안드로이드, 정교한 스파이웨어 포렌식을 위한 침입 로그 기능 추가
Android 침입 로깅 추가
Google은 화요일에 Intrusion Logging이라는 새로운 옵트인 Android 기능을 공개했습니다. 이 기능은 정교한 스파이웨어 공격을 보다 잘 분석하기 위해 포렌식 로그를 저장합니다.
“Advanced Protection Mode의 일부로 제공되는 Intrusion Logging은 지속적이며 프라이버시를 보존하는 포렌식 로그를 가능하게 하여, 의심스러운 침해가 발생했을 때 기기를 조사할 수 있게 합니다.”라고 회사는 밝혔습니다.
이 기능은 국경없는 기자회와 국제앰네스티와 협력해 개발되었습니다. Google이 제공한 도움말 문서에 따르면, 이 기능은 매일 기기와 네트워크 활동을 기록하며, 기기 동작 및 실행 중인 다양한 애플리케이션에 대한 정보를 포함합니다.
기록되는 활동 유형
- 앱 활동 – 예: 앱 프로세스가 시작될 때
- 앱 설치, 업데이트 및 삭제
- 네트워크 연결 – Wi‑Fi, Bluetooth 시작·중단, DNS 조회, IP 주소 등
- USB를 통한 파일 전송
- 시스템 인증서 변경
- 기기 잠금/잠금 해제 이벤트
Google은 로그 데이터가 종단 간 암호화되어 기기에서 암호화되고 Google 서버에 저장된다고 밝혔습니다. 암호화 키는 Google 계정 비밀번호와 화면 잠금 인증 정보로 보호되므로, 로그는 기기 소유자 외에는 어떤 제3자도(Google 자체 포함) 접근할 수 없습니다.
“데이터를 안전한 서버에 저장함으로써, 스마트폰에 설치된 악성코드조차도 이를 접근·삭제·조작할 수 없습니다.”라고 국경없는 기자회는 말했습니다. “종단 간 암호화는 Google이나 국가 행위자도 데이터를 열어볼 수 없게 합니다. 특히 Intrusion Logging 기능은 매우 정교하고 이전에 탐지하기 어려웠던 공격을 감지하고 포렌식 분석을 가능하게 합니다.”
암호화된 로그는 12개월 동안 보관되며, 그 이후 자동으로 삭제됩니다. Intrusion Logging을 활성화하면 사용자는 12개월 만료 기간이 지나기 전까지 로그를 삭제할 수 없으며, 계정을 닫거나 기능을 끄더라도 마찬가지입니다. 사용자는 로그를 더 오래 보관하고 싶을 경우 오프라인으로 다운로드할 수 있습니다.
중요: 로그를 다운로드하고 복호화한 후에는 사용자가 보안 책임을 집니다. “특정 법적·규제 환경에서는 복호화된 데이터나 보안 자격 증명을 제공해야 할 수도 있습니다.”라고 Google은 강조했습니다.
시크릿(Incognito) 브라우징
이 기능은 Chrome 시크릿 브라우징 중에도 발생하는 네트워크 이벤트(예: DNS 조회 및 IP 연결)를 기록합니다. 시스템 수준에서 동작하기 때문에 브라우징 모드를 구분하지 않기 때문입니다. 따라서 복호화된 로그에 접근할 수 있는 사람은 방문한 웹사이트를 추론할 수 있지만, 구체적인 페이지까지는 알 수 없습니다.
활용 사례
Intrusion Logging의 목적은 고위험 대상—언론인, 활동가, 혹은 자신이 표적이 되고 있다고 의심하는 사람—에게 신뢰할 수 있는 보안 전문가와 활동 로그를 공유하여 상세히 검토할 수 있는 능력을 제공하는 것입니다.
로그에 접근하는 방법
- 설정을 엽니다.
- 보안 및 개인 정보 → 고급 보호 → 침입 로깅 → 로그 접근을 탭합니다.
이 기능은 현재 Android 16 December 업데이트 이상을 실행 중인 모든 기기에 순차적으로 배포되고 있습니다.
“Intrusion Logging을 통해 Google은 기기에서 고급 공격을 탐지하는 문제에 선제적으로 대응하는 최초의 주요 벤더가 되었습니다.”라고 국경없는 기자회 보안 연구소장 Donncha Ó Cearbhaill는 말했습니다. “연구자에게 보다 동의 기반의 포렌식 데이터를 제공함으로써, 공격자를 더욱 곤란하게 만들고, 스파이웨어와 모바일 데이터 추출 도구에 의해 불법적으로 표적이 된 시민 사회가 책임을 물을 수 있도록 돕습니다.”
Android에 추가될 기타 프라이버시·보안 기능
Intrusion Logging 외에도 Google은 다음과 같은 다양한 프라이버시·보안 개선 사항을 발표했습니다.
- 검증된 금융 전화 – Android는 설치된 온라인 뱅킹 앱에 전화를 연결하기 전에 통화의 정당성을 확인하도록 요청합니다.
- 전화 스푸핑 방지 – 은행이나 기타 신뢰 기관을 사칭하는 전화를 감지하고 차단합니다.
사용자가 참여 은행으로부터 온 것으로 보이는 전화를 받으면, Android는 해당 뱅킹 앱에 실제로 사용자가 전화를 걸고자 하는지 확인하도록 요청합니다. 앱이 해당 통화가 없다고 보고하면 시스템이 자동으로 전화를 끊습니다.
모든 링크와 이미지는 원본 내용 그대로 유지되었습니다.
Android 보안 업데이트 – 새로운 기능 및 향상점
“고객에게 전화를 걸게 한다”고 Google은 말했습니다. “이 번호에서 걸려오는 전화는 바로 끊깁니다.”
이 기능은 향후 몇 주 안에 Revolut, Itaú, Nubank와 함께 Android 11+ 기기에서 출시될 예정이며, 이후 더 많은 은행으로 확대될 예정입니다.
기타 주요 변경 사항
- 실시간 위협 감지 – 의심스러운 앱 동작(예: SMS 포워딩 및 접근성 오버레이)에 대한 경고를 확대했습니다.
- APK 안전성 – Chrome은 다운로드된 APK 파일을 알려진 악성코드 여부(안전 탐색이 활성화된 경우)로 평가한 뒤 설치를 허용합니다.
- 접근성 서비스 – 접근성 도구로 표시되지 않은 모든 앱에서 접근성‑서비스 API 접근을 차단했습니다.
- 기기 잠금 및 그래픽 – 기기 간 잠금 및 Chrome WebGPU 지원을 비활성화했습니다.
- 사기 탐지 – 사기성 채팅 알림을 감지하도록 추가했습니다.
- Find Hub 개선 – “분실 모드”에서 이제 생체 인증으로 전화기를 잠그고, 빠른 설정을 숨기며, 새로운 Wi‑Fi/Bluetooth 연결을 차단할 수 있습니다.
- PIN/비밀번호 무차별 대입 방지 – 물리적 접근이 가능한 제3자가 시도할 수 있는 추측 횟수를 줄이고, 실패 시 대기 시간을 늘렸습니다.
- 잠금 화면에 IMEI 표시 – Android 12+ 기기는 잠금 화면에 IMEI 번호를 표시해 복구를 돕습니다.
- 세분화된 프라이버시 제어 – 사용자는 특정 앱이 열려 있는 동안에만