스마트폰 암호화는 단편적인 사실처럼 이야기되곤 합니다. '스마트폰이 암호화되어 있으니 안전하다'는 식입니다. 이는 사실이지만 전부는 아닙니다. 테이블에서 채가거나, 손에서 낚아채거나, 한눈파는 사이 주머니에서 꺼내 가는 등 실제로 가장 자주 일어나는 유형의 스마트폰 도난은 스마트폰이 애초에 잠겨 있지 않았기 때문에 암호화를 완전히 우회해 버립니다.

실제로 해결된 부분

인정할 부분은 인정해야 합니다. 최신 스마트폰은 묻지 않아도 기본적으로 유휴 상태의 데이터 암호화를 잘 처리합니다. iPhone은 기기의 Secure Enclave와 연결된 하드웨어 기반 암호화를 사용하며, Android는 Android 10부터 파일 기반 암호화(File-Based Encryption)를 기본으로 사용해 왔습니다. 스마트폰이 잠겨 있을 때 저장소 칩을 빼내어 직접 읽어봐야 공격자는 파일 목록이 아닌 읽을 수 없는 데이터만 얻게 됩니다. 이것은 자동적으로 켜지는 실질적이고 성숙한 보호 기능이며, 랩톱에서처럼 “FileVault를 켜는 것을 잊지 마세요”와 같은 것이 따로 필요 없습니다.

그렇지 않은 부분: 스마트폰이 이미 잠금 해제되어 있었다는 점

유휴 상태 데이터 암호화가 미치지 못하는 보안 격차는 바로 이것입니다. 대부분의 스마트폰 도난은 건드리지 않은 채로 놓여 있는 잠긴 폰을 노리지 않습니다. 누군가의 손에 들려 잠금 해제된 채로 사용 중인 스마트폰을 낚아채는 것을 목표로 합니다. 자전거를 탄 사람이 화면을 스크롤 중인 폰을 카페 테이블에서 집어 갑니다. 소매치기가 10분 전부터 모든 것에 로그인된 상태의 폰을 잠금 해제된 주머니에서 꺼내 갑니다. 이러한 모든 경우, 도둑은 뚫고 들어가려는 것이 아니기 때문에 스마트폰 자체의 암호화는 무의미합니다. 그들은 이미 열려 있는 폰을 손에 넣었기 때문입니다.

그 순간 도달할 수 있는 것은 본질적으로 스마트폰이 이미 로그인되어 있던 모든 것입니다. 메시징 앱, 사진 보관함, 이메일, 별도의 자체 잠금장치가 없는 모든 뱅킹 또는 결제 앱, 브라우저가 저장해 두었고 요청 시 자동 완성할 비밀번호나 카드 번호 등입니다. 이 중 어느 것도 암호화를 무력화할 필요가 없었습니다. 도난이 발생하기 전에 이미 잠금 해제가 이루어졌기 때문에 아무것도 필요하지 않았습니다.

대부분의 사람들이 끄지 않는 잠금 화면 유출

진짜로 잠긴 상태에서 도난당한 스마트폰조차도 흔히 간과되는 한 가지 설정인 알림 미리보기를 통해 예상보다 더 많은 정보를 유출할 수 있습니다. 전체 메시지 텍스트와 더 심각하게는 이중 인증 코드가 기본적으로 잠금 화면에 그대로 표시되는 경우가 많아, 스마트폰을 소지한 사람이라면 누구든 잠금 해제 없이도 읽을 수 있습니다. 방금 도착한 일회용 코드가 잠금 화면에 일반 텍스트로 표시되어 있다면, 도둑(또는 기기를 잠깐 소지한 다른 누구라도)이 비밀번호를 알아낼 필요가 없습니다. 알림에 내용 대신 “새 메시지”만 표시되도록 미리보기 콘텐츠를 끄면 놓치기 쉬운 이 특정 보안 격차를 메울 수 있습니다.

처음 한 시간 동안 해야 할 일 순서

스마트폰을 도난당한 경우, 거의 모든 것보다 속도가 가장 중요합니다:

  1. 도둑이 위치 서비스를 비활성화하거나 스마트폰을 초기화할 시간을 갖기 전에 즉시 다른 기기에서 Find My iPhone이나 Find My Device를 사용하여 원격으로 잠그거나 지웁니다.
  2. 통신사를 통해 SIM을 일시 정지하여 다른 계정을 탈취하는 데 사용될 수 있는 통화나 SMS 인증 코드를 수신하지 못하도록 합니다.
  3. 다른 기기에서 이메일 비밀번호를 먼저 변경합니다. 이메일은 대부분의 다른 계정에 대한 복구 수단이므로 이를 먼저 보호하면 도난 피해가 확산되는 것을 제한할 수 있습니다.
  4. 로그인된 스마트폰에는 비밀번호 변경만으로는 끊을 수 없는 활성 세션이 남아 있을 수 있으므로 브라우저에서 가장 중요한 계정(뱅킹, 주 이메일, 비밀번호 관리자)의 활성 세션을 검토하고 취소합니다.
  5. 스마트폰 브라우저에 자동 완성으로 무엇이 남아 있는지 확인합니다. 저장된 카드와 주소는 종종 도난당한 잠금 해제된 스마트폰에서 가장 즉시 사용할 수 있는 정보입니다.

두 번째 잠금이 실제로 도움이 되는 경우

이것이 바로 독자적인 PIN을 가진 보관함 앱이 메우도록 만들어진 특정 보안 격차입니다. 이러한 앱은 스마트폰의 자체 잠금 상태에 전혀 의존하지 않습니다. 잠금 해제된 상태에서 폰을 낚아채인 경우, 운영 체제의 잠금 화면은 애초에 도난 행위 자체로 우회되었기 때문에 아무런 도움이 되지 않았을 것입니다. 자체 PIN으로 보호되는 별도의 보관함 내에 있는 파일은 도난당할 당시 스마트폰이 열려 있었는지 여부와 관계없이 잠긴 상태를 유지합니다.

감시가 소홀한 틈을 타 빼앗기는 것이 아니라 물리적으로 스마트폰을 잠금 해제하도록 강요받는 더 날카로운 위협 상황의 경우, 거부하거나 모든 것을 넘겨주는 것보다 Decoy Vault 또는 Duress Vault가 더 차분한 대안을 제공합니다. 하나는 보여주기 위해 만들어진 보관함이고, 다른 하나는 강압에 의해 열리는 순간 사라지도록 만들어진 보관함입니다.

요약

도난당한 스마트폰 자체의 암호화는 우리가 기대하는 바로 그 때, 즉 스마트폰이 잠겨 있을 때 강력합니다. 하지만 현실적인 도난 시나리오는 보통 스마트폰이 차갑게 잠긴 상태에서 뚫리는 것이 아니라 이미 잠금 해제되어 사용 중일 때 빼앗기기 때문에 이러한 보호를 완전히 건너뜁니다. 잠금 화면 미리보기를 끄고, 처음 한 시간 동안의 대처 단계를 완벽히 숙지하며, 실제로 치명적일 수 있는 파일들을 두 번째 독자적인 잠금장치 뒤에 보관하는 것은 스마트폰의 자체 보안이 도달하도록 설계되지 않은 부분을 덮어줍니다. (방식은 다르지만 교훈은 같은 데스크톱 환경의 보안 격차에 대해서는 랩톱 도난 시 데이터는 어떻게 되나를 참조하세요.)

스마트폰의 화면 상태에 의존하지 않는 두 번째 잠금을 추가하세요. vaultine.app에서 처음 10개의 파일은 무료입니다.