애플, 에어태그 '분실 모드' 에 보안 취약점 발견.

애플의 에어태그가 출시되고 나서 안티 스토킹 문제가 논란이 됐었습니다. 애플은 이에 여전히 제대로 대응하고 있지 못하고 있는데요. 그러는 와중에 이번에는 보안 결함까지 발견이 되어서 논란이 되고 있습니다.​

이 보안 문제는 피싱 사기 등에 악용될 수 있는 문제로서 '분실 모드' 시에 분실된 에어태그를 스캔한 사용자의 정보가 악성 웹사이트로 전송될 수 있는 문제 입니다.

에어태그가 분실모드로 설정되면 "https://found.apple.com" 에 대한 URL이 생성이 되고 에어태그 소유자가 연락처 전화번호 또는 이메일 주소를 입력할 수 있습니다. 그리고 분실모드로 설정된 에어태그를 스캔하는 사람은 자동으로 소유자의 연락처 정보가 있는 URL로 연결되며 제공된 연락처의 정보를 볼 수가 있는데 이 때에 별도의 로그인이나 개인 정보를 필요로 하지는 않는다고 합니다.​

그런데 문제는 사용자가 전화번호 필드에 임의의 컴퓨터 코드를 삽입하는 것이 가능해서 분실모드의 에어태그를 스캔한 사람이 가짜의 iCloud 로그인 페이지나 악성 사이트로 리다이렉션 될 수 있다고 합니다. 이를 통해서 이러한 내용을 모르는 사람은 개인정보를 제공하게 되거나 악성 코드를 다운로드 받을 수 있다고 합니다.

이러한 결함은 보안 컨설턴트 Bobby Rauch 에 의해 발견되었는데 이 취약점으로 인해서 에어태그와 같은 단순한 제품이 다양하게 악용될 수 있는 무서운 무기로 사용될 수 있다고 전했습니다.​

Rauch는 6월 20일 이 문제에 대해서 애플에 연락했고 애플은 이 조사에 몇 개월을 소비했다고 하네요. 애플은 지난 목요일 Rauch 에게 다음 업데이트에서 취약점을 해결할 것이라고 전했으며 공개적으로 이야기 하지 말라고 요청했다고 합니다.

애플은 그가 이 버그 발견으로 인해서 별도의 크레딧이나 버그 바운티 프로그램에 대한 자격이 있는지에 대해 문의를 했는데 이에 답변을 주지 않았다고 합니다. 그래서 애플과의 커뮤니케이션 부족으로 인해 취약점에 대한 세부 정보를 공개하기로 결정했다고 합니다.​

Rauch는 애플에게 이 문제를 해결할 계획이 있는 시기와 버그 발견에 대한 포상금 지급을 한다면 기꺼이 협력하겠다고 전했고 통보 후 90일 이내 연구 결과를 발표할 계획이었다고 합니다. 하지만 애플에서는 기본적으로 "누설하지 않으면 감사하겠습니다."라고만 했다고 하네요. ​

애플이 이후에 이 문제에 대해서 사과를 했지만 버그를 발견한 현상금 프로그램과 보고서에 대한 응답 속도가 느리다는 비판을 계속 받고 있다고 합니다. ​

전 사용하지도 않지만 에어태그가 꾸준히 말썽이군요. 애플이 제대로 준비를 못한 것이 아닌지... 안티 스토킹에 보안 문제까지 터지네요. 아이폰으로 점수 따고 다고 에어태그로 다 까먹는 느낌 입니다.

이 문제를 간단하게 정리하면 한 연구원이 애플의 에어태그 보안 문제를 발견했다. 원래 이런 버그 발견에 대한 애플의 보상금 제도가 있어서 발견한 사람은 이에 대해 문의를 했지만 애플은 답변이 없었고 공개만 하지 말아달라고 말했다. 그래서 보안 문제에 대해서 공개를 했고 이에 대해서 사과를 했지만 여전히 보상은 없었다는 것 같습니다.

에어태그는 좀 불편하지만 작고 귀여운 디자인에 애플이라는 브랜드 파워를 앞세워서 전세계 많은 관심을 받고 공개가 되었지만 안티 스토킹 문제에 대한 미흡한 대처와 어린이의 안전을 위해 쓴 맛으로 코팅된 배터리를 사용하는데 대한 문제 발생, 국내에서는 제대로 위치 서비스를 이용하지 못해 반쪽짜리도 안돼는 제품으로 전락을 해버렸는데요. 이번에 심각한 보안문제까지 발견이 되었네요. ​

물론 이 보안 문제가 당장 심각한 문제를 일으키는 것은 아니겠지만 누군가는 이를 악용하기 위해 치밀하게 준비를 한다면 커다란 보안 문제가 될 수도 있을 것 입니다. 그런데 이번 소식에서 더 아쉬운 것은 애플의 대처가 점점 더 이상해 지는 것 같다는 부분 입니다. 브랜드 이미지는 좋은데 A/S 만족도는 빵점인.. 애플이 앞으로 이런 문제를 얼마나 잘 해결해 나갈지 지켜봐야할 것 같습니다.