이 글을 읽고 계신다면 아마 이미 무언가가 마음에 걸렸을 거예요. 점심때면 바닥나는 배터리. 말한 적 없는 일을 알고 있는 연인. 밤새 주머니 속에서 따뜻해져 있던 휴대폰. 그래서 iPhone을 검사해 진실을 알려 줄 앱을 찾아 나섰고, App Store에서 수십 개를 발견했겠죠.
그런 앱을 파는 쪽에서 설명하고 싶어 하지 않는 사실이 있어요. iPhone에서는 그런 앱이 기대하는 일을 할 수 없다는 거예요.
iPhone 백신 앱이 스파이웨어를 찾지 못하는 이유
iOS는 모든 앱을 샌드박스 안에 가둬요. 앱은 자기 파일만 볼 수 있고 그 밖의 것은 볼 수 없어요. 다른 앱의 데이터를 읽을 수도, 휴대폰에서 실행 중인 프로세스 목록을 볼 수도, 시스템 파일을 들여다볼 수도 없어요. 이런 설계는 애초에 iPhone이 잘 감염되지 않는 이유 중 하나이고, 사용자에게 정말 좋은 일이에요.
하지만 양날의 검이기도 해요. 악성 앱이 은행 앱을 읽지 못하게 막는 바로 그 벽이, 보안 앱이 악성 앱을 찾지 못하게도 막아요. iOS에는 전체 시스템 검사라는 것이 존재하지 않아요. Apple이 그런 기능을 허용하지 않기 때문이에요. App Store에서 iPhone 바이러스 검사 앱으로 홍보하는 제품은 기껏해야 Wi-Fi 설정을 확인하고, 위험한 웹사이트를 경고하고, iOS가 최신 버전이 아니라고 알려 주는 정도예요.
이 점은 바로 걱정하시는 그런 위협에서 가장 중요해요. Pegasus 같은 용병 스파이웨어는 운영체제 깊숙한 곳의 결함을 악용하는데, 그 수준은 샌드박스 안의 어떤 앱도 관찰할 수 없어요. 샌드박스 안에서 실행되는 도구는 벽장에 갇힌 채 도둑을 찾고 있는 셈이에요.
그렇다면 휴대폰에서 검사할 수 없을 때, 실제로 무엇을 할 수 있을까요?
10분 안에 직접 할 수 있는 다섯 가지 점검
어느 것도 결정적이지는 않아요. 하지만 모두 해 볼 가치가 있고, 그중 몇 가지는 실제 침입을 잡아낸 적도 있어요.
1. Apple 위협 알림이 있는지 확인하기
Apple은 국가 배후 스파이웨어 캠페인을 감시하고, 표적이 되었다고 판단되는 사람에게 경고를 보내요. 2021년 이후 150개가 넘는 나라의 사용자에게 알림을 보냈고, 2024년 4월의 한 캠페인에서만 92개국 사람들에게 알림이 갔어요.
account.apple.com에 로그인해서 페이지 맨 위에 경고 배너가 있는지 확인하세요. Apple은 Apple ID에 등록된 주소로 알림 이메일과 iMessage도 보내요.
꼭 알아 두셔야 할 점이 하나 있어요. 이런 알림은 무섭고 널리 알려져 있어서 사기꾼들이 즐겨 흉내 내요. 진짜 Apple 위협 알림은 링크를 누르라거나, 무언가를 설치하라거나, 파일을 열라거나, 비밀번호를 알려 달라고 절대 요구하지 않아요. 메시지가 그중 하나라도 요구한다면 Apple이 보낸 것이 아니에요. 주소를 직접 입력해서 account.apple.com에 로그인해 확인하세요.
2. 구성 프로파일 확인하기
구성 프로파일은 회사나 학교가 기기를 관리할 수 있게 해 주는 iOS의 정식 기능이에요. 동시에 취약점을 악용하지 않고도 iPhone에 지속적인 감시를 심을 수 있는 몇 안 되는 공식 경로이기도 해요. 그래서 상용 스토커웨어는 내 휴대폰을 손에 쥔 사람에게 프로파일을 설치하라고 안내하기도 해요.
설정에서 일반으로 들어간 다음 'VPN 및 기기 관리'를 여세요. 평범한 개인 iPhone이라면 이 화면은 비어 있거나, 회사에서 받은 것으로 알고 있는 프로파일만 있어요. 모르는 항목이 있다면 지우기 전에 그 정체를 먼저 확인해야 해요.
