흔히 아이폰은 안드로이드폰에 비해 보안성이 뛰어나 해커의 침투를 막아낼 수 있다는 신화적 믿음이 존재해왔다. 그러나 당신의 아이폰에 6자리의 비밀번호와 터치 ID가 설정돼 있더라도 해커를 막을 수 없다는 사실을 인식해야 한다.

사건의 발단

3일전 한 고객은 그의 아이폰 6s가 도난 당했다. 그는 아이폰을 도난당한 얼마 후 범인이 그의 일부 온라인서비스 비밀번호와 Apple ID을 재설정 했을 뿐만 아니라 아이폰 사용자인척 은행 측에 연락을 취해 사용자의 은행 계좌와 비밀번호를 바꾸려는 시도를 했다.

그러나 다행히도 범인은 스마트폰 사용자의 계좌에서 돈을 뺄 수 없었다. 그렇다면 도대체 범인이 비밀번호와 지문잠금장치가 있는 아이폰에서 Apple ID의 비밀번호 를 어떻게 재설정할 수 있었을까?

여러분에게 지금까지의 사건의 전말을 소개하기 위해 다음과 같이 정리했다:

첫째 이번 사건이 특정인물을 표적으로 한 사건인가? 즉, 범인이 사전에 인터넷 에서 스마트폰을 도난당한 고객의 정보를 획득한 후 그의 아이폰을 홈친 것인가?

이에 대한 가능성은 매우 낮다. 여러 상황을 종합한 결과 도난 당하기 전 아이폰 사용자에게 별다른 사건이 없었다.

둘째 그 전부터 핸드폰 사용자의 정보에 대한 자료나 온라인서비스계정이 이미 해킹 당한 것이 아닐까?

왜냐하면 해커한테 사용자의 이름 혹은 이메일 주소는 매우 유용한 데이터가 될 수 있기 때문이다. 조사결과 사용자에게 이런 일은 일어나지 않았다.

셋째 범인은 아이폰과 SIM카드의 비밀번호를 푸는데 얼마나 걸렸을까?

핸드폰을 분실한지 약 두 시간 후였다.

넷째 해당 아이폰의 비밀번호는 보안강도가 약한 비밀번호인가?

아니다. 여섯 자리로 되어있는 비밀번호는 그렇게 쉽게 맞출 수 있는 것이 아닐 뿐만 아니라 해당 비밀번호는 사용자의 자동차 번호판 그리고 그의 개인정보과도 아무런 관련이 없었다.

이번 사건의 특수성을 고려해 우리는 더 자세히 분석해보기로 했다. 이 아이폰의 암호는 어떻게 풀렸는지 알아보자!

사건 타임라인

사용자의 핸드폰은 10월 14일에 도난당했고 우리는 이 사건의 구체적인 정황에 대해 아래와 같이 나열했다.

a)14:00-핸드폰 도난 당함

b)16:03-사용자는 아이폰을 ‘분실모드’로 설정하고, 그리고 아이클라우드에서 아이폰에 있는 데이터를 초기화함.

c)16:28-해커는 사용자의 구글 메일 비밀번호를 재설정함.

d)16:37-사용자는 Apple ID비밀번호 재설정 링크를 포함한 메일을 받음.

e)16:38-사용자는 그의 Apple ID 비밀번호가 이미 재설정 되었다는 메일을 받음.

f)16:43-사용자는 아이클라우드가 해당 아이폰에 재설정되었다는 메일을 받음.

g)16:43-사용자는 아이클라우드가 아이폰에 있는 데이터를 초기화했다는 것을 알리는 메일을 받음.

위의 상황처럼 해커는 사용자의 구글 계정과 Apple 계정의 비밀번호를 재설정했다. 비밀번호가 없는 상황에서 아이폰의 암호를 푸는 것은 거의 불가능에 가까운데 해커는 도대체 어떻게 했을까?

이를 위해 우리는 사건의 전말에 대해 다시 정리했다.

1) 당신이 구글계정의 비밀번호를 수정하고 싶으면 먼저 사용자의 메일주소를 알아야 한다. 그렇다면 해커는 사용자의 메일주소를 어떻게 알아냈을까?

사용자의 아이폰폰이 잠금상태에 있다는 가정하에 아이폰 사용자의 메일주소를 노출 시키지 않을 것이다. 따라서 해커는 아이폰 화면에서 사용자의 구글 메일주소를 알아낼 리가 없을 것이다.

2) 기계의 IMEI일련번호를 통해 사용자의 Apple ID를 찾을 수 있을까?

우리는 온라인 검색을 통해 유료서비스를 발견했다. 이러한 서비스들은 IMEI 일련 번호로 Apple ID을 찾을 수 있다. 그러나 이 서비스들은 온라인 조작이 아닐 뿐만 아니라 보통 24~48시간이 걸려야 우리가 원하는 데이터를 얻을 수 있다. 하지만 해커는 두 시간 만에 사용자의 Apple ID를 찾아냈기 때문에 이는 상황에 맞지 않다.

3) 스마트폰 번호를 통해 사용자의 Gmail 계정을 찾을 수 있을까?

우리는 다시 검색을 했다. 그리고 구글이 사용자가 메일주소를 찾을 수 있도록 여러 방법을 제공하고 있다는 것을 발견했다. 예를 들면 계정과 연동되어 있는 핸드폰 번호 혹은 이름이 그것이다. 이러한 상황에서 해커는 손쉽게 사용자의 핸드폰 번호를 찾을 수 있고, 그리고 핸드폰 번호를 통해 사용자의 이름을 알아내는 것은 어려운 일이 아니다. 따라서 우리는 여기서부터 알아보기로 했다.

