논란의 중심에 선 해킹프로그램 RCS는 무엇인가

[뉴스토마토 류석기자] 국가정보원이 이탈리아 공격연구 보안(Offensive Security)기업 '해킹팀(HackingTeam)'으로부터 스마트폰 해킹프로그램을 구입해 사용한 정황이 드러나면서, 해당 프로그램에 대한 궁금증이 커지고 있다. 이 프로그램의 정확한 기능과 사용 용도, 대상이 명확히 드러나지 않은 가운데, 국민들 사이에서는 자신의 스마트폰도 해킹 대상이 됐을 수도 있다는 불안감도 나오고 있다.

 

이번 국정원이 구입한 해킹프로그램은 PC나 스마트폰을 원격으로 제어할 수 있는 RCS(Remote Control System)다. 보안전문가들에 따르면 본래 RCS는 스마트폰 해킹을 통한 정보 유출보다는 PC나 스마트폰이 고장났을 때 전문가가 원격으로 문제점을 진단하고, 해결해주는 데 주로 사용된다. RCS를 통해 스마트폰 정보를 유출시키는 것은 본래 의도와 다르게 공격자들이 악용하는 사례라는 설명이다.

 

◇(사진=이탈리아 해킹팀 소개 동영상 화면 갈무리)

 

◇"RCS가 설치되면, 모든 정보 빼내갈 수 있어"

 

논란이 된 이탈리아 해킹팀의 RCS는 강제로 스마트폰이나 PC에 설치되게 하는 '스파이웨어'의 일종이다. RCS가 스마트폰에 설치된다면, 공격자는 스마트폰 내 모든 정보를 빼내갈 수 있고, 실시간 모니터링도 가능하다. 문자메시지 내용은 물론 음성통화 내용, 카카오톡 메시지, 금융 정보 등 모든 정보가 빠져나간다고 보면 된다. RCS가 심어진 스마트폰에서는 공격자에게 스마트폰 주인이 접근할 수 있는 만큼의 정보 접근 권한이 주어지기 때문이다.

 

따라서, 일반적으로 카카오톡보다 보안성이 강한 모바일 메신저라고 인식되고 있는 텔레그램을 쓴다고 해서 달라지는 것은 없다. 공격자가 서버를 공격해 서버의 정보를 빼내가는 것이 아니라, 실제 엔드포인트(Endpoint) 단말기에 직접 접근해 정보를 가져가는 것이기 때문이다.

 

또 스마트폰 내부에 저장돼 있는 공인인증서를 유출하는 것은 물론 암호화 돼 저장된 금융정보도 얼마든지 빼내갈 수 있다. RCS가 설치된 후 스마트폰을 통해 공인인증서 비밀번호를 입력하거나, 암호 패턴을 입력하게 된다면, 실시간 모니터링 기능을 통해 탈취가 가능한 것이다. 또 암호화된 비밀번호의 경우에도, 비밀번호를 입력하는 찰나에 키 값 탈취가 가능한 키로깅(keylogging) 기능이 RCS에 탑재돼 있다면, 손쉽게 유출 가능하다.

 

한 국내 공격연구 보안기업 대표는 "일반적으로 해커가 컴퓨터에서 해킹을 하듯이 RCS를 이용해 스마트폰 화면을 원격으로 본다거나, 카메라나 음성녹음, 금융정보 등도 마음대로 저장을 해서 외부로 전송할 수 있다"고 설명했다.

 

◇안드로이드 뿐 아니라 탈옥된 아이폰도 해킹 가능

 

RCS는 주로 스마트폰 운영체제(OS)의 취약점을 공격해 자동으로 설치된다. 악성코드가 담긴 이메일을 열어보게 한 후 스마트폰을 무력화시키거나, 문자메시지를 보내 악성URL을 열어보게 해 RCS를 강제로 설치시킨다.

 

스마트폰이 악성코드 감염으로 무력화돼야 RCS를 설치할 수 있기 때문에, 해당 스마트폰 기기나 OS가 갖고 있는 취약점 분석이 선행돼야 한다. 정보공개 전문 사이트 '위키리크스' 홈페이지에 공개된 자료를 보면, 국정원 직원으로 추정되는 자와 이탈리아 해킹팀이 각각의 안드로이드 버전에 따른 해킹 가능 여부에 대해 이메일을 주고 받은 내용이 나온다.

 

그럼, 아이폰의 운영체제인 iOS에서도 RCS가 정상 작동될까. 답은 '어렵지만 할 수는 있다'이다. 보안전문가들에 따르면 아이폰의 운영체제인 iOS의 해킹은 안드로이드 해킹보다 더욱 난이도가 높은 과정을 거쳐야한다. 한 보안전문가는 "안드로이드는 코드가 공개된 OS이기 때문에 쉽게 취약점을 찾아내 공격을 할 수 있지만, iOS는 코드가 공개돼 있지 않기 때문에 취약점을 찾는 것에서 어려운 점이 있다"고 말했다. 위키리크스에 공개된 이메일에 따르면, 현재 이탈리아 해킹팀에서도 아이폰에 설치할 수 있는 RCS를 개발 중이다.

 

단, 이미 탈옥된(루팅) 아이폰일 경우에는 iOS에서도 손쉽게 RCS를 설치하고, 원격 제어가 가능하다. 아이폰을 탈옥하는 과정은 iOS의 취약점을 찾아내 보안을 무력화시키는 작업과 다르지 않기 때문이다. 권석철 큐브피아 대표는 "아이폰이 탈옥돼 있다면, iOS 내부로 들어갈 수 있는 모든 문이 열려있는 거나 마찬가지"라고 설명했다.

 

◇왜 국정원은 이탈리아에서 RCS를 구입했나

 

보안업계에 따르면 이탈리아 해킹팀의 RCS는 국내 공격연구 보안업체의 기술력으로도 충분히 만들 수 있다. 때문에, 국정원이 국내 업체를 두고, 이탈리아 해킹팀에서 RCS를 구입한 이유에 대해 해석이 분분하다.

 

실력있는 해킹 기술자들이 이탈리아 업체에 많이 있기 때문이라는 의견과 비밀 유지가 중요한 국정원 업무 특성상 국내보다는 해외 업체를 선택하게 됐을 것이라는 의견 등이 나온다. 

또 일각에서는 이탈리아 해킹팀의 경우 RCS에 수시로 부가적인 해킹 기능을 빼고 넣는 것이 가능할 정도로 '맞춤 주문식'  제작을 할 수 있어 국정원의 선택을 받았을 것이라고 주장한다. 위키리크스 자료에 따르면 이탈리아 해킹팀은 국정원의 요구에 따라, 특정 기기나 OS를 뚫을 수 있는 기능들을 제공했다. 자료에는 특정 스마트폰의 보안 시스템을 무력화 시킬 수 있는 RCS 개발을 요청하거나, 국내 보안업체의 백신을 우회할 수 있도록 RCS를 업데이트 해달라고 요구한 내용이 나온다. 

 

아울러 법규상 국내 업체가 RCS 프로그램을 만들어, 정부기관에 제공하기는 현실적으로 어려웠을 것이라는 해석도 설득력을 얻고 있다. 김태봉 KTB솔루션 대표는 "국내 보안업체도 RCS를 충분히 만들 수 있지만, 국내 법규상 드러내 놓고 만들지 못하는 측면이 있기 때문에, 국정원이 법적으로 안전하게 이탈리아 업체를 택하게 됐을 것으로 추측한다"고 말했다.

 

류석 기자 [e-mail]