3. 앱이 볼 수 있는 것 점검하기
설정에서 '개인정보 보호 및 보안'으로 들어가 위치 서비스, 마이크, 카메라, 사진, 연락처를 하나씩 살펴보세요. 여기서 찾는 건 스파이웨어가 아니에요. 평범한 앱이 지나친 권한을 가지고 있는지 보는 거예요. 휴대폰 감시의 가장 흔한 형태는 특이한 악성코드가 아니거든요. 누군가 설치해서 조용히 자기 계정으로 연결해 둔 가족 공유 앱, 사진 백업 서비스, 메모 앱인 경우가 많아요.
그 김에 설정 맨 위의 내 이름을 눌러 Apple ID에 로그인된 기기 목록도 확인하세요. 모르는 기기가 있다면 누군가 내 iCloud 백업을 읽을 수 있다는 뜻이고, 거기에는 메시지도 포함돼요.
4. 탈옥 흔적 찾기
지속적으로 작동하는 iPhone 스파이웨어는 대부분 탈옥된 기기가 필요해요. 내가 모르는 사이에 휴대폰이 탈옥되었다면, 설치한 적 없는 Cydia, Sileo, Zebra 같은 앱이 있을 수 있어요. 휴대폰에서 이 이름들을 검색해 보세요. 이런 앱이 있다고 해서 감시의 증거는 아니지만, 누군가 내 기기에서 Apple의 보호 장치를 걷어 냈다는 증거는 돼요.
5. 배터리와 데이터 사용량을 내 습관과 비교하기
설정에서 배터리를 열고 지난 10일을 살펴보세요. 그다음 설정에서 셀룰러를 열고 앱별 사용량을 훑어보세요. 내가 실제로 휴대폰을 쓰는 방식과 맞지 않는 것을 찾는 거예요. 한 번도 열지 않는 앱이 배터리 목록 위쪽에 있거나, 백그라운드 데이터가 기가바이트 단위로 쌓여 있는 경우예요.
이건 다섯 가지 중 가장 약한 신호로 보세요. 수명이 다해 가는 배터리, iOS 업데이트, 여행 후 사진 보관함 동기화도 모두 같은 패턴을 만들어요. 설명되지 않는 사용량은 더 자세히 살펴볼 이유이지, 결론이 아니에요.
이런 점검으로 알 수 없는 것
위의 모든 점검은 샌드박스 안에서 이루어지기 때문에, 정교한 도구라면 모두 피해 갈 수 있어요. 제로 클릭 스파이웨어는 아이콘을 남기지 않고, 권한을 요청하지 않고, 아무것도 누르라고 하지 않아요. 열어 보지도 않은 메시지 하나로 설치될 수 있고, 어떤 변종은 재부팅하면 아예 사라져서 작동 중에 잡아내기가 더 어려워요.
흔적은 분명히 남아요. 다만 iOS가 앱에게 허용하는 곳에 있지 않을 뿐이에요. 충돌 로그, 어떤 프로세스가 언제 네트워크를 썼는지 기록하는 데이터베이스, 기기 종료를 기록하는 작은 시스템 파일, 암호화된 백업 안의 메타데이터에 남아 있어요. 이걸 읽으려면 샌드박스 밖으로 나가야 하는데, 현실적으로 그렇게 할 수 있는 방법은 하나뿐이에요.
컴퓨터에서 분석하는 방식
iPhone을 케이블로 컴퓨터에 연결하면 휴대폰은 전체 백업을 만들고, 기기 안의 어떤 앱도 읽을 수 없는 진단 데이터도 함께 내놓아요. 이 백업을 알려진 침해 지표와 대조해 살펴볼 수 있어요. 용병 스파이웨어가 접속하는 것으로 알려진 도메인, 스파이웨어가 만드는 프로세스 이름, 스파이웨어가 남기는 흔적 같은 것들이에요.
실제로 이런 캠페인을 잡아내는 연구자들이 쓰는 방법이 이거예요. Amnesty International의 Security Lab은 바로 이 일을 하는 오픈소스 도구 Mobile Verification Toolkit을 공개하고 있고, 이 도구는 2021년 Pegasus 프로젝트 조사의 기반이 되었어요. 무료이고 평판도 좋지만, Python 패키지 설치와 포렌식 결과 해석에 익숙하다고 전제하는 명령줄 도구예요.
솔직히 말하면 그 마지막 부분이 걸림돌이에요. 방법은 탄탄하고 도구도 공개되어 있지만, 걱정하는 사람과 제대로 된 포렌식 분석 사이의 간극은 넓어요. 그 간극을 좁히려고 만든 것이 Haris Shield예요. 같은 공개 지표를 기준으로 컴퓨터에서 분석하고, 터미널 없이도 읽을 수 있는 보고서를 제공해요. 현재 버전은 전체 백업을 분석하지는 않아요. 케이블을 통해 충돌 로그와 설치된 프로파일을 읽고, sysdiagnose를 가져오면 그것도 분석해요. 전체 목록은 작동 방식에 있어요.