상황가정

사건의 전말을 알아보기 위해 사용자는 아이폰 6s 한 대를 새로 구입하고, 그리고 핸드폰의 설정을 도난당한 핸드폰와 같은 상태로 설정했다(구글 계정와 Apple계정 도 포함함.). 그런 다음 우리가 실험하도록 아이폰을 줬다. 이렇게 하면 우리는 사건 이 발생한 상황에서 비슷하게 실험을 진행할 수 있다.

스마트폰 번호를 찾기 위해 우리는 아이폰에 있는 SIM 카드를 꺼내 다른 핸드폰에 넣었다. 사건 발생할 때와 똑같이 SIM카드에는 PIN번호를 설정하지 않았다. 우리는 다른 스마트폰에서 사용자의 아이폰 번호를 손쉽게 찾을 수 있었다.

사용자의 핸드폰 번호를 찾은 후 우리는 검색엔진을 통해 사용자의 이름을 찾을 수 있을 줄 알았지만, 그러나 아무것도 찾을 수가 없었다.

그리고 우리는 아이폰 번호를 이용하여 Facebook에서 찾아보기로 했다. 만약 사용자의 Facebook 계정이 핸드폰와 연동되어 있다면 우리는 핸드폰 번호를 통해 해당 사용자를 찾을 수 있을 것이다. 그러나 이번에도 우리는 아무것도 찾을 수가 없었다.

 WhatsApp+화면잠금알림=성공

 나는 갑자기 어떤 생각이 떠올랐다. 그것은 만약 당신이 WhatsApp의 단체 채팅안에 속한 상태에서 낯선 사람이 보내온 메시지를 받게 되면, 그 메시지 위쪽에 사용자의 이름과 핸드폰 번호(예를 들면 9999-9999~Mike Arnold)가 표시될 것이다. 따라서 만약 우리가 잠금장치가 되어있는 아이폰으로 WhatsApp의 채팅방 에 메시지를 보낼 수 있다면, 우리는 사용자의 이름을 찾을 수 있을 것이다.

 먼저, 우리는 이 아이폰에 WhatsApp의 메시지가 잠금화면에 표시되게 해야한다. 그리고 우리는 아이폰에 메시지를 보냈다. 이 메시지는 우리가 예상했던 것처럼 잠금 화면에 떴다. 그런 다음 우리는 3D touch기능으로 잠금화면에서 메시지에 답장할 수 있다.

 준비가 끝난 후 우리는 채팅방을 만들어 이 사용자의 핸드폰 번호에 연동한 WhatsApp계정을 채팅방로 초대한다. 채팅방으로 초대하는 것은 인증이 필요하지 않기 때문에 채팅방에 들어온 후 아이폰의 잠금화면에서 사용자에게 새로운 채팅방에 초대되었다는 것을 알리는 메시지가 올 것이다. 몰론 채팅방안에 테스트에 참가한 다른 사용자들이 있다.

 그런 다음 우리는 채팅방으로 메시지를 보냈는데 이 메시지도 아이폰의 잠금화면 에 성공적으로 표시되었다. 그리고 우리는 3D touch기능으로 이 메시지에 대한 답장을 보냈다. 이렇게 해서 우리는 사용자의 이름을 성공적으로 찾을 수 있었다.

 그 다음으로 해야 할 일은 바로 우리가 찾은 정보(아이폰 번호과 사용자 이름)들을 구글의 표에 작성한 후 사용자의 메일주소를 찾는 것이다.

 구글 계정의 비밀번호를 수정하다

 지금부터 우리는 해커가 구글 메일주소의 비밀번호를 수정하는 상황을 재연할 수 있다. 조작순서는 아래와 같다.

 1. 구글 메일 로그인 화면에 들어간다:

2. ‘비밀번호 찾기’를 누른다;

3. “당신이 기억하고 있는 마지막 비밀번호”에 아무거나 쓴다;

4. 그런 다음 구글은 당신에게 해당 메일주소에 연동된 스마트폰 번호를 쓸 것을 지시할 것이다. 이 단계에서 구글은 스마트폰 번호의 일부를 보여줄 것이다. 비록 숫자는 두 개 밖에 없지만 우리가 스마트폰 번호를 확인하기에 충분할 것이다.

5. 스마트폰 번호를 입력하면 구글에서 아이폰으로 인증번호가 있는 메시지를 보낼것이다

6. 인증번호를 입력한 후 구글은 우리에게 메일의 비밀번호를 재설정할 것을 지시할 것이다.

 ‘새로운’아이폰의 잠금장치를 푼다

 아이폰을 분실한 후 많은 사용자들이 원격 잠금하고, 그리고 아이폰에 있는 데이터를 지울 것이다. 그러나 아이폰의 데이터가 원격초기화하게 되면 아이폰은 그 전 기계에 연동한 Apple ID와 비밀번호를 입력할 것을 요구할 것이다. 만약 해커가 당신의 Apple ID와 비밀번호를 알고 있다면 그들은 이 아이폰을 새 폰처럼 사용할 수 있다.

 정리

스마트폰의 기능이 나날로 다양해짐에 따라 사용자가 이로 인해 편리해지는 동시에 우리는 자신의 안전도 지킬 줄 알아야 한다. 따라서 우리는 여러분에게 아래와 같이 몇 가지 건의를 하고자 한다:

 1. 스마트폰이 잠금화면에서 정보를 상세하게 표시하지 않게 한다.

2. SIM카드에 PIN번호를 설정한다;

3. 가능하다면 온라인서비스를 이중인증 기능으로 설정한다.

당신의 아이폰이 절대 암호가 풀리지 않는다는 신화를 가지고 있다면 당장 거둬라! 세상에 뚫리지 않는 기기는 없다.

 참고:중국 바이지아(百家)