문서 일부에서 NSA가 스마트폰 통신 감시 프로젝트를 계획하고 있었다는 사실을 발견한 것이다. NSA의 스마트폰 통신 감시 프로젝트는 정보 수집 활동 관련 협정인 5개의 눈(Five Eyes)을 맺은 미국과 캐나다, 영국, 뉴질랜드, 호주 등에 의해 지난 2011년 11월부터 2012년 2월까지 실시됐다. 프로젝트는 5개국 공동으로 NTAT(Network Tradecraft Advancement Team)라는 팀을 결성, 스마트폰 모니터링을 위한 새로운 기술 개발에 착수하는 것이다.
이 프로젝트는 NSA의 엑스키스코어(XKeyscore)라는 데이터 검색 시스템을 이용해 스마트폰 통신 흐름을 파악하고 해킹, 구글플레이나 갤럭시앱스 같은 앱 장터 서버에 액세스한 스마트폰을 추적하는 걸 목표로 하고 있었다.
또 시험 계획 일부에는 목표로 한 스마트폰에서 모든 정보를 비밀리에 빼내기 위한 방법을 개발하는 이리턴트 혼(Irritant Horn) 프로젝트도 포함되어 있다. 앱 장터에 접속한 스마트폰에 억지로 설치한 뒤 사용자 몰래 단말기에서 데이터를 외부로 보내는 스파이웨어다. 앱 장터 해킹과 단말기에서 개인 정보를 수집해 외부로 전송하는 스파이웨어를 결합해 대상 스마트폰에서 개인 정보를 수집하려는 게 프로젝트의 목적이라는 것이다.
이 계획을 수립한 건 2011∼2012년 사이다. 또 NSA가 이 계획을 떠올린 건 2010년 12월 튀니지가 도화선이 되어 중동과 북아프리카에 퍼진 아랍의 봄 같은 민중 운동에 대한 우려 때문이다. 극비 문서 안에는 불순분자를 감시하기 위한 시스템으로 이리턴트 혼 개발이 시작됐다고 설명되어 있다.
또 당시 NSA가 노렸던 게 세네갈과 수단, 콩고 등 아프리카 국가 정보였다는 점도 밝혀졌다. 하지만 앱 장터 서버가 해킹 대상이 된 국가에는 프랑스와 쿠바, 모로코, 스위스, 바하마, 네덜란드, 러시아 등이 포함되어 있다.
NTAT 팀은 아시아, 그 중에서도 중국과 인도에서 자주 쓰이는 모바일 브라우저 앱인 UC 브라우저(UC Browser)에 개인 정보 보호 관련 취약점이 존재하는 걸 밝혀냈다. 이 브라우저는 미국이나 유럽 등에선 유명하지 않지만 아시아를 중심으로 5억 명에 달하는 사용자를 확보하고 있다. 극비 문서에선 사용자 개인 정보가 다수 유출될 수 있는 등 첩보기관에겐 고마운 존재였다고 나와 있다.
토론토대학 연구기관인 시티즌랩(Citizen Lab)은 UC브라우저 영어와 중국어 버전은 보안이나 개인 정보 보호 측면에서 모두 큰 문제가 있었다는 자세한 보고서를 공개하고 있다. 시티즌랩에 따르면 앱에서 사용자 검색 기록과 SIM 카드 번호, 단말 ID 등이 유출되고 있는 것. 시티즌랩이 보고서를 공개한 뒤 UC브라우저는 앱 업데이트를 실시해 문제점을 수정했다고 한다.
시티즌랩 측은 UC브라우저의 취약점이 수백만 사용자에게 개인 정보 유출 위험에 노출될 뿐 아니라 해커가 개인 정보를 도용하기 위한 기술을 개발하는 데에도 도움이 됐을 가능성이 있다고 보고 있다.
에드워드 스노든이 기밀 정보를 폭로하면서 5개의 눈 협정을 맺은 5개국이 스파이웨어를 이용해 아이폰이나 안드로이드 단말에서 이메일과 인터넷 기록, 전화 내용과 동영상, 사진 등을 도용하고 있다는 건 밝혀졌지만 그동안 정작 어떤 방법을 이용했는지 여부는 알지 못했다. 하지만 이번 보도에 따라 이리턴트 혼 개발이나 UC브라우저 취약점을 이용했다는 사실이 밝혀져 감청 기술과 관계가 있다는 걸 보여주고 있다.
전자신문인터넷 테크홀릭팀
이상우기자 techholic@etnews.com