무료문자 앱 심각한 보안취약점 발견...어떤 전화번호로도 위조

▲네이트온톡에서 발신자번호를 경찰번호인 ‘112’로 위조한 스크린샷. 발신자번호는 핸드폰번호뿐만 아니라 한글로도 변경할 수 있어 보이싱 피싱에 악용될 소지가 높아진다. 이러한 보안취약점을 발견한 익명의 화이트해커는 또한 그는 실제 해킹방법에 대해서는 쉽게 해킹이 가능한 만큼 해킹방법에 대해서는 비공개 요청을 했다. ＠보안뉴스.

[보안뉴스 김정완] 스마트폰 무료문자 애플리케이션 ‘네이트온톡’에 심각한 보안취약점이 있는 것으로 확인돼 사용자들의 각별한 주의는 물론 서비스 제공업체의 보안취약점에 대한 개선노력이 요구된다.

 

모바일 메신저 시장은 카카오톡이 2,000만명의 이용자를 보유해 이 시장에서 압도적인 1위를 차지하고 있고 포털사 다음커뮤니케이션의 ‘마이피플’이 지난 2월 음성통화 기능을 추가해 맹추격을 하고 있다.

특히 ‘마이피플’은 음성통화 기능을 추가한 뒤로 신규 이용자가 매달 평균 200만명씩 증가할 정도로 음성통화 서비스가 시장 점유에 미치는 영향력이 적지 않은 것으로 평가되고 있으며 이에 SK커뮤니케이션즈(이하 ‘SK컴즈’)도 최근 무료 음성통화 서비스 등을 내세운 ‘네이트온톡’을 선보이며 모바일 메신저 시장 공략을 선언했다.

 

이러한 모바일 메신저는 핸드폰번호를 인증하고 해당 아이디로 로그인을 해 메인화면에 들어가고 다른 사람과 1:1 채팅을 하거나 무료통화를 할 수 있는 앱이다. 이 때 네이트온톡 무료통화 기능에서 전화번호를 위조해 친구인 척할 수 있는 문제점이 발생될 수 있다는 것이 발견된 것.

이에 익명을 요구하며 이를 발견한 화이트해커는 “현재 일반인과 개발자의 인식은 보안통신(HTTPS)을 사용하면 해킹으로부터 안전하다고 판단하고 있는데 HTTPS를 사용한다고 해서 취약점이 완전히 제거되는 것이 아니고 잠시 감춰지는 것일 뿐”이라며 “네이트온톡 같은 경우 HTTPS를 사용하고 있지만 무료통화 부분에서 VoIP 프로토콜을 사용할 때 문제가 발생한 것을 확인했다”고 밝혔다.

▲‘네이트온톡’ 해킹을 통해 VoIP 패킷의 발신자를 위조해 실존유저로 무료통화에 성공한 동영상의 스크릿샷. ＠보안뉴스.

특히 이러한 모바일 메신저의 보안취약점이 심각한 이유에 대해 그는 “HTTPS를 사용하기 때문에 해킹으로부터 안전하다와 같은 식의 마인드가 만연한데 이번 네이트온톡의 취약점 발견을 시작으로 앞으로 무수한 앱들의 취약점이 밝혀질 것이기 때문”이라고 설명했다.

아울러 그는 “네이트온톡은 일반 문자메시지처럼 회신번호를 바꿔서 문자를 보내는 기능이 없기 때문에 상대방으로부터 오는 무료통화 시 자신이 아는 상대방일 것이라고 믿기 매우 쉽다”고 말하고 “따라서 현재 발견된 취약점들을 이용해 사람들이 믿고 있는 스마트폰 앱에서 피싱을 한다면 해커가 원하는 것을 쉽게 얻을 수 있을 것”이라고 밝혔다.

즉 그는 기존 메신저 피싱의 성공 사례가 적어지고 있는데 반해 네이트온톡과 같은 모바일 메신저는 스팸의 차원보다 훨씬 진보한 신종 스마트폰 애플리케이션 피싱의 시대를 도래시킬 수 있다는 점에서 이번 보안 취약점은 심각할 수 있다고 지적한 것이다.

이와 관련 네이트온톡의 SK커뮤니케이션즈 측은 익명의 화이트해커로부터 받은 해킹 시연 동영상과 위조된 VoIP 패킷 캡쳐파일 및 위조된 네이트온톡 스크린샷을 받아 개발팀 쪽에 문의해 본 결과 “문제가 없다. 그럴 리가 없다”고 답했다.

한편 이와 관련 이번 보안취약점을 발견한 해커는 “실제 해킹 시연 동영상과 패킷 캡쳐파일을 직접 봤음에도 불구하고 문제가 없다고 말하는 것은 이해가 가질 않는다”고 말하면서도 “네이트온톡은 SIP패킷 전송 부분에서 발신자가 제대로된 건지에 대해 검증을 하고 안드로이드 디컴파일(Decompile)이 되기 때문에 디컴파일이 되더라도 알아 볼 수 없도록 난독화 알고리즘을 적용한다면 문제를 해결할 수 있을 것”이라고 조언했다.

[김정완 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>