안드로이드 악성 앱 유포형 스미싱: 접근성 서비스 권한 악용 원리

스마트폰을 위협하는 새로운 보이스피싱의 진화

우리가 매일 손에 쥐고 사는 스마트폰은 이제 단순한 통신 기기를 넘어 자산 관리와 개인 정보의 중심지가 되었습니다. 하지만 이 편리함의 이면에 보안을 무력화하는 교묘한 공격 수단도 함께 진화하고 있습니다. 그중에서도 안드로이드 스마트폰의 특정 기능을 악용하는 스미싱 수법은 금융 피해로 직결되는 경우가 많아 각별한 주의가 필요합니다.

문자메시지로 전송된 인터넷 주소를 누르는 순간 스마트폰이 해커의 손에 넘어간다는 이야기는 이제 흔하게 들을 수 있습니다. 과거에는 가짜 은행 앱을 설치하게 유도하는 수준에 머물렀지만 최근의 공격들은 스마트폰의 깊은 곳까지 통제권을 빼앗아 갑니다. 이 과정에서 핵심적인 역할을 하는 것이 바로 안드로이드 운영체제의 접근성 서비스 권한입니다.

접근성 서비스란 무엇인가

접근성 서비스는 신체적 제약이 있는 사용자가 스마트폰을 더 쉽게 이용할 수 있도록 돕기 위해 안드로이드에 도입된 합법적인 기능입니다. 화면의 내용을 읽어주거나 터치 동작을 대신 수행하고 사용자가 입력하는 내용을 보조하는 등 운영체제 전반에 깊게 관여합니다.

이 기능은 시각이나 지체 장애가 있는 분들에게는 스마트폰의 문을 열어주는 고마운 도구입니다. 화면에 무엇이 표시되는지 인식하고 사용자의 조작 없이도 버튼을 누를 수 있어야 하므로 스마트폰의 모든 권한을 사실상 쥐고 있다고 볼 수 있습니다.

문제는 악의적인 공격자들이 이 선한 의도의 기능을 가로채어 스마트폰을 원격 조종하는 도구로 둔갑시킨다는 점입니다. 접근성 권한이 허용되면 악성 앱은 사용자의 눈에 보이지 않는 곳에서 스마트폰의 화면을 자유롭게 조작하고 정보를 수집할 수 있게 됩니다.

악성 앱이 접근성 권한을 획득하는 과정

공격자들은 택배 확인이나 모바일 청첩장 그리고 정부 지원금 신청 등을 사칭한 문자메시지를 무작위로 발송합니다. 여기에 포함된 인터넷 주소를 누르면 정상적인 앱으로 위장한 악성 프로그램 파일이 스마트폰에 다운로드됩니다.

파일을 설치한 후 앱을 실행하면 사용자를 속이기 위한 여러 단계의 화면이 나타납니다. 화면이 잘 보이지 않거나 설정을 완료하기 위해 접근성 권한을 켜야 한다는 그럴듯한 명분을 내세워 사용자가 직접 권한을 활성화하도록 유도합니다.

사용자가 이 속임수에 넘어가 접근성 권한을 허용하는 순간 스마트폰의 주도권은 사실상 공격자에게 넘어가게 됩니다. 사용자는 평소와 다름없이 스마트폰을 만지고 있다고 생각하지만 백그라운드에서는 해커가 원격으로 스마트폰을 조작하고 있는 상태가 됩니다.

스마트폰이 장악당했을 때 일어나는 일들

접근성 권한을 쥔 악성 앱은 인간이 스마트폰을 조작하는 속도보다 훨씬 빠르게 화면을 인식하고 명령을 실행합니다. 이로 인해 피해자가 인지하지 못하는 사이에 막대한 피해가 발생할 수 있습니다.

• 사용자 모르게 은행 앱을 실행하고 계좌에 있는 잔액을 다른 곳으로 송금합니다

• 스마트폰으로 걸려오는 금융기관이나 수사기관의 전화를 가로채어 가짜 상담원 연결로 유도합니다
• 화면에 입력되는 비밀번호나 인증번호를 실시간으로 가로채어 해커의 서버로 전송합니다
• 보안 앱의 실행을 강제로 종료하거나 설정을 변경하여 탐지를 회피합니다

이러한 특징 때문에 악성 앱에 접근성 권한을 허용하는 것은 집 현관문 열쇠를 통째로 모르는 이에게 건네주는 것과 다름없습니다. 원격에서 모든 금융 거래가 이루어지기 때문에 피해자는 자산이 빠져나가고 있다는 사실을 뒤늦게야 깨닫게 됩니다.

