문자 한 통으로 안드로이드폰을 먹통으로 만들 수 있다…안드로이드 12·13은 보안 업데이트 지원도 못 받아

연구자가 안드로이드의 취약점을 악용해, 전화번호를 아는 사람이면 누구나 문자 한 통으로 휴대전화를 다운시킬 수 있는 공격 코드를 공개했다. ‘죽음의 SMS’라는 별칭이 붙은 이 문자는 받은 편지함에 표시되지 않고, 사용자가 눌러야 하는 것도 아니다. 통화와 모바일 신호를 처리하는 안드로이드의 구성 요소를 멈춰 진행 중인 통화를 끊어버리며, 긴급전화 통화도 예외가 아니다. Google은 현재 지원되는 안드로이드 버전에서는 이 문제를 해결했지만, 보안 업데이트가 중단된 구형 휴대전화는 계속 취약한 상태로 남는다.

대부분의 사용자에게 확인할 것은 간단하다. 휴대전화에 최신 보안 업데이트가 설치돼 있는가? 이 버그는 모든 제조사가 탑재하는 안드로이드의 핵심 전화 통신 코드에 있어 특정 브랜드에 국한되지 않는다. 마크 B(Mark B)라는 이름으로 활동하는 연구자는 아직 수정 사항을 받지 못한 구글 픽셀과 삼성 갤럭시 여러 기종에서 매번 충돌을 재현했다고 밝혔다. 저렴한 A 시리즈도 시험 대상에 포함됐다.

이 공격은 통신사가 휴대전화에 설정을 백그라운드로 전송할 때 사용하는 오래된 메시지 형식인 WAP Push를 악용한다. 형식이 잘못된 메시지를 받은 안드로이드는 음수만큼의 메모리를 예약하려고 시도하고, 그 결과 통화와 신호를 관리하는 프로세스가 충돌한다. 메시지 한 건마다 피해자는 1~2초 동안 서비스를 이용할 수 없게 된다. 진짜 피해는 반복해서 보낼 때 발생한다. 휴대전화가 수신 확인을 보내지 않으면 통신사는 메시지를 계속 재전송하는데, 연구자의 시험에서는 메시지 한 건만으로도 최대 일주일 동안 서비스가 간헐적으로 끊겼다. 약 20건을 보내자 휴대전화는 사용할 수 없는 상태가 됐다.

문제의 메시지는 대기열에 남아 휴대전화를 켤 때마다 다시 처리된다. 시험에 사용된 안드로이드 12 휴대전화 한 대는 약 90초마다 복구 모드로 재부팅됐다. 일반 사용자가 이 반복을 벗어날 방법은 기기를 초기화하는 것뿐인데, 그러면 데이터가 모두 지워진다. 사키스(Sakis)라는 이름으로 활동하는 프로젝트 기여자는 문제를 일으키는 메시지만 삭제하는 방법을 찾아냈지만, 컴퓨터와 안드로이드 개발자 도구가 필요하고 재부팅 직후의 짧은 시간 안에 작업을 마쳐야 한다.

호주의 긴급전화 번호 트리플 제로(Triple Zero)를 중심으로 이 버그를 설명한 연구자는 그곳에서 발생할 수 있는 뜻밖의 부작용도 짚었다. 호주 규정에 따라 통신사는 긴급전화에 연결할 수 없는 휴대전화를 찾아내고, 결국 해당 기기의 서비스를 차단해야 한다. 텔스트라는 상황이 28일 안에 달라지지 않으면 그런 휴대전화를 차단한다고 밝혔다. 연구자의 해석대로라면, 공격자가 원하는 때에 휴대전화의 긴급전화 기능을 실패하게 만들 수 있을 경우 피해자 본인의 기기가 네트워크에서 차단될 수도 있다.

다만 지나치게 우려할 필요는 없다. 이 공격은 서비스 거부 공격이지 침입은 아니다. 메시지로 데이터를 읽거나, 무언가를 설치하거나, 휴대전화를 장악할 수는 없다. 공격자에게는 전화번호와 원시 데이터 메시지를 보낼 방법이 필요하다. 공개된 도구는 SIM 카드가 들어 있는 다른 안드로이드 휴대전화에서 메시지를 보내므로 통신사에 기록이 남는다. 지금까지 실제 사용자를 대상으로 이 버그가 악용됐다는 공개 보고도 없다. BleepingComputer가 지적했듯 구글의 10월 보안 공지에도 이 수정 사항은 실리지 않았다. 따라서 구형 휴대전화 사용자들은 기기가 취약하다는 공식 안내조차 받지 못한 상태다.

확인하려면 설정에서 ‘휴대전화 정보’ 또는 ‘보안’으로 이동해 안드로이드 보안 업데이트 날짜를 살펴보면 된다. 2026년 10월 이후 업데이트에는 수정 사항이 포함돼 있다. 삼성, 모토로라, 샤오미 등 제조사마다 패치를 배포하는 일정이 다르고 통신사가 업데이트를 보류할 수도 있어, 안드로이드 버전이 더 최신인 휴대전화도 아직 업데이트를 기다리는 중일 수 있다. 안드로이드 12 또는 13에서 더는 업데이트할 수 없는 기기라면, 완전히 보호받는 방법은 여전히 업데이트를 받을 수 있는 기기로 바꾸는 것뿐이다.

연구자는 5월 5일 구글의 안드로이드 취약점 포상 프로그램에 이 문제를 신고했다. 구글 엔지니어는 6월 중순 수정 사항을 작성했고, 안드로이드 14부터 17까지 적용되는 2026년 10월 보안 업데이트에 반영됐다. 공개 분석 자료와 개념 증명 코드는 10월 29일 뒤이어 공개됐다. 구글은 연구자가 제안한 길이 검증 기능을 추가하지 않았다. 대신 패치가 충돌을 감지하고 문제의 메시지를 삭제해 다시 실행되지 않도록 한다.

이 때문에 구형 안드로이드 휴대전화는 어정쩡한 상태에 놓였다. 통화는 여전히 평소처럼 할 수 있다. 다만 통화를 끝까지 이어갈 수 있다고 장담할 수는 없다.

태그: Google, 사이버 보안, Android, Google Pixel, Samsung Galaxy, BleepingComputer