이번 아이폰13 라인업 신제품 공개 행사에 등장하지 않았지만, 올해 상반기에 애플이 출시한 스마트 추적기인 에어태그(AirTag)가 많은 소비자의 사랑을 받았다. 모든 소지품의 위치를 순식간에 추적하여 분실물을 줄이는 데 도움을 준다는 장점 덕분이다.
그러나 일부 보안 전문가는 에어태그가 해킹될 보안 취약점을 발견하면서 사용자의 주의를 당부했다. 그리고, 최근에는 해외의 어느 한 사이버 보안 전문가가 에어태그 해킹이 발생하는 과정을 구체적으로 공개했다.
에어태그, 해킹 위험성 커
기즈모도, 슬래시기어, 톰스가이드 등 복수 외신은 보안 연구원인 바비 로치(Bobby Rauch)가 사이버 보안 전문 블로거 브라이언 크렙스(Brian Krebs)에게 연락해, 에어태그의 추적 시스템을 사용자의 기밀과 데이터 탈취에 악용할 수 있는 과정을 자세히 공개한 소식을 보도했다.
로치가 발견한 해킹 과정은 '분실 모드(Lost Mode)'를 설정하고, 사용자가 공공장소에서 소지품을 찾는 과정에서 발생한다. 에어태그가 부착된 소지품을 찾을 때, 에어태그는 애플의 '나의 찾기(Find My)' 앱을 통해 소지품 위치를 원격으로 추적한다. 이때, 에어태그와 연동된 아이폰이나 안드로이드 기기의 NFC 인식기로 사용자가 찾고자 하는 소지품에 부착된 에어태그를 스캔한다. 그와 동시에 에어태그와 관련된 모든 기기의 연락처 정보를 수집할 수 있다.
에어태그 사용자는 '나의 찾기' 앱에 접속하여, 연락처나 이메일 주소를 추가할 수 있다. 해커가 에어태그에 접근하면 관련 정보를 수집하는 것은 식은 죽 먹기가 된다. 사용자가 에어태그를 스캔하면, 자동으로 스마트폰에 에어태그 주인의 연락처 정보와 메시지를 볼 수 있는 고유 URL 접속 링크 안내가 전달되기 때문이다.
소지품 주인이 물건을 쉽게 찾도록 도움을 주기 위해 연락처, 이메일 주소 등을 등록하도록 설정한 것이지만, 사용자가 해킹에 취약하도록 만드는 요소이기도 하다. 에어태그 사용자가 기기 URL의 연락처 필드에 임의 코드를 입력하지 못하도록 비활성화할 기능이 없다는 점도 문제를 키운다. 로치는 에어태그에 임의 코드를 입력하면서 피싱, 개인 정보 탈취 목적으로 설계된 악성 웹사이트 접속 유도 공격에 악용될 수 있다고 경고했다.
에어태그 해킹 위험성, 애플의 대응과 해결 방법은?
한편, 크렙스는 로치의 설명을 듣고, 지난 6월, 애플에 에어태그의 해킹 위험성을 알렸으나 3개월이 지난 지금도 "문제 조사 중"이라고 답변하면서 문제를 외부에 알리지 말아달라는 요청을 받았다고 밝혔다. 이어, 애플이 여전히 해킹 위험성을 제대로 인정하지 않았다고 덧붙였다.
결국 로치는 애플의 대응이 너무 느려 블로그를 통해 에어태그가 해킹에 악용될 위험성을 직접 널리 알리기로 결심했다고 밝혔다.
그와 동시에 로치는 크렙스에게 설명한 바와 같이 에어태그의 해킹 위험성은 '찾기(Found)' 페이지의 입력 필드에서 특정 문자를 금지하기만 하면, 쉽게 해결할 수 있다는 점을 강조했다. 로치는 "에어태그의 보안 결함은 수정하기 매우 쉽다. 애플이 에어태그 설계 당시 해킹 위험성을 인지하지 못한 사실을 인정하기를 바란다"라고 말했다.
[저작권자ⓒ CWN(CHANGE WITH NEWS). 무단전재-재배포 금지]
