아이폰을 떠났다.

아이폰을 떠났다.

애플의 보안 신화를 더는 믿지 않는다

아이폰에서 갤럭시로 갈아탔다. 나에게는 꽤 큰 사건이다. 나는 오랫동안 아이폰을 사용했고, 한 번 익숙해진 제품을 별다른 이유 없이 바꾸는 편도 아니다. 그런데 이번에는 바꿨다. 단순히 새로운 휴대폰이 갖고 싶어서가 아니다. 내가 아이폰을 선택할 때 중요하게 생각했던 여러 비교우위가 예전만큼 분명하지 않다고 판단했고, 그중에서도 특히 오랫동안 아이폰의 강력한 장점처럼 이야기되어 온 ‘보안’에 대해 더 이상 과거와 같은 신뢰를 가질 이유가 없다고 생각했기 때문이다.

먼저 분명히 해둘 것이 있다. 아이폰이 보안 기능이 없는 휴대폰이라는 이야기는 아니다. iOS에는 코드 서명, 샌드박스, 권한 통제, 하드웨어 기반 보안 등 상당히 정교한 방어체계가 존재한다. 문제는 그것과 “아이폰은 잘 뚫리지 않는다”, “안드로이드보다 본질적으로 안전하다”, “보안이 중요하면 무조건 아이폰이다”라는 소비자 인식은 전혀 다른 주장이라는 것이다. 실제 공격 기록을 보면 적어도 후자의 단순한 믿음은 유지하기 어렵다.

가장 최근 자료부터 보자. 애플이 2026년 7월 27일 공개한 iOS 26.6 보안 업데이트 문서에는 단순한 앱 충돌 수준을 넘어서는 취약점들이 줄줄이 적혀 있다. 악성 앱이 커널 권한으로 임의 코드를 실행할 수 있는 취약점, 악성 앱이 코드 서명 검사를 우회할 수 있는 취약점, 앱이 샌드박스를 탈출할 수 있는 취약점, 보호된 사용자 데이터에 접근할 수 있는 취약점, 잠긴 기기에서 민감한 정보를 볼 수 있는 문제 등이 패치됐다. 이것은 외부 언론의 추측이 아니라 애플이 직접 공개한 보안 문서다.

그보다 불과 두 달 전인 2026년 5월의 iOS 26.5에서도 개인정보 보호 설정 우회, 커널 메모리 구조 노출, 커널 메모리 읽기, 민감한 사용자 데이터 접근, 화면 캡처와 관련된 문제 등이 수정됐다. 다시 말해 오늘날 iOS 역시 다른 거대한 운영체제와 마찬가지로 끊임없이 취약점이 발견되고 수정되는 시스템이다. 아이폰이라는 이유만으로 공격면에서 특별히 분리된 안전지대에 있다고 생각할 근거는 없다.

더 중요한 문제는 취약점이 단순히 연구실에서 발견되는 데 그치지 않았다는 것이다. 실제 공격에 사용된 사례가 반복적으로 확인됐다. 2025년 2월 애플은 CVE-2025-24200을 수정하면서, 잠긴 기기의 USB Restricted Mode를 무력화할 수 있는 문제가 특정 표적을 겨냥한 고도로 정교한 공격에 실제 악용됐을 가능성이 있다고 밝혔다. 같은 보안 공지에는 악의적으로 만들어진 사진이나 영상을 iCloud 링크로 공유하는 과정과 관련된 취약점 역시 실제 표적 공격에 이용됐다는 보고를 애플이 인지하고 있다고 적혀 있다.

한 달 뒤인 2025년 3월에는 WebKit 취약점이 패치됐다. 애플 설명에 따르면 악의적으로 제작된 웹 콘텐츠가 Web Content 샌드박스를 벗어날 수 있었으며, 이 취약점 역시 특정 개인을 겨냥한 고도로 정교한 공격에서 실제 악용됐을 가능성이 있었다. 보안에서 샌드박스는 앱이나 웹 콘텐츠가 시스템의 다른 영역으로 침범하지 못하도록 막는 핵심 경계다. 그런데 바로 그 경계를 벗어나는 취약점이 실제 공격과 연결돼 있었다.

