갤럭시S25시리즈(왼쪽)와 아이폰17시리즈

<이미지를 클릭하시면 크게 보실 수 있습니다>

삼성전자와 애플이 최근 자사 스마트폰을 겨냥한 '제로데이(Zero-day)' 보안 위협에 대응해 긴급 보안 패치를 배포했다. 이통사를 겨냥한 해킹 위협이 사회적 이슈로 부상한 가운데, 스마트폰 제조사들도 자체 보안 취약점 대응에 속도를 내고 있다.

16일 업계에 따르면 삼성전자는 최근 9월 보안 업데이트를 수정하고, 안드로이드 13 이상을 탑재한 갤럭시 스마트폰 전 기종에 긴급 보안 패치를 순차 배포하고 있다. 메신저 앱 와츠앱(WhatsApp)에서 보고된 이미지 처리 라이브러리 취약점(CVE-2025-21043)을 예방하기 위한 조치다. 현재까지 실제 해킹 피해 사건이 발생하진 않았다.

이번 취약점은 '제로 클릭(Zero-click)' 방식의 공격이 가능한 구조로 확인됐다. 이 방식은 사용자가 이미지를 열기만 해도 악성코드가 실행될 수 있어 별도 조작 없이 감염이 일어난다. 삼성전자는 메타가 운영하는 글로벌 메신저 앱 왓츠앱을 통해 제로클릭이 악용될 수 있는 정황을 파악한 것으로 알려졌다. 왓츠앱은 인도, 유럽, 남미 등지에서 널리 사용되는 메신저 앱으로, 사용자 수는 약 20억명에 달한다.

삼성전자는 이날부터 모바일 운용체계(OS) 원 UI 8 소프트웨어 업데이트를 진행하며 한층 고도화된 보안 체계를 배포했다. 원 UI8에는 앱별 암호화 저장 공간을 제공하는 '킵(KEEP)'과 계정 탈취 위험 시 자동 로그아웃을 수행하는 '녹스 매트릭스'가 포함된다.

애플도 지난달 이미지 렌더링 과정에서 발생한 제로데이 취약점(CVE-2025-43300)에 대응해 iOS 기기 전반에 긴급 보안 패치를 배포했다. 해당 취약점 역시 제로 클릭 방식으로 악성 이미지 파일을 통해 원격 공격할 수 있었던 구조다. 애플은 실제 공격 정황을 파악한 이후, 관련 패치를 iOS 26에 선반영하고, 구형 모델에도 일괄 적용했다. 다만 구체적인 내부 동작 방식이나 상세 경로는 공개하지 않았다.

업계는 이번 사례처럼 제로데이 방식의 보안 위협이 점차 고도화되고 있다고 보고 있다. 제로데이는 소프트웨어 개발사나 보안업체가 해당 문제를 인식하기도 전, 해커들에 의해 악용되는 보안 결함이다. 이름 그대로 '대응할 수 있는 시간이 0일'이라는 뜻이 붙어졌다. 제로데이 공격은 특정 개인은 물론 국방·금융·통신 등 핵심 인프라를 노리는 데도 활용돼 '사이버 폭탄'에 비유된다.

업계는 해당 취약점들이 실제 악용된 사례로 확인된 만큼, 사용자들이 가능한 한 빠르게 보안 업데이트를 진행해야 한다고 권고한다. 특히 왓츠앱, 텔레그램 등 이미지 기반 커뮤니케이션 앱을 자주 사용하는 경우 감염 위험이 높아질 수 있는 것으로 알려졌다.

남궁경 기자 nkk@etnews.com

[Copyright © 전자신문. 무단전재-재배포금지]