Net Alert
Alert!
없는 편이 더 안전해!: 한국의 청소년 스마트폰 감시 앱
청소년 스마트폰 감시 앱
2015 년 4월, 청소년의 스마트폰에 유해매체물 차단수단 설치를 의무화하는 법이 한국에서 시행되었습니다. 시티즌랩, 큐어53, 오픈넷의 보안감사에 의해 정부가 지원하고 가장 널리 사용되는 앱인 ’스마트보안관’에 심각한 보안 및 프라이버시 문제가 있음이 밝혀졌습니다.
본 Net Alert는 ‘사이버안심존’과 ‘스마트안심드림’이라는 다른 두 개의 청소년 감시 앱에서 심각한 보안 및 개인정보 보호 취약점을 발견한 보안감사에 관한 보고입니다. 이러한 결과는 청소년 보호를 위한 앱들이 사실은 청소년을 위험에 노출시키고 있음을 보여줍니다.
사이버안심존
사이버안심존은 부모가 원격으로 콘텐츠를 차단하고 자녀가 사용하는 모바일 애플리케이션을 모니터링하고 관리할 수 있게 합니다. 이 앱은 스마트보안관을 대체하여 출시되었습니다. 하지만 이번 분석에 의하면 사이버안심존은 실제로는 이름만 바꾼 스마트보안관이며, 이전의 보안감사에서 밝혀졌던 동일한 보안 문제를 갖고 있음이 드러났습니다.
스마트안심드림
스마트안심드림은 부모가 자녀의 메신저와 인터넷 검색 기록을 모니터링해서 왕따의 징후를 발견하고 자녀의 고민을 알 수 있게 해줍니다. 메시지 또는 검색키워드가 데이터베이스와 일치하면 부모에게 알림이 전송됩니다. 스마트안심드림의 분석에서 저장된 메시지 및 검색 기록에 대한 무단 액세스를 허용하는 심각한 보안 취약점이 발견되었습니다.
보안 및 개인정보 보호 문제각 문제에 대한 설명을 보려면 클릭하세요 |
|
|
|---|---|---|
중간자(Man-in-the-Middle) 공격사이버안심존 및 스마트안심드림은 중간자 공격에 취약합니다. ."중간자" 공격은 이를테면 다음과 같습니다. 내가 친구에게 쪽지를 전달하려고 하는데, 근처에 있던 낯선 사람(중간자)이 내 손에서 쪽지를 빼앗아 읽어본 뒤 내 친구에게 전달하는 것입니다. 이렇게 중간자 공격에서 공격자는 정보의 발신지와 도착지 중간에서 데이터를 가로채 암호와 저장된 메시지 같은 민감한 정보를 수집할 수 있습니다. |
 |
|
민감한 정보 유출사이버안심존은 앱을 사용하는 부모의 휴대폰 번호, 디바이스 ID, 자녀의 생년월일 등 민감한 이용자 정보를 공격자가 수집할 수 있게 유출시켰습니다. 스마트안심드림 또한 암호, 저장된 메시지, 전화번호 등 이용자 정보를 유출시켰습니다. |
|
|
가짜 내용 삽입공격자가 사이버안심존을 설치한 자녀의 휴대폰 번호를 알고 있다면, 자녀가 실제로는 방문하지 않은 웹사이트를 방문한 것처럼 표시하거나 설치하지 않은 앱을 설치한 것처럼 앱 서버 기록을 조작할 수 있습니다. 공격자가 스마트안심드림을 설치한 자녀의 휴대폰 번호와 디바이스 ID를 알고 있다면, 가짜 메시지와 다른 가짜 정보를 서버에 전송할 수 있습니다. |
|
|
피싱 공격사이버안심존 웹사이트의 취약점은 공격자가 가짜 웹페이지를 만들어 이용자 이름과 암호를 탈취할 수 있게 합니다. |
|
|
모든 저장된 메시지의 수집스마트안심드림 API의 취약점은 공격자가 서비스에 저장된 모든 자녀 이용자의 문자 메시지와 검색 결과를 수집할 수 있게 합니다. |
|
한국 사람들은 감시 앱에 대해 어떻게 생각하나요?
오픈넷은 온라인 설문 조사를 통해 한국 사람들이 청소년 감시 앱에 대해 어떻게 생각하는지 물었습니다. 500 명 이상이 응답하고 견해를 공유했습니다.1
응답자들이 청소년 스마트폰 이용과 관련하여 가장 우려한 것은 유해정보가 아니라 스마트폰 중독 현상이었습니다(31.4%). 유해정보(18.3%)는 세 번째에 그쳤습니다.