2025년 4월에는 더 직접적인 사례가 나왔다. iOS 18.4.1에서 악성 미디어 파일의 오디오 스트림을 처리하는 것만으로 코드 실행으로 이어질 수 있는 CoreAudio 취약점 CVE-2025-31200이 수정됐고, 임의 읽기·쓰기 능력을 확보한 공격자가 애플의 Pointer Authentication을 우회할 수 있는 CVE-2025-31201도 함께 수정됐다. 애플은 두 문제 모두 특정 표적을 겨냥한 매우 정교한 공격에서 실제 악용됐을 가능성을 인정했다. Pointer Authentication은 메모리 공격을 어렵게 만들기 위해 애플이 사용하는 중요한 방어 장치인데, 그 방어선을 우회하는 취약점까지 실제 공격 맥락에서 발견된 것이다.

2025년 8월에는 ImageIO의 메모리 손상 취약점 CVE-2025-43300이 긴급 수정됐다. 악의적으로 만들어진 이미지 파일을 처리하는 과정에서 메모리 손상이 발생할 수 있었고, 애플은 역시 특정 개인을 대상으로 한 극도로 정교한 공격에 악용됐을 가능성이 있다고 밝혔다. 우리가 일상적으로 생각하는 ‘해킹’처럼 수상한 프로그램을 직접 설치해야만 공격이 시작되는 것이 아니라 이미지, 웹 콘텐츠, 메시지, 미디어 처리 계층 자체가 공격 표면이 될 수 있다는 뜻이다.

그리고 이것은 2025년에 갑자기 시작된 이야기도 아니다. 아이폰 보안 신화를 가장 크게 흔들었던 사건 가운데 하나가 Pegasus다. Citizen Lab은 2023년 BLASTPASS라는 공격 체인을 발견했다. 당시 공격은 최신 버전이었던 iOS 16.6을 실행하는 아이폰을 피해자의 아무런 조작 없이 감염시킬 수 있었다. 공격자는 iMessage를 통해 악성 이미지를 포함한 PassKit 첨부물을 전달했고, 사용자가 링크를 누르거나 파일을 실행할 필요조차 없었다. 말 그대로 제로클릭 공격이었다.

그 전에도 같은 계열의 공격은 반복됐다. Citizen Lab이 분석한 PWNYOURHOME은 HomeKit과 iMessage의 프로세스를 연속적으로 공격하는 2단계 제로클릭 체인이었고, 피해자가 HomeKit을 한 번도 설정하지 않은 경우에도 성공할 수 있었다고 연구진은 설명했다. 2022년에 발견된 여러 아이폰 감염 사례를 통해 이러한 공격이 실제 현실에서 사용됐다는 사실도 확인됐다.

Google Project Zero가 분석한 FORCEDENTRY는 더욱 인상적이다. 공격자는 iMessage에 파일을 보내는 것만으로 이미지 처리 취약점을 이용해 원격 코드 실행을 시작했고, 이후 샌드박스 탈출까지 연결했다. Google Project Zero 연구진은 이 공격을 자신들이 지금까지 분석한 것 가운데 가장 기술적으로 정교한 공격 중 하나라고 평가했다. 다시 말하면 아이폰의 보안 구조가 강하기 때문에 공격 비용이 높을 수는 있지만, 충분한 자원과 기술을 가진 공격자에게 그것이 절대적인 장벽은 아니었다.

Amnesty International의 포렌식 조사에서도 iMessage 제로클릭 공격을 통해 iPhone 11과 iPhone 12가 Pegasus에 실제 감염된 증거가 발견됐다. 당시 조사에서는 수천 대의 아이폰이 잠재적으로 영향을 받았을 가능성까지 제기됐다. 이것 역시 “아이폰은 바이러스가 없다”거나 “아무것도 누르지 않으면 안전하다”는 식의 단순한 보안 상식이 현실의 고급 공격에서는 통하지 않는다는 사례다.

물론 여기에서 한 가지는 정확하게 구분해야 한다. 이런 Pegasus 계열 공격은 일반 사용자를 무차별적으로 노리는 흔한 범죄가 아니라 정치인, 언론인, 활동가, 외교관 등 가치가 높은 표적을 겨냥한 고비용 공격인 경우가 많다. 따라서 “아이폰 사용자는 누구나 곧바로 해킹된다”는 결론도 틀렸다. 그러나 내가 문제 삼는 것은 그것이 아니다. 보안이 아이폰만의 압도적인 비교우위라는 주장이다. 최신 iOS를 사용해도 아무런 클릭 없이 뚫린 실제 사례가 존재하고, 애플 자신이 해마다 실제 악용된 제로데이를 수정하고 있다면 적어도 “아이폰이니까 안심”이라는 브랜드 신화는 현실적인 보안 모델이 아니다.

