		국 회 의 원 송 호 창 경기도 의왕, 과천 미래창조과학방송통신위원회	보도자료 2015. 10. 04(일)
문의 : 전화 02)784-8870, 팩스 02-788-0234 담당 : 이명행 비서관
제 목	38만명 설치한 스마트보안관, 알고보니 RCS? 보안등급 최하위 F..해커가 원격조정 할 수도

새정치민주연합 송호창 의원(미래창조과학방송통신위원회, 의왕·과천)은 방송통신위원회의 청소년보호 앱인 스마트보안관이 38만명의 정보를 무방비로 노출시켰다고 밝혔다. 또한, 스마트보안관이 설치된 스마트폰은 해커들에 의해 원격조정까지 될 수 있었다. 방통위는 외국연구소에서 지적하기 전까지 3년 동안 보안문제를 몰랐으며 후속조치도 매우 허술했다.

송호창 의원이 국정감사 자료를 분석한 결과 방통위는 청소년의 유해정보 접근 방지를 위한 ‘클린스마트모바일 환경조성’ 사업에 2013년부터 약 30억원의 예산을 투입했다. 방통위는 이 사업의 핵심수단으로 한국무선인터넷산업연합회(MOIBA)에서 개발한 ‘스마트보안관 앱’에 예산을 지원하고 청소년들에게 보급해왔다.

< 스마트보안관 통신사별 설치현황 >

* 2015년 7월 말 누적기준 / 자료 : 송호창의원실 / 방송통신위원회

통신사	설치현황
SKT	57,217
KT	202,041
LGU+	120,709
알뜰폰	7,557
합계	387,524

지난 4월부터 전기통신사업법 개정에 따라 이통사에게 청소년과 휴대폰 계약 체결시 음란정보에 대한 차단수단 제공이 의무화됨에 따라 스마트보안관의 설치가 급증했다. 7월 말 기준으로 38만 7,524명에 이른다.

문제는 청소년유해정보 차단을 위한 스마트보안관이 오히려 이 앱을 사용하는 청소년들의 정보를 유출시킬 수 있었다는 점이다. 캐나다의 시티즌랩이 발표한 보고서에 따르면 스마트보안관은 26건의 보안 취약점이 있으며 계정 무력화, 데이터 변조, 이름·생년월일 같은 개인정보 절도 등이 발생할 수 있다고 지적하고 있다.

자료 : 시티즌랩 보고서 / 송호창의원실

시티즌랩의 보고서는 주요 취약점으로 먼저 스마트보안관이 이용자 정보를 안전하지 못한 방법으로 저장·전송하고 있고 암호화 표준을 준수하지 않고 있음을 지적했다. 시티즌랩은 이 앱의 보안등급(SSL 구축)은 최하위인 F 등급을 받을 것이라고 평가했다.

또한, 스마트보안관은 이용자 계정의 등록과 관리가 적절한 확인절차나 암호 없이 가능해 도용되거나 탈취될 수 있다. 더구나 스마트보안관이 설치되어 있는 휴대폰의 다른 기능들을 원격으로 조작할 수 있다. 국정원이 운영한 것으로 밝혀진 RCS와 유사한 기능을 하는 것이다.

스마트보안관은 구식 서버를 사용하고 있으며, 업계표준의 보안조치 및 암호화가 제대로 구현되지 않았다. 시티즌랩의 연구원은 “스마트보안관이 프로그램의 토대부터 아이들의 안전을 고려하지 않았다는 것을 보여주며, 수년간 악용가능성이 열려있었다”고 지적했다.

보고서는 위와 같은 취약점들로 스마트보안관이 국내법상의 개인정보보호와 보안요건 조차 갖추지 못했다고 지적됐다. 심지어 스마트보안관의 기능이 관계 법령의 요구를 초과해 이용자들의 프라이버시를 침해하고 이는 국제인권법상 심각한 우려를 유발한다고 보고됐다.

