무슨 일이 있었나
이번 주 한 보안 연구자가 Android 폰에서 간단한 수법을 시연했습니다. 잠긴 휴대폰이 WhatsApp 영상 통화를 받으면, 그 통화는 잠금 화면에서 곧바로 받을 수 있습니다. 그 통화 안에서 WhatsApp의 사진 효과·배경 기능을 조작해 휴대폰의 사진을 열 수 있고 — 거기서부터 카메라 롤 전체가 보입니다. 휴대폰은 평소 지켜 주던 PIN이나 패턴, 지문을 단 한 번도 묻지 않습니다.
보통 사람에게 중요한 부분은 이것이 필요로 하지 않는 것들입니다: 비밀번호도, 특별한 장비도, 해킹 실력도 필요 없습니다. 다만 누군가 실제로 여러분의 휴대폰을 손에 쥐고 있어야 합니다. 이것은 ‘누군가 내 휴대폰을 집어 들었다’ 문제이지, ‘지구 반대편의 누군가’ 문제가 아닙니다.
얼마나 걱정해야 하나
정도를 지켜 보세요. 공격자에게 실제 휴대폰이 손에 필요하기 때문에, 이것은 온라인의 낯선 사람이 여러분의 사진을 뒤질 수 있는 종류의 결함이 아닙니다. 진짜 위험은 더 가까이 있습니다: 잃어버리거나 도난당한 휴대폰, 또는 믿고 싶지 않은 누군가가 여러분의 기기를 쥐고 있는 순간입니다.
Meta와 Google에는 이 문제가 전달되었고, 그것이 수정으로 가는 정상적인 경로입니다. 하지만 이 글을 쓰는 시점에는 그것을 막는 업데이트가 배포되지 않았습니다. 그러니 기다리기보다 아래의 1분짜리 조치를 직접 해 두는 편이 좋습니다.
2분이면 되는 해결책
무언가를 삭제할 필요는 없습니다. 가장 깔끔한 해결책은 WhatsApp에 사진 보관함 전체 접근을 주는 것을 멈추는 것입니다. 그러면 버그가 발동되더라도 보여 줄 것이 거의 없습니다.
Android에서는 설정 › 앱 › WhatsApp › 권한 › 사진 및 동영상을 열고, ‘모두 허용’을 ‘제한된 접근 허용’(일부 휴대폰은 ‘선택한 사진’이라고 부릅니다) 또는 ‘항상 확인’으로 바꾸세요. WhatsApp에서 사진을 하나씩 골라 보내는 것은 여전히 가능합니다 — 다만 모든 것의 열쇠를 쥐여 주는 대신 매번 물어볼 뿐입니다.
온 김에 다른 앱들도 훑어보며 간단한 질문을 던지는 것이 좋은 습관입니다: 이 앱이 정말 내 카메라 롤 전체가 필요한가? 대부분의 앱은 답이 아니요입니다. 사진 접근 제한은 휴대폰에서 가장 값진 개인정보 설정 중 하나이며, 이 버그는 그것을 사용하라는 좋은 신호입니다.
더 큰 교훈: 잠긴 것과 봉인된 것은 다르다
잠금 화면을 휴대폰 안 모든 것을 둘러싼 벽으로 여기기 쉽습니다. 사실은 오히려 현관문에 가깝습니다: 누군가 아무렇지 않게 들어오는 것은 막지만, 낯선 사람과 여러분의 가장 사적인 파일 사이에 서 있는 유일한 것이 되도록 만들어진 적은 없습니다. 여러분이 넓은 접근을 허용한 앱은 이런 버그를 통해 옆문 창이 될 수 있습니다.
그래서 낯선 사람에게 절대 보이고 싶지 않은 몇 장의 사진과 동영상, 문서에 가장 안전한 자리는 일반 카메라 롤이 전혀 아닙니다. 그것은 따로 분리된 암호화된 공간입니다 — 자기만의 비밀로 보호되고, 다른 앱이 말썽을 부려도 애초에 닿을 수 없는 곳입니다. 한 앱의 버그가 가장 중요한 것들을 드러낼 수 있어서는 안 됩니다.
Sealby의 자리
Sealby는 WhatsApp을 고치지 않으며, 누군가 여러분의 휴대폰을 집어 드는 것을 막지도 않습니다. Sealby가 하는 일은 가장 민감한 사진, 동영상, 메모, 파일에 그들만의 집을 주는 것입니다: 기기에서 암호화되고, 여러분 자신의 PIN이나 패스프레이즈로만 열리며, 평범한 앱이 볼 수 있는 공용 카메라 롤에서 떨어져 있습니다. 그래서 다음번 ‘잠긴 휴대폰이 그리 잠겨 있지 않았다’는 이야기가 나와도 — 그리고 다음은 늘 있습니다 — 여러분이 가장 아끼는 것들은 한 앱의 실수가 닿을 수 있는 곳에 놓여 있지 않습니다.