반대편도 과거의 안드로이드와 같지 않다. 특히 삼성은 Knox를 통해 Secure Boot, 하드웨어 Root of Trust, Arm TrustZone, 하드웨어 키와 변조 탐지 등의 방어체계를 구축하고 있고, 일부 최신 기기에는 메인 애플리케이션 프로세서와 독립된 프로세서·메모리·보안 저장소를 가진 Knox Vault를 제공한다. 삼성 문서에 따르면 Knox Vault는 메인 Android 프로세서가 침해되더라도 암호화 키와 인증정보 같은 민감한 정보를 별도의 보안 하드웨어에서 보호하도록 설계돼 있다. 이것만으로 “갤럭시가 아이폰보다 무조건 안전하다”고 결론 내릴 수는 없지만, 적어도 “아이폰은 보안폰이고 안드로이드는 허술하다”는 10년 전 식의 구분은 현재의 기술 구조를 제대로 설명하지 못한다.

업데이트 지원에서도 격차가 크게 줄었다. 삼성은 Galaxy S24 시리즈부터 7세대 OS 업그레이드와 7년의 보안 업데이트를 제공한다고 공식 발표했다. 과거 안드로이드 진영의 대표적인 약점 가운데 하나였던 짧은 업데이트 지원 기간도 적어도 주요 갤럭시 플래그십에서는 과거와 같은 수준의 약점이라고 말하기 어려워졌다.

그러니 내가 갤럭시로 옮기면서 내린 결론은 “삼성은 절대 뚫리지 않는다”가 아니다. 그런 휴대폰은 없다. 오히려 정반대다. 어떤 스마트폰도 뚫릴 수 있다. 그렇다면 특정 브랜드가 만들어놓은 보안 이미지만 믿기보다 실제 보안 구조, 업데이트 정책, 취약점 대응 속도, 자신의 위협 모델을 봐야 한다. 아이폰도 뚫리고, 갤럭시도 뚫릴 수 있다. 중요한 것은 누가 마케팅에서 더 안전해 보이느냐가 아니다.

그런 관점에서 보면 나에게 아이폰의 비교우위는 훨씬 약해진다. 한때는 보안, 앱 품질, 카메라, 성능, 생태계 같은 여러 장점이 아이폰의 제약과 높은 전환비용을 감수할 이유를 만들어줬다. 그러나 지금은 경쟁 제품의 완성도가 크게 높아졌고, 보안에서도 애플만이 가진 절대적인 성역 같은 것은 존재하지 않는다. 오히려 2026년의 애플 보안 문서를 직접 펼쳐보면 커널 권한 코드 실행, 코드 서명 우회, 샌드박스 탈출, 개인정보 접근 같은 취약점이 지금도 발견되고 있다.

그래서 나는 이제 “보안 때문에 아이폰을 쓴다”는 말을 예전처럼 받아들이지 않는다. 애플의 보안 설계가 뛰어난 부분이 있다는 사실과 아이폰이 안전하다는 브랜드 이미지는 구분해야 한다. 공격자가 충분한 능력을 갖추고 있다면 iMessage 하나, 웹 콘텐츠 하나, 이미지나 미디어 처리 하나가 침투 경로가 될 수 있다는 것이 이미 여러 차례 현실에서 증명됐다.

아이폰에서 갤럭시로 갈아탔다. 나에게는 아주 큰 사건이다.

하지만 더 큰 변화는 휴대폰의 로고가 바뀐 것이 아니다. 제품을 평가하는 기준이 바뀌었다. 나는 이제 기업의 과거 명성을 현재의 비교우위로 인정하지 않는다. 과거에 가장 안전했다고 평가받았다고 해서 지금도 자동으로 가장 안전한 것이 아니고, 과거에 가장 완성도가 높았다고 해서 오늘도 반드시 가장 좋은 제품인 것도 아니다.

애플이 다시 압도적으로 좋은 제품을 만든다면 나는 언제든 다시 아이폰을 살 수 있다. 삼성 역시 뒤처지면 떠날 것이다. 소비자가 기업에 충성해야 할 이유는 없다. 기업이 매 세대마다 소비자의 선택을 다시 받아내야 한다.

그리고 적어도 지금의 나에게는 “아이폰이니까 보안은 걱정하지 않아도 된다”는 말은 더 이상 구매 이유가 아니다.

보안 신화는 믿음으로 유지되는 것이 아니라 실제 공격 앞에서 증명되어야 한다.

그 시험에서 아이폰은 이미 여러 번 뚫렸다.