또한 청소년의 스마트폰에 감시 앱을 강제로 설치하는 방식에 대해 물어본 결과, 응답자의 절대 다수가 부정적이었습니다. 강제 설치에 찬성하는 응답자는 12.6%에 지나지 않았으며, 나머지는 설치 자체를 반대하거나(38.7%), 청소년의 자율에 맡겨야 한다(31.9%) 또는 부모의 선택에 맡겨야 한다(16.8%) 등으로 대답했습니다.
[1] 설문 조사 응답자들은 무작위 또는 대표 표본이 아닙니다. 온라인 설문 조사는 오픈넷 홈페이지, 트위터, 페이스북을 통해 배포되었습니다. 응답자들은 부모인지 여부를 스스로 밝혔습니다.
우리는 무엇을 할 수 있을까요?
무엇을 할 수 있는지 각 그룹을 클릭해보세요.
부모
정책 담당자
개발자
부모는 무엇을 할 수 있을까요?
안전하지 못한 앱은 사용하지 마세요
보안 및 개인정보 보호 문제가 있어 안전하지 못한 앱을 사용해서는 안 됩니다. 분석 대상인 청소년 감시 앱들은 보안을 염두에 두고 만들어진 것이 아닙니다. 보안이 취약한 앱을 사용할 경우 혜택보다 위험이 더 큽니다.
입법자들에게 알려주세요
국회의원, 공무원들에게 앱들이 제 역할을 하지 못한다고 알려주세요. 이 앱들은 보안 기준을 지키지 않으며 오히려 자녀들을 위험에 노출시키고 있습니다. 청소년 감시 앱을 사용할 생각이 없다면 입법자들에게 앱 설치는 자발적이어야 하며 강제적이어서는 안 된다고 말해주세요.
정책 담당자는 무엇을 할 수 있을까요?
청소년 감시 앱 설치를 강제하지 마세요
오픈넷은 차단수단 설치를 강제하는 법이 1) 청소년의 프라이버시를 침해하고, 2) 부모의 교육권을 침해하고, 3) 정보 유출 위험을 높이며, 4) 이통사와 부모에게 과도한 부담이라고 봅니다.
2016년 12월 방송통신위원회는 차단수단 설치에 부모의 선택권을 인정하는 전기통신사업법 개정안을 국회에 제출했습니다. 개정안은 부모에게 감시 앱을 거부할 수 있는 권리를 규정하고 있어 바람직하지만, 그것만으로는 부족합니다. 정부는 스마트폰감시법을 완전히 폐지해야 합니다.
앱이 안전한지 확인하세요
아이들을 보호하기 위한 앱은 가장 높은 개인정보 보호 및 보안 수준을 갖추어야 합니다. 정부는 공공 사용이 의무화된 앱들의 안전성을 확인하기 위해 독립적인 보안감사를 실시할 책무가 있습니다. 독립적인 감사의 결과는 공개되어야 하며, 보안 및 개인정보 보호 기준을 충족하지 못하는 모든 앱은 시장에 출시되어서는 안됩니다.
개발자는 무엇을 할 수 있을까요?
보안 및 개인정보 보호를 최우선으로 하세요
개발자는 사용자에게 자신의 정보를 관리할 권한을 부여하는 개인정보 보호 및 보안 기능을 디폴트로 제공해야 합니다. 앱이 핵심 기능을 수행하는 데 필요한 최소한으로 모바일 접근 권한과 정보 수집을 제한해야 합니다. 앱은 데이터의 저장 및 전송 암호화를 포함한 모범 사례에 따라 설계되어야 합니다.
취약점 신고를 권장하세요
독립적인 보안 연구자는 앱의 보안 취약점을 신고하여 개발자에게 도움이 될 수 있습니다. 기업은 연구자를 위한 명확한 정책과 커뮤니케이션 채널을 갖추고 신고를 장려하기 위해 연구자에게 보상함으로써 취약점 신고의 장벽을 낮출 수 있습니다.
이용자에게 투명하게 공개하세요
개발자는 이용자들이 안전하고 현명한 선택을 내릴 수 있도록 보안 및 개인정보 보호에 있어 투명해야 합니다. 개발자는 어떤 정보가 어떤 목적으로 수집되고, 어디에 저장되고, 어떻게 보호되는지를 설명하는 이해하기 쉬운 개인정보 보호방침을 공개해야 합니다. 긴급 보안 업데이트를 공개하거나 개인정보 유출이 발생하면 개발자는 즉시 이용자에게 통지해야 합니다.
기술 보고서
시티즌랩, 큐어53 및 오픈넷은 한국의 청소년 감시 앱에 대한 일련의 기술 감사 보고서를 공동으로 작업했습니다.
Alert your friends!
