카카오톡 특정 버전 취약점 발견…“DDoS 공격도 가능”

글자 작게 글자 크게 인쇄하기
윈스테크넷이 발견한 카카오톡 접속시 비암호화 화면
<윈스테크넷이 발견한 카카오톡 접속시 비암호화 화면 >

 카카오톡 1.3.4 버전에서 암호화되지 않은 상태로 패킷이 전송돼 대화내용 감청 및 감청 데이터 조작으로 대량 스팸메시지를 전송할 수 있다는 사실이 확인됐다.

 윈스테크넷(대표 김대연)은 4일 스마트폰 보안 취약점 분석 결과, 카카오톡 전체 사용자의 1% 정도가 사용하는 1.3.4 버전이 설치된 안드로이드폰에서 한시적으로 암호화되지 않는 취약점이 발견됐다며, 해당 버전 카카오톡 사용자들은 업데이트를 통해 보안성을 강화할 것을 권고했다.

 윈스테크넷에 따르면 안드로이드용 카카오톡 1.3.4 버전은 와이파이 환경에서 사용할 경우 초기 부팅에서부터 특정 시간까지 암호화가 되지 않은 상태로 패킷이 전송되는 문제점을 갖고 있다.

 이 취약점에 노출된 안드로이드폰으로 와이파이 통신을 할 경우 스니핑으로 인해 대화 내용을 감청당할 수 있으며, 감청한 데이터를 조작해 불특정 다수의 스마트폰 사용자에게 스팸 형태의 대량 메시지를 전송하는 데 악용될 수 있다.

 이 경우 공격자가 의도적으로 카카오톡 서버를 대상으로 대량의 트래픽을 전송하는 분산서비스거부(DDoS)까지 가능해 카카오톡 서비스가 중단될 수 있다는 게 회사 측 설명이다.

 손동식 윈스테크넷 침해사고대응센터(WSEC) 이사는 “카카오톡 1.3.4 버전의 안드로이드 앱을 설치한 안드로이드폰 사용자는 최신 버전의 카카오톡으로 업데이트해야 한다”고 말했다.

 윈스테크넷은 지난달 30일 카카오톡 개발사인 카카오 측에 취약점 분석내용을 전달했으며, 카카오는 해당 안드로이드용 버전을 포함한 과거 버전 일부에 대해 즉각 서비스 중단 조치했다.

 카카오 관계자는 “최신 버전에는 새로운 기능뿐만 아니라 보다 안전한 보안 조치들이 포함돼 있으므로 항상 최신 버전으로 유지해주기를 사용자들에게 당부한다”고 말했다.

장윤정기자 linda@etnews.co.kr