접근성 권한 악용을 막기 위한 실천 수칙

이러한 지능적인 공격으로부터 스마트폰과 자산을 지키기 위해서는 사전 예방과 철저한 보안 습관이 가장 중요합니다. 기술이 발전하는 만큼 우리의 방어 태세도 함께 높아져야 합니다.

• 출처가 불분명한 문자메시지에 포함된 인터넷 주소는 절대 누르지 않습니다
• 공식 앱스토어가 아닌 인터넷을 통해 직접 다운로드한 응용 프로그램은 설치하지 않습니다
• 스마트폰 설정에서 접근성 권한을 요구하는 알림이 나타날 경우 앱의 신뢰성을 철저히 검증합니다
• 백신 프로그램을 항상 최신 상태로 유지하고 주기적으로 스마트폰을 검사합니다
• 금융 거래 시 보안 카드의 전체 사진을 스마트폰에 저장해 두지 않습니다

흔히 갖는 오해와 진실

많은 사람들이 공식 앱스토어에서 다운로드한 앱은 완전히 안전하다고 믿는 경향이 있습니다. 구글이나 애플의 검증 과정을 거치기는 하지만 가끔 이를 우회하는 악성 앱이 발견되기도 하므로 다운로드 숫자가 많거나 평점이 높은지 확인하는 습관이 필요합니다.

또한 백신 앱만 설치해 두면 모든 악성 앱을 알아서 차단해 줄 것이라고 생각하는 것도 위험합니다. 접근성 권한 악용 스미싱은 사용자가 직접 권한을 허용하도록 유도하는 사회공학적 기법을 사용하기 때문에 백신만으로는 완벽한 차단이 어려울 수 있습니다.

비밀번호를 복잡하게 설정해 두었으니 안전하다고 안심하는 경우도 많습니다. 하지만 접근성 권한을 악용하는 앱은 사용자가 키보드를 누르는 순간의 화면을 그대로 읽어내기 때문에 복잡한 비밀번호라 할지라도 그대로 노출될 수 있습니다.

보안 전문가들이 강조하는 조언

정보보안 전문가들은 스마트폰의 보안을 유지하기 위해 가장 강력한 방어선은 사용자 본인의 경계심이라고 입을 모읍니다. 기술적인 장치들이 아무리 훌륭해도 사용자가 직접 권한을 허용해 버리면 무력화되기 때문입니다.

낯선 사람이나 기관으로부터 걸려온 전화나 문자에서 특정 앱의 설치를 요구하거나 접근성 설정을 바꾸라고 유도한다면 100퍼센트 사기로 의심해야 합니다. 특히 공공기관이나 은행은 절대 전화나 문자로 앱 설치나 권한 변경을 요구하지 않습니다.

만약 실수로 악성 앱을 설치했거나 접근성 권한을 허용했다는 의심이 든다면 즉시 스마트폰의 인터넷 연결을 차단해야 합니다. 비행기 모드를 켜거나 전원을 끄고 유선으로 전문가의 도움을 받아 초기화를 진행하는 것이 추가 피해를 막는 가장 빠른 길입니다.

자주 묻는 질문

문자메시지의 인터넷 주소를 누르기만 해도 스마트폰이 감염되나요

주소를 누르는 순간 바로 감염되는 경우도 있지만 대부분은 연결된 웹페이지에서 앱 파일을 추가로 다운로드하도록 유도하는 형태를 띱니다. 다만 운영체제의 취약점을 노린 제로클릭 공격의 가능성도 배제할 수 없으므로 모르는 주소는 아예 누르지 않는 것이 상책입니다.

이미 접근성 권한을 허용했는데 어떻게 확인하나요

스마트폰의 설정 메뉴에서 접근성 또는 접근성 서비스 항목으로 이동하면 현재 어떤 앱에 이 권한이 부여되어 있는지 확인할 수 있습니다. 출처가 불투명하거나 기억에 없는 앱이 권한을 가지고 있다면 즉시 해제해야 합니다.

접근성 권한을 끄면 스마트폰을 사용하는데 불편하지 않나요

시각 보조 도구나 화면 제어 앱 등 본인이 직접 설치하고 사용하는 정당한 유틸리티 앱이 아니라면 일반 사용자에게 접근성 권한은 평소에 꺼두어도 스마트폰 사용에 아무런 지장을 주지 않습니다.

악성 앱에 감염되었을 때 초기화 외에 다른 방법은 없나요

안전모드로 부팅하여 악성 앱을 직접 삭제하는 방법도 있으나 공격자가 기기의 관리자 권한까지 장악한 경우 악성 코드가 깊숙이 숨어있을 수 있습니다. 가장 확실하고 안전한 방법은 중요 데이터를 백업한 후 공장 초기화를 진행하는 것입니다.