2021년부터 애플은 자사 기기 사용자에게 국가 배후 스파이웨어 공격 대상이 됐을 가능성을 알리는 알림을 보내고 있다. 처음엔 이메일과 아이메시지 정도였는데, 요즘은 잠금 화면에 바로 뜨는 푸시 알림으로도 받는다. 문제는 이걸 실제로 받아본 사람이 워낙 적다는 것. 막상 화면에 뜨면 뭘 눌러야 할지, 무시해도 되는 건지 다들 헷갈려 한다. 애플 위협 알림 시스템이 정확히 뭔지부터, 알림을 받았을 때 움직이는 순서, 알림 없이 감염 여부를 스스로 확인하는 방법까지 순서대로 정리했다.
애플 위협 알림이란 정확히 뭔가
애플의 위협 알림(Threat Notification)은 흔한 악성코드 경고나 스미싱 문자와는 결이 다르다. NSO 그룹의 페가수스처럼 정부 정보기관이나 정부 계약 업체가 만든 고가의 표적형 스파이웨어가 특정 계정을 노렸다는 신호를 애플이 자체 위협 인텔리전스로 포착했을 때만 보낸다. 어떤 탐지 기법을 썼는지, 배후가 어느 국가인지는 애플도 공개하지 않는다. 기법이 알려지는 순간 공격자가 바로 우회로를 찾아내기 때문이다. 알림은 아이폰 잠금 화면 푸시, 아이메시지, 등록된 이메일, 그리고 appleid.apple.com 로그인 시 뜨는 배너까지 여러 경로로 동시에 온다.
받을 확률이 높은 사람은 따로 있다
일반 사용자가 이 알림을 받을 일은 사실상 없다고 봐도 무방하다. 실제 발송 대상은 이런 쪽이다.
- 인권 활동가, 언론인, 반체제 인사
- 정치인과 외교관, 정부 고위 관계자
- 대기업 임원이나 국가 안보와 관련된 업무 종사자
- 분쟁 지역 취재 기자나 NGO 활동가
이런 직군이 아닌데 알림을 받았다면 순서를 바꿔서 생각해야 한다. 진짜 알림보다는 피싱을 먼저 의심하고, 진위부터 확인하는 게 맞다.
진짜 알림인지, 피싱인지 구별하는 법
애플 위협 알림은 비밀번호나 인증코드를 절대 요구하지 않는다. 링크를 눌러 뭔가 다운로드하라고도 하지 않는다. 알림을 받았다면 메시지 속 링크는 누르지 말고, 사파리를 직접 열어 appleid.apple.com에 접속해 로그인해보자. 진짜라면 계정 페이지 상단에 똑같은 경고 배너가 떠 있어야 한다. 배너는 없는데 문자나 메일로만 급하게 클릭을 재촉한다면, 그건 십중팔구 이 알림 시스템을 흉내 낸 피싱이다.
알림을 받았다면 이 순서로
- iOS를 최신 버전으로 즉시 업데이트한다. 스파이웨어 대부분은 패치 안 된 취약점을 파고든다.
- 설정에서 잠금 모드(Lockdown Mode)를 켠다. 자세한 내용은 아래에서.
- 애플 계정 2단계 인증과 복구 키를 다시 점검한다.
- Citizen Lab, Access Now 디지털 보안 헬프라인처럼 스파이웨어 포렌식 경험이 있는 단체에 연락한다.
- 위험도가 정말 높다면 기기를 초기화하고 새 기기로 이전하는 것도 방법 중 하나다.
잠금 모드, 어디까지 막아주나
잠금 모드는 설정 → 개인정보 보호 및 보안 → 잠금 모드에서 켠다. 켜는 순간 메시지 앱에서 링크 미리보기와 대부분의 첨부파일 형식이 막히고, 웹 브라우징에서는 복잡한 자바스크립트 기능 일부가 꺼진다. 기기가 잠긴 상태에서는 케이블을 통한 유선 데이터 연결도 차단된다. 페이스타임은 이전에 통화한 적 있는 상대에게서만 걸려온다. 솔직히 일상적으로 쓰기엔 불편한 점이 한둘이 아니다. 그래도 표적 공격 위험이 실제로 있는 직군이라면 감수할 가치는 충분한 트레이드오프다.
알림 없이도 감염 여부를 확인하려면
페가수스급 고급 스파이웨어는 배터리 급감이나 발열 같은 눈에 띄는 흔적을 거의 남기지 않는다. 그래도 확인해보고 싶다면 국제앰네스티가 만든 오픈소스 도구 MVT(Mobile Verification Toolkit)를 써볼 만하다. 아이폰을 컴퓨터에 연결해 백업 파일을 뽑아낸 뒤, 알려진 스파이웨어 지표(IOC)와 대조해 감염 흔적을 찾아주는 방식이다. 다만 커맨드라인 기반이라 진입장벽이 있고, 결과 해석에도 전문 지식이 필요하다. 혼자 판단하기 어렵다면 앞서 말한 디지털 보안 헬프라인에 파일을 넘기고 분석을 맡기는 편이 안전하다.
실제로 많이 묻는 질문들
Q. 안드로이드에서도 이 알림을 받을 수 있나?
구글도 비슷한 정부 배후 공격 경고 시스템을 운영한다. 지메일 계정에 경고 배너가 뜨는 방식인데, 발송 경로만 다를 뿐 목적은 똑같다.
Q. 알림 뜬 뒤 바로 초기화하면 증거가 사라지지 않나?
포렌식 분석이 필요한 상황이라면 초기화 전에 반드시 전체 백업부터 떠둬야 한다. 백업 안에 감염 흔적이 남아 있어야 나중에 MVT 같은 도구로 분석할 수 있다.
Q. 회사 지급 아이폰인데 알림이 왔다면?
개인 기기가 아니어도 절차는 똑같다. IT 보안팀에 즉시 알리고, 회사 MDM(모바일 기기 관리) 정책에 따라 원격 점검이나 격리 조치를 받는 게 우선이다.
출처: TechCrunch
테크가이드팀
Daily News Korea 테크가이드팀은 IT 기기 비교, 소프트웨어 추천, 트러블슈팅 가이드 등 실용적인 기술 콘텐츠를 제작합니다. 초보자도 쉽게 따라할 수 있는 단계별 가이드를 지향합니다.