[관점]
국내에서 모바일 보안 정책은 대체로 분실과 악성 앱을 전제로 설계되어 있다. MDM 을 깔고 화면 잠금을 강제하고 앱 설치를 제한하는 구성이다. 이 통제들은 전 직원에게 고르게 적용되고, 고르게 적용된다는 점이 곧 안전의 근거로 제시된다.
그런데 상용 스파이웨어는 전 직원을 노리지 않는다. 비용이 높기 때문에 표적이 정해져 있다. 방어가 얇게 펴져 있고 공격이 한 점에 모이면, 평균적으로 안전하다는 진술은 표적이 된 한 사람에게 아무 의미가 없다.
그래서 이 사안에서 물어야 할 질문은 「우리 MDM 정책이 충분한가」가 아니다. 「우리 조직에서 표적이 될 사람은 누구이고, 그 사람에게는 무엇이 다르게 적용되는가」다. 이 질문에 답이 없다면 정책의 존재 여부와 무관하게 그 구간은 비어 있다.
2025년 11월, 삼성 갤럭시 단말의 제로데이 취약점 CVE-2025-21042 가 상용 스파이웨어 캠페인에 실제로 악용된 사실이 공개되었다. SOCRadar 는 이 취약점의 성격과 LANDFALL 로 명명된 캠페인의 관측 내용을 정리하였다.
주목할 지점은 취약점 자체보다 그것이 쓰인 방식이다. 무차별 감염이 아니라 소수를 겨냥한 감시 목적의 배포였고, 이런 유형은 국내 조직의 모바일 보안 설계가 전제하지 않는 위협이다.
취약점의 성격
CVE-2025-21042 는 이미지 처리 경로에서 성립하는 취약점이다. 이 계열의 공격이 위험한 이유는 사용자의 행위를 거의 요구하지 않는다는 데 있다. 악성 링크를 눌러야 하거나 앱을 설치해야 하는 것이 아니라, 단말이 이미지를 해석하는 것만으로 실행 조건이 만들어진다.
보안 교육의 표준 문구인 「의심스러운 링크를 누르지 마십시오」가 이 지점에서 무력해진다. 누를 것이 없기 때문이다.
CISA 는 이 취약점을 알려진 악용 취약점(KEV) 목록에 등재하였다. 이론적 위험이 아니라 실제 악용이 확인되었다는 뜻이며, 미국 연방기관에는 조치 기한이 부과된다. 국내 조직에는 직접적인 법적 구속력이 없으나, KEV 등재 여부는 내부 우선순위 산정에서 유용한 외부 기준으로 쓸 수 있다.
LANDFALL 캠페인
SOCRadar 는 이 취약점을 악용한 캠페인을 LANDFALL 로 정리하면서 표적이 된 기기군, 관측된 지역, 인프라와 귀속 단서를 절을 나누어 정리한다. 아울러 이미지 기반 모바일 익스플로잇의 계보 안에서 이 사례가 어디에 놓이는지를 함께 짚는다.
이 구성이 시사하는 것은 단발성 취약점 하나의 문제가 아니라는 점이다. 이미지 파싱은 모바일 운영체제에서 오랫동안 반복적으로 공격 표면이 되어 왔고, 상용 스파이웨어 사업자는 이 표면을 지속적으로 주시한다. 하나가 막히면 같은 계열의 다음 것이 등장한다.
원문은 마지막에 침해 지표(IOC)를 파일 해시, 구성 요소, C2 서버 주소로 나누어 제공한다. 자사 모바일 트래픽이나 EMM 로그에서 대조할 수 있는 조직이라면 확인해 볼 값이다. 다만 대부분의 국내 조직은 모바일 단말에 대해 그 수준의 가시성을 갖고 있지 않다.
대응 권고
원문이 제시하는 조치는 보안 업데이트 적용이 핵심이다. 이는 타당하지만 조직 관점에서 보면 절반의 답이다. 나머지 절반은 「누구의 단말을 먼저, 얼마나 빨리 확인할 것인가」이며, 이 질문은 기술이 아니라 관리의 영역에 있다.