방통위는 심각한 보안문제를 3년 간이나 몰랐을 뿐 아니라 시티즌랩이 취약점을 알려준 이후에도 적절한 조치를 취하지 않았다. 먼저 이용자들에게 이름, 생일, 전화번호 등 해킹가능한 정보들이 어떤 것인지조차 정확히 알리지 않았다.

자료 : 스마트보안관 홈페이지 공지 / 송호창의원실

방통위는 지난 8월 6일 스마트보안관의 개인정보 식별방지를 위한 암호화 등 보안을 강화해 앱 마켓에 재등록했다. 또한, 홈페이지 등을 활용해 기존 앱의 취약점을 안내했다고 밝혔다. 그러나 홈페이지에 공지된 내용에는 어떤 정보가 노출됐었는지 항목이나 위험성이 전혀 제공되지 않았다. 다만 청소년들이 이해하기 힘든 ‘SSL 적용으로 보안 강화’라는 내용만 있을 뿐이다.

또한, 시티즌랩의 보고서에 따르면 9월 20일 발표일 현재까지 지적했던 문제점들이 보완되었는지 분명하지 않다. 실제로 보고서는 미흡한 SSL 보안에 대한 시티즌랩의 고지 이후 스마트보안관이 업데이트됐지만 아직도 인증서 승인 문제 등이 남아있다고 지적했다. 시티즌랩은 더불어 독립적이고 철저한 보안 감사가 있기 전에는 해당 앱의 사용과 홍보를 중단할 것을 권고했다.

한편, 스마트보안관은 업데이트 과정에서 일부 청소년들의 스마트폰 사용 자체가 불가능해지는 문제를 가져오는 등 이용자들에게 큰 혼선을 줬다. 사용성 자체도 조악하고 버그도 많아 이용자들의 불만이 폭주하고 있다. 그 결과 구글 앱 마켓에서 스마트보안관은 부모 버전과 자녀 버전 모두 5점 만점의 리뷰 중 1.6점으로 최악의 평가를 받고 있다.

자료 : 송호창의원실 / 구글 플레이 ‘스마트보안관’ 리뷰

송호창 의원은 “청소년들의 정보를 노출시킬 수 있고, 원격조정 가능한 위험한 앱을 정부예산으로 설치했다”며 강하게 비판했다. 실제로 스마트보안관 보급 활성화 항목 예산으로 올해만도 3억 5900만원을 배정하는 등 3년간 8억 9700만원이 사용됐다.

송호창 의원은 “방통위와 사업자는 3년이나 보안문제를 방치한 것도 모자라 이용자들에게 정확히 알리지도 않았다”면서 “정확한 정보제공부터 해야 한다”고 지적했다. 송 의원은 또한 “스마트보안관은 정보유출, 인권침해, 오류 등 제대로 된 것이 하나도 없는 부실사업”라며 “사업자체를 전면 재검토하고 담당자가 책임을 져야 한다”고 강조했다.

< 주요 결함 내역 및 조치 내역 >

자료 : 송호창의원실 / 방송통신위원회

결함 내역	조치 내역
o 스마트보안관은 이용자 정보를 안전하지 못한 방법으로 저장·전송	o 스마트보안관 통신 보안강화(HTTP → HTTPS)후 구글․이통사 앱 마켓 재등록 - 개인정보 식별방지 위해 암호화 적용 o 스마트보안관 사용자에게 기존 앱의 취약점 안내 및 업데이트 요청 (홈페이지, 푸시메세지 등 발송)
o ‘무작위 대입 공격(brute force)’ 방식의 개인정보 수집 시도나 잘못된 요청을 추적하거나 거부하지 않고 있음	o 보안 이슈사항 등 추가 수정·반영 후 앱 1.7.7 버전으로 업그레이드 o 무작위 대입 공격(brute force) 방어 위해 비밀번호 5회 이상 오류 시 서비스 사용중지
o 보안 인증서의 유효성 문제 제기	o ‘SSL*(Secure Socket Layer)’에서 유효성 인증 * 웹서버(웹사이트)와 사용자PC(웹 브라우저)간의 주고 받은 데이터를 암호화하는 글로벌 표준 암호화 알고리즘