해커의 침투지점 될 수 있는 공공장소 무료 와이파이, 안전한 사용법은?
어디서나 쉽게 쓰는 무료 와이파이...사이버 공격자의 침투지점 되기도
공공장소 무료 와이파이, 더 안전하게 사용할 수 있는 방법 알아보기
[보안뉴스 이상우 기자] 워쇼스키 자매가 제작한 넷플릭스 오리지널 드라마 센스8(Sense8)에서는 주인공 노미(제이미 클레이턴 분)가 자신들의 존재를 위협하는 적의 실체를 찾기 위해서 와이파이를 이용해 해킹을 시도하는 장면이 등장한다. 주인공 일행은 해킹할 대상이 자주 찾는 카페에서 미리 가짜 와이파이(SSID)를 만들어두고 표적이 접속하도록 유도한다. 이후 표적의 휴대전화에서 연락처, 이메일, 통화목록, 비밀번호 등을 탈취해 적의 본거지를 찾아내는데 성공한다.
[이미지=utoimage]
우리는 오늘날 수많은 와이파이를 이용한다. 집이나 사무실은 물론, 카페, 지하철, 버스 등 공공장소에서도 무료 와이파이를 이용할 수 있다. 이처럼 와이파이 사용 비중이 늘어나는 만큼 사이버 공격자가 노릴 수 있는 지점도 늘어나고 있다. 앞서 소개한 드라마 속 장면처럼 공격자가 만들어둔 가짜 와이파이에 접속하고, 이를 통해 각종 정보가 유출되는 일은 드라마를 넘어 현실 세계에서도 충분히 가능한 일이다.
공공장소에서 사이버 공격자가 가짜 와이파이를 만드는 것은 아주 쉬운 일이다. 공격자는 카페 같은 장소에서 무료 와이파이를 이용하려는 사용자를 노리고, 카페에서 제공하는 와이파이 이름과 동일하거나 비슷한 이름으로 가짜 와이파이를 만든 뒤 사용자가 자신의 공유기에 접속하도록 기다린다. 만약 여기에 접속할 경우 공격자는 사용자가 전송하는 모든 데이터 내용을 모두 볼 수 있다. 어떤 사이트에 접속했는지는 물론, 암호화 기능을 지원하지 않는 웹 사이트에서 입력한 ID와 비밀번호도 그대로 노출될 수 있다.
[이미지=utoimage]
공격자가 공공장소에 있는 공유기를 직접 공격하는 경우도 있다. 공유기는 각종 설정을 위해 접속하는 관리 페이지가 있으며, 이 페이지에 접근하기 위해서는 관리자 권한이 필요하다. 공유기 제조사 상당수는 이러한 관리자 권한 인증 ID와 비밀번호를 Admin, 0000 등으로 기본 설정해 판매하는 경우가 많기 때문에 해커가 손쉽게 관리자 권한을 탈취하고 공유기 설정을 마음대로 바꾸는 것이 가능하다. 이를 통해 사용자가 공공장소에서 제공하는 ‘정상’적인 와이파이를 이용하더라도 공격자가 유도한 특정 사이트로 접속되거나 특정 악성 프로그램이 설치될 수 있다.
그렇다면 우리가 이러한 공공장소에서 무료 와이파이를 더 안전하게 사용할 수 있는 방법은 없을까? 가장 먼저 할 일은 상대적으로 안전한 와이파이를 이용하는 것이다. 가령 서울시 공공와이파이를 예로 들자. 서울시에서 사용할 수 있는 공공와이파이 이름(SSID)은 크게 SEOUL(일반접속)과 SEOUL_Secure(보안접속)로 구분한다. 이 중 SEOUL_Secure 보안 기능을 강화한 통신 방식인 ‘WPA3’를 사용한다. 이 경우 공격자와 사용자가 같은 와이파이를 이용하더라도 상대방이 내가 주고받는 정보에는 쉽게 접근할 수 없다. 비슷한 예로, 스타벅스에서 제공하는 와이파이 중 KT_starbucks_Secure 역시 통신 암호화를 제공하는 SSID다.
[이미지=서울시]
물론 이 때도 공격자가 보안접속 SSID를 모방해 가짜 SSID를 만들 수 있다. 이 때문에 VPN 이용하는 것 역시 대안이 될 수 있다. VPN은 서버와 사용자 사이에 전용 ‘통로’를 만드는 개념으로, 이를 통해 공격자의 접근을 차단할 수 있다. 이에 PC나 스마트폰에 VPN 소프트웨어를 설치하고, 실행하는 것만으로도 상대적으로 안전한 무선 인터넷 환경을 만들 수 있다. 다만, 믿을 만한 VPN 서비스의 경우 유료로 제공되는 경우가 많으며, 신뢰할 수 없는 서비스 제공자의 VPN을 이용할 경우 정보 유출이 발생할 수도 있다.
가장 안전한 방법은 사용하지 않을 때는 와이파이 기능을 끄고, 공용 와이파이 이용 중에는 주요 업무나 금융 거래 등 민감한 활동을 하지 않는 것이다.공용 와이파이는 웹툰이나 유튜브 등 인터넷 접속이 필요하지만 민감한 정보를 제공하지 않는 간단한 활동에만 사용하는 것이 좋으며, 꼭 필요한 활동을 할 때는 데이터를 이용하거나 가정/사무실처럼 상대적으로 믿을 수 있는 환경에서 진행하는 것이 좋다.
[이상우 기자(boan@boannews.com)]
