경고 없이 NFC 앱 설치되는 안드로이드 취약점 발견

구글, 10월 업데이트서 보안 패치

근거리무선통신(NFC)을 매개로 앱을 내려받을 때 경고 알림을 띄우지 않는 안드로이드 취약점이 발견됐다. 구글은 이 취약점에 대한 보안 패치를 지난달 업데이트에 반영했다.

이 취약점은 보안 연구원인 Y.샤프라노비치가 지난 1월 발견했다. 일반적으로 NFC를 통해 앱이 전송될 때 출처를 알 수 없는 앱 설치를 허용하는지 묻는 알림이 나타난다. 그러나 안드로이드 8 이상 버전에서 보안 경고 없이 앱이 설치되는 현상이 발견된 것.

안드로이드 기기는 구글플레이 스토어가 아닌 다른 곳에서 설치할 수 있는 모든 앱을 신뢰할 수 없다고 간주한다. 때문에 외부 출처를 통해 앱을 내려받을 경우 안드로이드 설정을 변경해야 한다.

안드로이드 8 이전 버전까지는 이 설정을 전체 앱 단위로 변경할 수 있었다. 그러나 안드로이드 8 버전부터는 개별 앱 단위로 설정 변경이 가능해졌다. 특정 앱에 대해서는 다른 앱을 설치할 수 있도록 허용할 수 있게 된 것이다.

미국 지디넷은 대부분의 안드로이드 기기가 NFC 기능을 활성화한 상태로 판매되고 있다고 지적했다. 다만 NFC 연결이 기기 간 거리 4cm 이하일 때 이뤄지는 만큼 해커의 공격이 쉽지 않을 것이라고 봤다.

이 취약점을 이용한 사이버공격으로부터 기기를 보호하기 위해서는 구글이 제공하는 보안 업데이트를 받아야 한다.

또는 NFC와 NFC를 이용해 사진, 문서 등을 전송하는 '안드로이드 빔' 기능을 필요치 않은 경우 비활성화하는 식으로 대응할 수 있다.

미국 지디넷은 NFC를 결제에 활용하더라도 안드로이드 빔 기능을 비활성화할 수 있다고 조언했다.