Boris's Lab

페이스북에서 사용자가 메세지를 주고받는 기능을 이용하여 광고를 제공하고 있다며 소송을 한 사례입니다. 최근 광고는 사용자 맞춤형 광고서비스를 위해 사용자의 여러 정보를 수집해왔는데요. 페이스북은 개개인이 주고받는 메세지 내용을 수집하여 광고에 이용하고 있다는 의혹을 받고 있습니다. 

블로터 기사에 따르면 메세지 상에 특정 링크를 삽입시 해당 링크의 좋아요 숫자가 늘어나는 것을 보면 페이스북 측에서 메세지 내용을 감시하고 있는 것 아니냐는 주장입니다. 야후와 구글도 비슷한 일로 소송을 당한 적이 있었죠.

최근 NSA 불법 정보수집으로 개인정보에 대한 인식이 고조된 가운데 나온 사건이라 어떻게 해결될지 궁금합니다. 

[보안뉴스] 집단소송 당한 페이스북, 국내 사용자들도 ‘들썩’ - http://mcaf.ee/dybnk

[블로터닷넷] “페이스북이 메신저 대화 엿봤다” - http://mcaf.ee/o51zl

미국 한 대학에서 대학 생활을 하였던 한인 학생이 부모님의 직업인 '의사' 를 하기 위해 4년간 7차례의 의대 입학 시험을 쳤으나, 번번히 떨어지자 자신의 대학생활 점수 및 의대 입학 시험 성적을 전문 해커를 고용해서 해킹을 시도했다가 적발되었다는 기사입니다. 징역형, 보호관찰과 함께 손해배상을 하라는 선고가 내려졌습니다.

의사를 하지 못하는 것에 대한 중압감에 시달린 것으로 추정된다고 하는데, 불법적인 방법을 동원해서 까지 입학을 시도한 것이 안타깝습니다. 위조 문서까지 사들였다고 하는데 자신을 어필할 만한 다른 스펙을 만들어보는 것은 어땠을까 싶습니다. 

대학에서는 수상한 아이피를 탐지하여 바로 조치취하여 다행히 다른 시험자들에게는 피해가 없었던 것 같습니다. 대학에서 적절하게 대응한 부분에 대해서는 칭찬해야 될 부분이 아닌가 싶고, 또 해킹이 한 사람의 인생을 바꿀 수 있다는 것에 대해서 보안의 중요성을 다시금 깨닫게 됩니다.

http://mcaf.ee/giy3a

안드로이드에서는 플래시 SMS(또는 Class 0 SMS) 기능을 제공하여, 마치 앱에서 경고창이 나타날 경우와 비슷한 UI 를 SMS로 사용할 수 있도록 API를 제공하고 있습니다. 플래시 SMS는 경고창과 같이 작동하기 때문에 사용자가 어떠한 작업을 하는 것과는 별개로 항상 화면 최 상단에 노출되어 저장 혹은 삭제 등의 명령을 입력해주지 않으면 다른 작업을 할 수 없습니다. 

넥서스폰의 경우 이러한 플래시 SMS가 수신될 경우 모든 작업이 백그라운드로 흐릿하게 표시되고 SMS창이 작업화면을 덮어씌워 최 상단에 나타나 명령을 기다리게 됩니다. 제 때 명령을 입력하지 않아 미처 창이 닫히기 전에 다시 새 플래시 SMS가 수신 될 경우에는 기존 SMS창 위에 또 다시 새롭게 수신된 SMS 창이 나타나게 되는데

이런 방식으로 약 30개 이상의 SMS 창이 중첩되어 나타날 경우에는 스마트폰 상의 오류로 재부팅이 되는 것입니다. 가장 큰 문제는 스마트폰이 재부팅 될 때 까지 플래시 SMS가 수신되더라도 어떠한 수신음이 들리지 않기 때문에 사용자는 알아채지 못할 수 있습니다. 

재부팅이 될 경우에는 재부팅 음이 나타나기 때문에 바로 휴대폰을 복구할 수 있습니다. 하지만 가장 큰 문제는 간헐적으로 오류는 발생하였으나 재부팅이 되지 않는 경우가 있는데, 마치 기본 탑재된 기능인 "비행기 모드" 와 같이 모든 데이터, 통신 수신이 불가능상태가 되며, 어떠한 경고음도 나타나지 않기 때문에 사용자는 직접 수신환경을 테스트 하기 전까지는 통신이 되지 않고 있다는 사실을 모르게 됩니다. 전화, 문자, 데이터가 모두 되지 않기 때문에 중요한 전화, 문자, 카카오톡 등을 수신 받지 못하여 큰 피해를 보실 수도 있습니다. 

해당 취약점을 구글측에 통보하였으나 아직까지 패치되지 않았다고 하니 평소에 스마트폰 수신상태를 수시점검해보는 것이 좋을 것 같습니다.

[전자신문] 넥서스폰 대상 서비스거부 공격 이렇게? - http://mcaf.ee/y9tj8

[ZDnet] 넥서스5서 SMS 폭탄 전송 취약점 발견 - http://mcaf.ee/b2z97

[examiner.com] Google Nexus smartphones susceptible to SMS-based DOS attack - http://mcaf.ee/a46iw