추석 연휴 공항이나 터미널에서 흔히 볼 수 있는 무료 USB 충전기가 해커들의 새로운 표적이 되고 있다. 미국 교통안전청(TSA)과 FBI를 비롯한 해외 당국이 잇따라 경고에 나선 가운데, 국내 보안업계도 연휴 기간 각별한 주의를 당부했다. USB 충전기에 숨은 신종 해킹 ‘초이스 재킹’ 글로벌 사이버 보안 기업 노드VPN은 공용 충전기를 통한 스마트폰 해킹 위험에 대해 경고했다. 특히 기존의 ‘주스 재킹’에서 한 단계 진화한 ‘초이스 재킹’ 수법이 새로운 위협으로 떠올랐다. 10여년 전부터 위험성이 제기된 주스 재킹은 USB 충전단자를 통해 악성 프로그램을 파산상담실 심는 방식이었다. 대부분의 스마트폰이 USB 연결 시 데이터 전송 허용 여부를 묻기 때문에 어느 정도 막을 수 있었다. 하지만 초이스 재킹은 다르다. 사용자의 동의나 입력 없이 자동으로 데이터 전송 모드를 활성화하도록 조작하는 수법이다. 키 입력 주입, 입력 버퍼 오버플로우, 프로토콜 오용 등 다양한 공격 기법을 활용해 사진, 문서, 연락 취업정보센터 처 등 기기 내부 데이터를 단 0.133초 만에 유출할 수 있어 탐지가 거의 불가능하다. 연휴 기간 여행을 위해 여권이나 신분증 사본, 호텔 예약 정보, 항공사 마일리지 계정 등을 스마트폰에 저장하는 경우가 많다. 노드VPN과 여행용 eSIM 앱 세일리의 공동 조사에 따르면, 해커들이 여권 스캔본 등 여행 관련 데이터를 최대 수천 달러에 학자금대출신청 다크웹에서 거래하는 사례도 보고됐다. 황성호 노드VPN 한국 지사장은 “초이스 재킹은 단 하나의 속임수 메시지로도 해커가 사용자를 속여 데이터 전송을 허용하게 만들 수 있으며 개인 파일이나 민감한 정보를 노출시킬 수 있다”며 “공공 USB 포트는 절대 안전하다고 생각해서는 안 된다”고 강조했다.
미국 교통안전청(TSA)은 최근 페이스북을 통해 “공항에서는 휴대폰을 USB 포트에 직접 연결하지 마세요”라는 메시지를 게시했다. 미국 연방수사국(FBI)도 공식 엑스 계정에서 “공공장소에 비치된 공용 충전기를 가급적 이용하지 않는 편이 좋다”고 대출금리비교사이트 당부했다. 미국 연방통신위원회(FCC)는 2021년부터 주스 재킹을 유의하라고 경고해왔다. 보안업체 노턴은 “핫스팟을 통해 전송되는 데이터가 노출돼 네트워크 내 해커가 은행 정보나 로그인 정보 등을 가로챌 수 있다”며 공공 와이파이 사용도 조심해야 한다고 설명했다. 전문가가 제안하는 보안 수칙 이를 예방하기 위해서는 충전 시에는 공공 충전기 사용을 최소화하고 개인 충전기나 보조배터리를 사용하는 것이 안전하다. TSA 규격 전원 어댑터나 배터리 팩을 휴대하거나, 데이터 전송 기능이 차단된 전용 USB 어댑터를 사용하는 것도 방법이다. 충전 전용 모드를 활성화하는 것도 잊지 말아야 한다. 일상적인 보안 수칙으로는 휴대전화 운영체제와 앱을 최신 보안 패치 상태로 유지하고, 여행 전 데이터를 백업하며 ‘내 기기 찾기’ 기능을 활성화해두는 것이 좋다. 강력한 생체 인증을 설정하고, 가능하다면 최소한의 정보만 담은 ‘여행용 휴대전화’를 사용하는 것도 권장된다. 와이파이 사용 시에는 암호화되지 않은 무료 공용 와이파이 연결을 피해야 한다. 공공 와이파이를 사용하는 중에는 온라인 쇼핑이나 민감한 개인정보 입력을 절대 해서는 안 된다. 도난이 발생했다면 48시간 내에 신속하게 대응해야 한다. 우선 원격으로 기기를 잠그고 초기화한 뒤, 각종 계정 비밀번호를 즉시 변경해야 한다. 이어서 통신사에 연락해 서비스를 정지시키고, 경찰에 도난 신고를 접수하는 것이 필수다. 한국인터넷진흥원(KISA)도 최근 해외에서 공공 USB 충전단자와 무료 개방형 와이파이에 연결했을 때 개인정보 등이 누출될 수 있다며 연결을 피하라고 당부했다. 전문가들은 “해킹과 도난에 대한 인식과 대비가 첫 번째 방어선”이라며 “휴대전화 분실보다 해킹이 더 심각한 피해를 줄 수 있다”고 경고했다. 김유민 기자
> 커뮤니티 > Q&A
