모바일 보안이란?

모바일 보안이란 스마트폰, 태블릿, 노트북 등 사용자가 휴대하는 모든 기기를 보호하기 위한 전략, 인프라, 그리고 소프트웨어 전반을 의미합니다. 모바일 기기를 위한 사이버 보안은 기기 내부에 저장된 데이터뿐만 아니라, 해당 기기가 연결되는 엔드포인트와 네트워크 장비의 데이터 보호까지를 포괄합니다. 모바일 기기 사용이 데스크톱 환경보다 점점 보편화됨에 따라, 모바일 기기는 공격자들에게 주요한 공격 대상으로 떠오르고 있습니다.

출장과 재택근무가 일상화되면서 모바일 기기는 기업 직원들을 포함한 현대인의 생활 전반에 깊숙이 자리 잡았습니다. 과거에는 인터넷 검색이 주로 데스크톱 환경에서 이루어졌고, 노트북 역시 출장이 잦은 일부 직원들만 사용하는 기기였습니다. 그러나 오늘날 모바일 기기는 인터넷 접근의 핵심 수단이 되었으며, 모바일 기기를 통한 웹 브라우징 트래픽은 이미 데스크톱을 크게 넘어서는 추세입니다.

모바일 기기는 데스크톱에 비해 공격 표면이 훨씬 넓어 기업 보안에 더 큰 위협 요소로 작용합니다. 데스크톱은 주로 고정된 환경에서 사용되기 때문에 외부 공격자에 의한 위협이 중심이 되지만, 모바일 기기는 물리적 공격과 가상에서의 공격 모두에 노출됩니다. 사용자가 언제 어디서나 기기를 휴대하기 때문에 관리자는 도난이나 분실과 같은 물리적 위협은 물론, 타사 애플리케이션이나 공용 와이파이 핫스팟으로 인한 가상 위협(예: 중간자 공격)까지 함께 고려해야 합니다. 또한 고정형 데스크톱은 회사 네트워크 내부에서만 사용되는 경우가 많아 인간 중심 보안과 달리 네트워크 및 엔드포인트 보안을 비교적 쉽게 통제할 수 있습니다. 반면 모바일 기기는 사용자가 기기를 루팅하거나 임의로 애플리케이션을 설치할 수 있고, 물리적으로 분실될 가능성도 높아 보안 관리가 훨씬 까다롭습니다.

이러한 이유로 기업은 모바일 기기 전략을 수립하고 운영하는 데 더 많은 비용과 자원을 투입해야 하며, 모바일 기기는 기업 데이터의 무결성과 직결되는 중요한 요소로, 사이버 보안 관점에서 결코 간과할 수 없는 핵심 영역입니다.

모바일 기기에 대한 주요 물리적 위협은 데이터 손실과 도난 두 가지입니다. 자연재해 역시 문제가 될 수 있지만, 이는 데이터 손실의 원인이 될 수 있을 뿐 데이터 도난으로 이어지지는 않습니다. 손실된 데이터는 복구가 가능할 수 있지만, 데이터 도난은 기업에 막대한 피해를 초래할 수 있는 심각한 문제입니다. 모바일 기기에는 도난 이후 데이터 유출을 방지하기 위한 잠금 화면 기능이 기본적으로 제공되지만, 공격자가 저장 장치를 분리해 직접 정보를 추출하는 방식까지 차단하려면 보다 강력한 데이터 손실 방지 기술이 필요합니다.

기기가 도난당했을 경우, 잠금 해제 전에 홈 화면에 접근하기 위해 제한된 횟수의 PIN 입력만 허용해야 합니다. 이러한 보안 설정은 무차별 대입 방식의 PIN 입력 공격을 효과적으로 방지합니다. 특히 민감한 데이터가 저장된 기기라면, PIN 입력 오류가 일정 횟수 이상 발생할 경우 기기 내 모든 데이터를 자동으로 삭제하는 보안 기능을 적용하는 것이 바람직합니다. 또한 저장 장치를 암호화하면 공격자가 PIN 보호를 우회하더라도 기기에서 직접 데이터를 추출하는 것을 효과적으로 차단할 수 있습니다.

관리자는 데스크톱 환경에서는 애플리케이션 설치를 통제할 수 있지만, 모바일 기기에서는 사용자가 비교적 자유롭게 다양한 애플리케이션을 설치할 수 있습니다. 이러한 특성으로 인해 타사 애플리케이션은 모바일 기기 보안에 해킹 등 여러 가지 위험 요소를 초래합니다. 따라서 기업은 승인되지 않은 타사 앱 설치로 인해 발생할 수 있는 보안 위험을 사용자가 충분히 인식하도록 모바일 기기 관련 보안 정책을 수립해야 합니다.

일반적으로 사용자는 휴대전화를 루팅해서는 안 되지만, 일부 사용자는 루팅을 통해 운영체제에 내장된 보안 기능을 무력화합니다. 루팅된 기기에서 실행되는 타사 애플리케이션은 다양한 공격 기법을 통해 공격자에게 민감한 데이터를 노출시킬 수 있습니다. 또한 타사 애플리케이션의 코드에는 악성코드나 키로거가 은밀하게 포함되어 있을 가능성도 있습니다. 악성코드 방지 프로그램을 설치하는 것만으로는 충분하지 않을 수 있습니다. 특히 루팅된 기기에서는 이러한 보안 프로그램조차 악성코드에 의해 우회되거나 악용될 위험이 있어, 보안 위협이 더욱 커집니다.