국내 적용 관점
표적형 위협에 대한 대응은 전사 정책이 아니라 고위험군 별도 기준으로 설계해야 한다. 상용 스파이웨어는 단가가 높아 소수 표적에만 쓰인다. 전 직원 대상 통제를 한 단계 강화하는 방식은 비용 대비 효과가 낮고, 정작 표적이 된 인원에게는 여전히 부족하다. 대상은 직급이 아니라 취급 정보로 정의하는 편이 정확하다. 미공개 재무·인수합병 정보를 다루는 인원, 대외 협상과 법무 대응 담당, 핵심 기술 정보 접근 권한을 가진 연구·개발 책임자, 정보보호·인프라 최고 권한 계정 보유자가 여기에 해당한다. 순서는 목록이 먼저다. 통제 항목을 늘리기 전에 대상자 명단을 문서로 확정하고 인사·법무와 합의해 두어야 한다. 목록 없이 통제부터 손대면 적용 대상이 모호해져 결국 전사 정책으로 회귀한다. 명단은 분기마다 갱신한다 — 인사 이동과 프로젝트 편성에 따라 취급 정보가 바뀌기 때문이다.
국내 임원 단말의 동질성이 위험을 키운다. 국내 조직의 임원 단말은 제조사와 기종이 몰려 있는 경우가 많고, 업무 메신저와 메일이 그 위에서 돌아간다. 단일 제조사의 제로데이 하나가 곧 경영진 전체의 노출로 직결되는 구조다. 여기에 갤럭시 계열은 국내 점유가 높아 표본이 크다. 기종 다변화는 현실적이지 않으므로, 대신 업데이트 적용 상태를 주 단위로 확인하는 절차와 제조사가 제공하는 고위험 사용자용 강화 모드의 활성화 여부를 관리 항목으로 올려야 한다. 확인 순서는 기종 파악이 아니라 업데이트 적용 상태다. 기종은 바꿀 수 없지만 적용 지연은 줄일 수 있다. 대상자 단말의 패치 수준을 한 번 집계해 보면 대개 몇 대가 몇 달 뒤처져 있다. 그 몇 대가 우선 대상이며, 전체 정책을 손보는 것보다 효과가 빠르다.
모바일 침해는 탐지보다 확인 경로를 먼저 갖춰야 한다. 단말 로그 접근이 제한적이고 EDR 수준의 가시성 확보도 어렵다. 그래서 필요한 것은 탐지 체계가 아니라 이상 징후가 보고되었을 때 무엇을 어떤 순서로 확인할지에 대한 절차다. 실무에서 가장 흔한 실패는 의심 상황에서 사용자가 먼저 단말을 초기화하는 것이다. 초기화는 조사 가능성을 그 자리에서 없앤다. 고위험군 안내문에 「이상하다고 느끼면 초기화하지 말고 연락할 것」이라는 한 줄을 넣어 두는 것만으로 사후 대응의 폭이 달라진다. 외부 포렌식 지원처를 미리 정해 두는 것도 같은 맥락이다. 이 선정은 사고 전에 끝내야 한다. 사고 후에 찾으면 계약과 비밀유지 협의에만 며칠이 걸리고, 그 사이 해당 단말은 계속 사용된다. 지원처와는 대상 기종·확보 가능한 데이터 범위·소요 기간을 미리 확인해 두는 편이 좋다.
단말 점검 절차는 근로자 감시 쟁점에 닿는다. 점검의 범위와 절차, 확인 주체를 사전에 문서화하고 대상자에게 고지해 두어야 한다. 사고 이후에 절차를 만들면 그 절차 자체가 쟁점이 되어 조사가 지연된다. 고지는 개별 동의를 매번 받기보다 취업규칙이나 정보보호 지침에 근거를 두는 편이 안정적이다. 다만 실제 점검 시점에 대상자에게 다시 알리는 절차를 함께 두어야 한다. 근거와 통지는 서로를 대체하지 않는다.
고위험군 단말 점검 항목
질문 1 고위험군 대상자 목록이 문서로 존재하는가?
직급이 아니라 취급 정보 기준으로 정의되어 있는가?
질문 2 대상자 단말의 업데이트 적용 상태를 어떤 주기로 확인하는가?
질문 3 단말 이상 징후 발생 시 확인 절차와 연락 경로가 문서로 있는가?
「초기화하지 말 것」이 안내에 포함되어 있는가?
질문 4 외부 포렌식 지원처가 사전에 지정되어 있는가?
질문 5 점검 범위·절차·주체의 근거가 지침에 있고 대상자에게 고지되었는가?출처 · SOCRadar, CVE-2025-21042: Samsung Galaxy Zero-Day Exploited in LANDFALL Spyware Campaign (2025-11-11)