"아이폰 충전기 좀 빌려줄 수 있어?"
친구나 동료의 충전 케이블을 빌려 사용하거나, 사무실이나 카페에 놓여있는 여분의 케이블로 아이폰을 충전해본 경험이 한 번 쯤은 있을 것이다. 그런데 이렇게 타인의 아이폰 또는 아이패드 충전 케이블을 빌려 쓰지 말라는 경고가 나왔다. 정품 충전기와 유사하게 생긴 해킹용 케이블이 있기 때문이다.
포브스는 펜-테스트 사이트인 Hak5를 인용, 애플 정품 케이블처럼 생겼지만 연결된 장치에 접속해 데이터를 훔치고, 해당 데이터를 공격자에게 보내는 무선 송신기를 장착한 '공격 케이블'이 이전보다 더 저렴해지고 기술력은 강화됐다고 보도했다.
이러한 공격 케이블은 2019년 DFCON에서 처음 등장했다. 당시 해킹 케이블인 O.MG 케이블은 공공장소에서 무심결에 사용하는 타인의 케이블을 통해 은행 계좌 등 개인 데이터가 유출될 수 있다는 위험성을 경고했다.
이전에는 케이블을 구매하기 위해선 백만 달러가 필요했지만, 이제는 139.99달러에 구매할 수 있다. 케이블 외형 또한 이전 모델에 비해서 애플 정품 라이트닝 케이블과 유사해졌다.
O.MG 케이블은 케이블 자체에 독립적인 WiFi 접근 포인트, 페이로드 스토리지, 지오펜싱 용량, 키 입력을 기록하거나 직접 주입할 수 있는 용량 등의 기능을 가져 케이블 자체를 데이터 공격용으로 사용할 수 있다. 각 케이블은 브라우저로 제어할 수 있으며, 케이블의 접근 지점에 직접 로그인하거나 케이블을 네트워크에 연결해 사용자 자신의 경로를 찾을 수 있다.
해당 케이블은 아이폰을 공격하는 것이 아니라 충전이나 동기화를 위해 연결된 Mac과 다른 컴퓨터들을 공격하도록 설계되었다. 초기에는 마이크 그로버가 수작업으로 만들었으며 정품과 외형상 큰 차이를 보였다. 하지만 점차 디자인이 발전하며 USB-A에서 USB-C로 업그레이드 되었다. 이에 아이패드 프로, 안드로이드 스마트폰의 잠재적인 공격 위험성이 커졌다.
외형상의 발전뿐만 아니라 페이로드 용량도 커져 멀웨어 공격이 직접 발생할 가능성이 커졌다. 새로운 '공격 모드'도 생겼는데, 케이블은 목표에 있을 때 자체 알람을 설정할 수 있고 위치가 변경될 때 자체 소멸할 수 있다. 사용자 키 입력을 캡쳐한 다음 자체 키 입력을 주입하는 공격 주기가 있어, 사용자가 단말기에 있을 때 장치에서 정보를 수집하고 그렇지 않을 때 공격할 수 있다.
물론 실생활에서 이러한 공격 케이블을 통한 해킹 위협에 노출될 가능성은 크지 않다. 충전 케이블을 통한 공격이 발생할 가능성은 있지만, 다른 더 쉬운 공격 방법이 있다. 또 그로버는 '모바일 공격 모드'의 케이블이 전화를 충전하거나 동기화하는 것을 의도적으로 막았기 때문에 '대상자 모르게 그것을 악용할 수 있는 능력이 제한적'이라고 설명했다.
해당 케이블은 데모 및 교육용으로 제작되었으며, 레드 팀 구성 및 펜-테스트를 위해 설계되었다. 또 검증되지 않은 케이블을 사용했을 때 개인 정보 유출 가능성이 있다는 경고와 함께 개인 기기 보안 주의에 대한 경각심을 준다.
[저작권자ⓒ CWN(CHANGE WITH NEWS). 무단전재-재배포 금지]
