아이폰 노린 악성 앱 'FomoPeek', 58만 달러 가상자산 탈취

최근 애플의 앱스토어를 통해 유포된 악성 iOS 애플리케이션 'FomoPeek'이 수십만 달러에 달하는 가상자산 탈취에 연루된 것으로 밝혀져 사용자들의 각별한 주의가 요구되고 있습니다. 블록체인 보안 기업 슬로우미스트(SlowMist)의 분석 결과에 따르면, FomoPeek의 악성 버전은 애플의 앱스토어에 등록되어 사용자들에게 정상적인 앱처럼 접근한 것으로 드러났습니다.

문제는 FomoPeek이 단순히 정보를 수집하는 것을 넘어, 아이폰 운영체제의 핵심인 iOS 커널 취약점을 악용한 데 있습니다. 이를 통해 '샌드박스(sandbox)'라고 불리는 앱 격리 환경을 무력화하고, 다른 설치된 앱에 접근하여 민감한 데이터를 빼돌리는 방식으로 범죄를 실행했습니다. 샌드박스 환경은 보안 강화를 위해 각 앱이 독립적인 공간에서 실행되도록 설계되었으나, FomoPeek은 이 방어벽을 뚫고 나온 것입니다.

슬로우미스트가 공개한 보고서에 따르면, FomoPeek은 이러한 방식으로 총 58만 달러(약 8억원) 상당의 가상자산을 탈취하는 데 성공한 것으로 추정됩니다. 이는 FomoPeek 앱이 탈취한 개인 키나 민감한 로그인 정보를 이용하여 사용자의 가상자산 지갑에 직접 접근하거나, 피해자가 사용하는 다른 금융 앱의 정보를 빼내 결제 정보를 탈취하는 등 다양한 수법이 동원되었을 가능성을 시사합니다.

이 사건은 모바일 환경에서의 보안 위협이 더욱 정교해지고 있다는 점을 명확히 보여줍니다. 특히 가상자산의 보급이 확대되면서, 사용자들의 자산을 노리는 해킹 시도가 끊이지 않고 있으며, 이번 FomoPeek 사례는 공격자들이 애플이라는 폐쇄적인 생태계에서도 취약점을 찾아내 악용할 수 있음을 증명했습니다. 과거에는 안드로이드 운영체제에서 이러한 악성 앱 유포 사례가 더 빈번했으나, iOS에서도 보안 허점이 발견될 수 있다는 점에서 모든 모바일 가상자산 이용자들은 경각심을 가져야 합니다.

FomoPeek은 정상적인 금융 정보 제공 앱인 것처럼 위장하여 사용자들의 신뢰를 얻은 후, 백그라운드에서 악성 행위를 수행한 것으로 파악됩니다. 사용자들은 앱을 설치할 때 제공되는 권한 요청을 면밀히 검토해야 하며, 출처가 불분명하거나 과도한 권한을 요구하는 앱은 의심해야 합니다. 또한, 가상자산 지갑의 개인 키는 절대 외부에 노출되어서는 안 되며, 분실 또는 탈취 시 복구가 불가능하다는 점을 명심해야 합니다.

이번 사건으로 인해 애플의 앱 심사 과정에 대한 의문도 제기되고 있습니다. 엄격한 심사 절차로 유명한 앱스토어에서도 악성 앱이 유포되었다는 사실은, 보안 전문가들 사이에서 앱 심사 강화 및 사후 관리 시스템 개선에 대한 논의를 촉발시킬 것으로 보입니다. 애플 측은 해당 앱을 앱스토어에서 삭제하는 조치를 취했으나, 이미 피해가 발생한 상황에서 추가적인 피해 방지 및 재발 방지 대책 마련이 시급합니다.

슬로우미스트는 FomoPeek 공격의 주요 경로가 iOS 커널 취약점을 이용한 '탈옥(jailbreak)' 없이도 이루어졌다는 점에 주목하고 있습니다. 이는 최신 버전의 iOS를 사용하는 사용자들도 잠재적인 위험에 노출될 수 있음을 의미합니다. 일반적으로 탈옥하지 않은 iOS 기기는 상대적으로 안전하다고 여겨져 왔으나, 이번 사건은 그러한 통념을 뒤흔들고 있습니다.

가상자산 시장은 급성장하고 있지만, 그에 따라 보안 위협 또한 더욱 고도화되고 다양화되는 추세입니다. 사용자들은 자신도 모르는 사이에 자산을 잃을 수 있다는 점을 인지하고, 다음과 같은 기본적인 보안 수칙을 철저히 준수해야 합니다.

첫째, 앱스토어에서 앱을 다운로드할 때는 반드시 개발자 정보를 확인하고, 사용자 리뷰를 참고하여 신뢰할 수 있는 앱인지 검증해야 합니다. 둘째, 앱 설치 시 요구하는 권한을 꼼꼼히 확인하고, 불필요하거나 과도한 권한을 요구하는 앱은 설치를 거부해야 합니다. 셋째, 모든 기기에서 운영체제와 앱을 항상 최신 버전으로 업데이트하여 알려진 보안 취약점을 패치해야 합니다. 넷째, 가상자산 거래소나 지갑 서비스 이용 시에는 2단계 인증(2FA)을 반드시 활성화해야 합니다.

다섯째, 민감한 금융 정보나 개인 키는 절대 이메일, 메시지, 클라우드 스토리지 등에 저장하거나 공유해서는 안 됩니다. 가능하다면 물리적인 수단을 활용한 콜드 월렛(cold wallet) 사용을 고려하는 것이 좋습니다. 마지막으로, 항상 보안 의식을 가지고 의심스러운 링크나 파일을 열지 않는 습관을 들이는 것이 중요합니다.

이번 FomoPeek 사건은 가상자산 이용자들이 겪을 수 있는 다양한 보안 위협 중 하나일 뿐이며, 앞으로도 더욱 정교하고 예측하기 어려운 공격이 발생할 수 있습니다. 블록체인 기술의 발전과 더불어 보안 기술 및 사용자 교육에 대한 투자도 함께 이루어져야 할 것입니다. 슬로우미스트는 지속적으로 최신 보안 위협에 대한 정보를 제공하며, 가상자산 생태계의 안전을 강화하는 데 기여할 것으로 기대됩니다.