"모바일 피싱, PC보다 6배 위험…생태계 차원 대응 시급"

스마트폰이 일상의 중심이 되면서 보이스피싱·스미싱 등 모바일 기반 위협이 PC보다 6배 더 치명적인 것으로 나타났다. 전문가들은 개별 기업의 대응만으로는 안심할 수 없는 상황이라며, 모바일 환경을 구성하는 생태계 전체를 대상으로 한 협력 체계 구축이 시급하다고 강조했다.

5일 국회의원회관에서 열린 ‘차세대 모바일 보안 강화 및 스팸방지 정책 세미나’에서는 학계, 산업계, 스타트업, 정부 관계자가 참석해 한국형 모바일 보안 생태계 구축에 대해 논의했다.

발제를 맡은 곽진 아주대 혁신융합원장은 버라이즌사에서 발표한 보고서를 인용해 “실제 사용자가 모바일 피싱에 속을 가능성은 PC 환경보다 6배 높다”며 “앱 과도 권한 요구, 사이드로딩 확산, AI 기반 자동화 공격까지 더해져 모바일 보안 위협이 갈수록 커지고 있다”고 설명했다.

이어 곽 원장은 “AI는 위협을 조기 탐지하는 무기가 될 수 있지만, 동시에 맞춤형 피싱과 취약점 자동 분석을 가능하게 하는 도구가 되기도 한다”며 AI 시대의 양면성을 강조했다.

모바일 보안을 단일 기기 문제로만 볼 수 없다는 지적도 나왔다. 곽 원장은 “모바일 보안은 하드웨어, 운영체제, 네트워크, 앱스토어, 기업의 백엔드 시스템, 이용자 데이터까지 모두 유기적으로 연결돼 있다”며 “위협도 여러 층위에서 동시에 발생할 수 있고, 어느 한 고리가 취약해지면 전체 보안이 무너질 수 있는 구조”라고 설명했다.

특히 앱 공급망 리스크가 커지고 있다는 점도 주목된다. 공격자는 공식 앱스토어나 업데이트 과정, 사이드로딩 경로를 노려 악성 앱을 배포하고, 정상 앱으로 위장한 뒤 권한을 과도하게 요구하는 방식으로 침투한다. 결국 보안 위협은 앱 개발부터 배포, 이용 단계 전반을 아우르는 생태계 전체의 문제라는 설명이다.

전문가들은 개별 기업의 보안 노력만으로는 한계가 뚜렷하다고 입을 모았다. 이통사·제조사·플랫폼사·스타트업이 각자 대응해도 다른 연결 고리가 취약하다면 공격자는 그 틈을 노리기 때문이다. 이에 따라 곽 원장은 “모바일 보안은 기기 단위가 아니라 거대한 생태계 차원에서 접근해야 한다”고 강조했다.

패널 토론에서는 AI 기반 실시간 탐지와 설명 가능한 보안 체계 필요성이 강조됐다. 신원용 연세대 교수는 “금융 서비스 같은 경우는 실시간성이 굉장히 중요하기 때문에, 온디바이스 AI가 실시간 방어를 해야 한다”며 “경고 알림은 단순히 ‘위험하다’에서 그치지 않고 ‘이 앱은 금융 정보를 과도하게 요구하고 있어 위험하다’처럼 사용자가 이해할 수 있는 설명 가능한 보안 체계가 필요하다”고 말했다.

이날 세미나에는 구글 보안 관계자도 참여해 자체 보안 강화 성과를 공유하며 한국과의 협력 의지도 보였다. 데이브 클라이더마허 구글 안드로이드 보안 부사장은 “UA의 한 보안업체 조사에 따르면, 안드로이드 시스템을 해킹하기 위해 공격자가 취약점을 악용하거나 악성코드를 제작하는 데 드는 비용이 약 1천500만 달러에 달한다”며 “그만큼 안드로이드 보안 수준이 과거보다 훨씬 높아졌다”고 설명했다.

또한 클라이더마허 부사장은 “최근 과학기술정보통신부(과기정통부)와 양해각서를 체결해 온라인 사기 방지를 위한 툴 개선과 교육, ‘강화된 사기 방지 프로그램(EFP)’ 도입에 협력하기로 했다”며 “싱가포르에서 이미 금융사기 피해가 거의 사라진 것처럼, 한국에서도 정부와 함께 효과를 낼 수 있을 것으로 기대한다”고 말했다. 아울러 “범죄 집단이 조직적으로 움직이는 만큼 정부와 민간도 긴밀히 협력해야 한다”고 강조했다.

(왼쪽부터) 최충호 방송통신위원회 디지털이용자기반과장, 신대식 과학기술정보통신부 통신이용제도과장, 구태언 코리아스타트업포럼 부의장

스타트업 업계는 보안 지원 확대를 요청했다. 구태언 코리아스타트업포럼 부의장은 “2천600여 개에 달하는 회원사가 대부분 앱을 운영하고 있지만 보안 인력·자원·투자 여력 등 다방면으로 부족하다”며 “정부와 빅테크가 보안 툴·API를 개방해 스타트업이 테스트베드 역할을 할 수 있도록 해야 한다”고 말했다.