왓츠앱 알림만으로 안드로이드폰 해킹…구글 제미나이 취약점

안드로이드 스마트폰에서 왓츠앱 등 메신저 알림을 받는 것만으로 기기가 해킹될 수 있는 구글 제미나이의 보안 취약점이 발견됐으나 현재는 패치가 완료된 것으로 확인됐다.

4일(현지시간) 사이버보안업체 세이프브리치 랩스는 '간접 프롬프트 주입'으로 불리는 공격을 통해 안드로이드용 제미나이를 해킹하는 데 성공했다고 밝혔다.

이 공격은 해커가 왓츠앱 등 메시지 알림에 눈에 보이지 않는 악성 명령어를 숨겨 보내는 방식으로 이뤄진다. 제미나이는 사용자에게 유용한 정보를 제공하기 위해 스마트폰의 알림 내용을 읽고 분석하는데, 이 과정에서 악성 명령어를 정상적인 대화의 일부로 오인해 실행하게 된다.

연구팀은 이 취약점을 이용하면 사용자 모르게 다양한 악의적 행위가 가능하다고 설명했다. 구글 홈과 연동된 스마트 가전 제어, 스마트폰 카메라를 원격으로 켜 감시하는 행위 등이 대표적이다.

또한 해커는 제미나이가 본 알림 기록에서 가족이나 직장 상사 등 신뢰할 만한 연락처 이름을 찾아내 그 사람을 사칭한 가짜 메시지를 보내는 피싱 공격도 할 수 있다.

특히 제미나이의 장기 기억 저장소인 '저장된 정보'를 오염시켜 악성 명령이 며칠 뒤 다른 대화 세션에서도 지속되도록 만들 수 있는 것으로 나타났다.

세이프브리치 랩스는 '책임 있는 공개 절차'에 따라 해당 취약점을 구글에 비공개로 보고했다. 구글은 이후 서버 측 패치를 배포해 문제를 해결했다고 밝혔다.

세이프브리치 랩스는 현재까지 이 취약점이 실제 해킹 공격에 사용된 증거는 없다고 덧붙였다.

전문가들은 이번 사례가 AI 비서가 이메일, 메시지 등 신뢰할 수 없는 외부 데이터를 처리할 때 발생할 수 있는 근본적인 보안 문제를 보여준다고 지적했다. AI의 권한이 커질수록 해킹 시 피해 범위도 기하급수적으로 늘어날 수 있다는 분석이다.