무언가를 발견했다면, 지우기 전에 이것부터 읽으세요
이 글에서 가장 중요한 부분이고, 대부분의 안내서가 건너뛰는 부분이에요.
나를 감시하는 사람이 연인, 전 연인, 가족, 고용주처럼 내 주변 사람이라고 의심된다면, 스파이웨어를 지우는 것이 당연한 첫 단계는 아니에요. 많은 스토커웨어 제품은 비활성화되는 순간 설치한 사람에게 알려요. 통제적이거나 폭력적인 상황에서는 감시가 멈추는 순간이 곧 지켜보던 사람이 내가 알아챘다는 걸 아는 순간이에요. 이런 위험 증가는 가정이 아니라 실제로 기록된 위험이에요.
가정폭력 관련 단체와 보안 회사들이 함께하는 Coalition Against Stalkerware는 이 점을 분명히 밝혀요. 스토커웨어를 지우면 증거도 함께 지워지고, 경찰에 신고할 경우 그 증거가 중요할 수 있다는 거예요.
더 안전한 순서는 이래요.
- 아직 휴대폰에서 아무것도 하지 마세요. 누구와도 따지지 마세요.
- 상대방이 한 번도 접근한 적 없는 기기로 먼저 도움을 구하세요. 가정폭력 관련 기관이 순서를 계획하도록 도와줄 수 있어요.
- 발견한 내용을 기록해 두세요. 포렌식 보고서는 스크린숏보다 훨씬 가치가 있어요.
- 의심되는 휴대폰이 아닌 다른 기기에서 비밀번호를 바꾸고 2단계 인증을 켜세요.
- 삭제 여부는 그다음에 결정하세요. 가능하면 지원 체계를 갖춘 뒤에요.
그런 상황이 아니고, 일반적인 범죄나 모르는 공격자의 침입으로 보인다면 판단은 더 간단해요. iOS를 업데이트하고, 발견한 것을 지우고, Apple ID 비밀번호를 바꾸세요. 그리고 초기화를 고려하되, 의심스러운 백업은 복원하지 마세요.
더 공략하기 어려운 표적이 되는 법
- 표적이 되었다고 생각할 실제 이유가 있다면 차단 모드를 켜세요. 설정의 '개인정보 보호 및 보안'에 있고, 이런 공격이 의존하는 메시지 첨부 파일 유형과 웹 기능을 꺼요. Apple은 차단 모드를 켠 기기에 대한 용병 스파이웨어 공격이 성공한 사례를 알지 못한다고 밝혔어요. 일부 기능이 작동하지 않게 되는데, 그게 바로 목적이에요.
- iOS 업데이트는 나오는 날 바로 설치하세요. 이런 캠페인 대부분은 Apple이 이미 수정한 결함에 의존해요.
- 다른 사람이 모르는 암호를 쓰고, Face ID나 Touch ID에 다른 얼굴이나 지문이 추가되지 않았는지 확인하세요.
- 탈옥하지 말고, 다른 사람이 대신 해 주게 하지도 마세요.
- 몇 달에 한 번씩 Apple ID 기기 목록을 점검하세요.
요약
iPhone 안에서 iPhone의 스파이웨어를 검사할 수는 없어요. 할 수 있다고 주장하는 앱은 모두 벗어날 수 없는 샌드박스에 갇혀 있어요. 직접 할 수 있는 건 Apple 위협 알림, 예상치 못한 구성 프로파일, 권한이 지나친 앱, 탈옥 흔적, 내 습관과 맞지 않는 사용량을 확인하는 거예요. 그 이상을 알려면 컴퓨터에서 분석하는 것만이 실질적인 방법이에요.
그리고 무언가를 발견했는데 그 뒤에 주변 사람이 있을 수 있다면, 아무것도 건드리기 전에 먼저 도움을 구하세요. 검사는 쉬운 부분이에요.
출처
- Apple, Apple 위협 알림 및 용병 스파이웨어로부터 보호하기: support.apple.com/en-us/102174
- Amnesty International Security Lab, 포렌식 방법론 보고서: NSO Group의 Pegasus를 잡아내는 방법: amnesty.org
- Mobile Verification Toolkit: mvt.re
- Coalition Against Stalkerware, 생존자를 위한 정보: stopstalkerware.org/information-for-survivors
함께 읽어 보세요: Android 스파이웨어 찾는 법, 스토커웨어의 징후와 해서는 안 되는 일, iPhone에서 Pegasus 확인하기, 실제로 효과 있는 무료 스파이웨어 점검, 스파이웨어를 안전하게 제거하는 법.