모바일 기기, 특히 BYOD(개인 디바이스 가져오기) 환경은 기업 내부 네트워크에 심각한 위협이 될 수 있습니다. 랜섬웨어 같은 컴퓨터 바이러스가 네트워크를 스캔해 개방된 저장 위치나 취약한 리소스를 탐색한 뒤, 악성 실행 파일을 설치하고 이를 악용하는 사례는 드물지 않습니다. 보안이 충분히 적용되지 않은 모바일 기기에서는 이러한 침해 행위가 사용자에게 인지되지 않은 채 은밀하게 발생할 수 있습니다.

관리자는 BYOD 사용자에게 악성코드 방지 프로그램 설치를 요구할 수 있지만, 해당 소프트웨어가 항상 최신 상태로 유지된다는 보장은 없습니다. 또한 기업이 고객이나 직원에게 공용 Wi-Fi 핫스팟을 제공하는 경우에도 보안 문제가 발생할 수 있습니다. 직원이 공용 Wi-Fi에 연결해 암호화되지 않은 데이터를 전송할 경우 중간자 공격(MitM)에 노출될 위험이 커지며, 이로 인해 계정 정보가 탈취되어 계정 탈취 사고로 이어질 수 있습니다.

모바일 앱은 엔드포인트를 사용하여 데이터 및 내부 애플리케이션과 연결됩니다. 이러한 엔드포인트는 데이터를 수신하고 처리한 후 모바일 장치로 응답을 반환합니다. 엔드포인트와 모든 웹 기반 애플리케이션은 조직에 위협을 가할 수 있습니다. 애플리케이션에서 사용하는 엔드포인트는 공격자를 차단하기 위해 인증 및 인증 제어 기능을 갖추어 적절하게 코딩되어야 합니다. 보안이 제대로 되어 있지 않은 엔드포인트는 공격자의 표적이 되어 앱 보안을 손상시키고 데이터를 탈취하는 데 악용될 수 있습니다.

모바일 기기의 보급이 증가함에 따라 이러한 사용자를 대상으로 하는 웹 기반 공격이 늘어나고 있습니다. 공격자들은 공식 웹사이트처럼 보이는 사이트를 이용하여 사용자를 속여 민감한 데이터를 업로드하거나 악성 애플리케이션을 다운로드하도록 유도합니다. 공격자가 동영상이나 다른 미디어 콘텐츠를 보려면 앱을 다운로드해야 한다고 사용자에게 알리는 경우도 흔합니다. 사용자는 앱을 다운로드하지만, 그것이 기기의 취약점을 탐색하고 데이터를 유출하는 악성 앱이라는 사실을 깨닫지 못합니다.

모바일 기기를 사용하는 조직은 공격자로부터 기기를 보호하기 위해 다양한 대응 방안을 고려해야 합니다. 모바일 보안 구성 요소를 기반으로 모바일 기기 전반에 대한 사이버 보안 전략을 수립할 수 있으며, 이는 조직의 보안 수준을 체계적으로 강화하는 데 도움이 됩니다. 또한 단순히 보안 인프라를 추가하는 것에 그치지 않고, 사용자가 기기에 설치할 수 있는 애플리케이션과 설치가 제한되는 애플리케이션을 명확히 구분하는 BYOD(개인 디바이스 가져오기) 및 모바일 기기 보안 정책을 수립하는 것이 중요합니다.

다음의 구성 요소들은 모든 조직이 모바일 기기를 대상으로 한 각종 공격으로부터 보다 효과적으로 모바일 기기를 보호하는 데 기여할 것입니다.

• 침투 스캐너: 자동화된 스캔 서비스를 활용하면 엔드포인트에 존재하는 보안 취약점을 식별할 수 있습니다. 침투 스캐너는 엔드포인트에 적용해야 할 유일한 사이버 보안 수단은 아니지만, 데이터 유출에 악용될 수 있는 인증 및 권한 부여상의 문제를 발견하는 데 있어 중요한 첫 단계 역할을 할 수 있습니다.
• 가상 사설망(VPN): 원격 환경에서 네트워크에 접속하는 사용자는 반드시 VPN을 사용해야 합니다. VPN 서비스 또는 모바일 기기에 설치된 상시 작동 VPN 솔루션은 기기와 엔드포인트 간, 혹은 기기와 내부 네트워크 간에 전송되는 데이터를 암호화합니다. 현재는 모바일 기기에서 내부 네트워크로 전송되는 기업 트래픽을 보호하기 위해 특화된 다양한 타사 VPN 서비스도 제공되고 있습니다.
• 감사 및 기기 제어: 관리자는 스마트폰이나 태블릿을 직접 원격 제어할 수는 없지만, 사용자에게 원격 데이터 삭제 기능과 기기 추적 서비스를 설치하도록 요구할 수 있습니다. GPS 기반 추적 기능을 통해 도난당한 기기의 위치를 파악할 수 있으며, 원격 데이터 삭제 소프트웨어는 기기 분실이나 도난 시 중요한 데이터를 즉시 삭제하여 정보 유출을 방지합니다.
• 이메일 보안: 피싱은 대부분의 조직에서 경험하는 가장 심각한 보안 위협 중 하나입니다. 이메일 서비스는 일반적으로 모바일 기기에 설치되어 사용되기 때문에, 피싱 공격 역시 모바일 기기를 주요 대상으로 삼습니다. 피싱 이메일에는 멀웨어와 같은 악성 링크나 첨부 파일이 포함될 수 있으므로, 이메일 필터를 통해 의심스러운 링크와 첨부 파일이 포함된 메시지를 사전에 차단해야 합니다.