모든 직원의 주머니에 공격 표면이 있습니다
직원이 개인 스마트폰으로 회사 이메일을 확인하고, 슬랙에 접속하고, 클라우드 문서를 편집합니다. BYOD(Bring Your Own Device)를 허용하는 회사라면 이 기기들이 곧 회사 네트워크의 입구입니다.
문제는 이 기기들의 보안 상태를 기업이 통제하기 어렵다는 점입니다. Zimperium의 2025 Global Mobile Threat Report에 따르면, 모바일 기기의 50% 이상이 구버전이거나 손상된 OS로 돌아갑니다. 25% 이상은 최신 OS로 올릴 수조차 없습니다. 이 수치는 Zimperium 보안 제품이 보호하는 기기에서 모은 것입니다.
모바일 위협 현황
스미싱(SMS 피싱)
같은 보고서에서 모바일 피싱(mishing) 공격의 69.3%가 문자로 들어오는 스미싱이었습니다. 짧은 URL과 긴급성을 앞세운 문자가 직원을 속입니다.
악성 앱
공식 앱 스토어도 안전지대는 아닙니다. Google은 2024년 한 해 동안 정책을 위반한 앱 236만 개의 Google Play 게시를 막았고, 유해 앱을 올리려던 개발자 계정 15만 8천 개 이상을 차단했다고 밝혔습니다. 같은 해 Play Protect는 Google Play 밖에서 퍼진 새 악성 앱 1,300만 개 이상을 찾아냈습니다. 서드파티 스토어나 링크로 앱을 설치하는 습관이 특히 위험한 이유입니다.
네트워크 공격
공공 Wi-Fi를 통한 중간자(MITM) 공격, DNS 스푸핑이 모바일 기기를 표적으로 합니다.
대응 전략
NIST SP 800-124 Rev. 2는 회사 지급 기기와 개인 소유 기기를 모두 다루는 모바일 보안 관리 지침입니다. 아래 항목은 그 지침이 다루는 기기 관리·엔드포인트 보호와 같은 방향입니다.
- MDM/UEM 도입: 기기 등록, 원격 잠금/삭제, 앱 허용 목록 관리
- 제로트러스트 모바일 접근: 기기 상태 확인 후 조건부 접근
- 컨테이너화: 업무 데이터와 개인 데이터 분리
- 모바일 위협 방어(MTD): 실시간 위협 탐지 에이전트 설치
- 보안 교육: 스미싱 인식 및 앱 설치 주의사항 교육
참고 자료