[해외보안뉴스] 윈도우·리눅스·안드로이드의 파일 변경 알림 시스템, 사용자 활동 정보 유출 위험 확인
· 2026-09-26 06:00
· 조회 22
· 원문 ↗
주요 운영체제인 Windows, Linux, Android의 파일 변경 알림(File Notification) 시스템을 악용해 사용자의 민감한 활동 정보를 추적할 수 있다는 연구 결과가 발표되었습니다. 보안 연구진에 따르면, 시스템 내 파일의 생성·수정·삭제 이벤트를 애플리케이션에 알려주는 이 기능이 악의적인 모니터링에 활용될 경우 사용자의 주요 행위가 그대로 노출될 수 있습니다.
이번 이슈는 특별한 권한이 없는 일반 애플리케이션이라도 파일 알림 API를 활용하면 사용자의 행동 패턴을 정밀하게 유추할 수 있다는 점에서 영향 범위가 매우 넓습니다. 연구진은 알림 시스템을 통해 키보드 입력 타이밍(Keystroke timing)을 추적하거나, 웹 브라우저의 캐시 파일 변경 알림을 통해 방문한 웹사이트를 파악하고, WhatsApp 등 메신저에서 미디어 파일이 수신되는 시점을 정확히 감지할 수 있음을 증명했습니다. 이는 권한 격리를 우회하는 일종의 부채널(Side-channel) 공격으로 작용합니다.
이러한 정보 유출 위험을 완화하기 위해 운영체제 개발사 차원에서 파일 알림 API에 대한 접근 권한을 강화하거나 이벤트 전달 빈도를 제한(Rate Limiting)하는 보안 패치가 요구됩니다. 사용자 측면에서는 검증되지 않은 3자 애플리케이션의 설치를 주의하고, 운영체제 및 주요 소프트웨어를 최신 상태로 유지하여 잠재적인 악성 모니터링 위협에 대비해야 합니다.
♥ 추천 0
OS 수준의 파일 변경 감지 API(Inotify, ReadDirectoryChangesW 등)가 타이밍 기반 사이드 채널 공격의 통로가 된 전형적인 사례입니다.
성능과 편의성을 위해 실시간성을 보장하던 이벤트 시스템에 이제는 이벤트 배치(Batching) 처리나 딜레이 추가 같은 완화책이 커널/OS 아키텍처 단계에서 도입되어야 합니다.
애플리케이션 개발자 역시 키스트로크나 상태 변화를 실시간 임시 파일 I/O로 기록하는 로직이 유출의 실마리가 될 수 있음을 인지하고 메모리 내 처리 및 샌드박싱에 더 신경 써야 합니다.
파일 시스템 변경 알림 기능은 권한이 낮은 로컬 프로세스에서도 접근이 가능해, 별도의 특권 승격 없이 은밀하게 정보 수집이 가능한 매력적인 측면 공격(Side-channel) 벡터입니다.
키 입력 타이밍이나 특정 앱의 파일 생성 패턴을 관찰하면 위험한 API를 호출하지 않고도 정찰(Reconnaissance) 활동을 수행할 수 있어 기존 EDR이나 AV의 탐지를 손쉽게 우회할 수 있습니다.
공격자 관점에서는 이렇게 수집한 사용자 활동 정황을 기반으로 가장 효과적인 타이밍에 후속 공격이나 피싱 페이로드를 전달하는 데 유용하게 악용할 수 있습니다.
OS 레벨의 파일 변경 알림 기능이 부채널(Side-channel) 공격 경로로 악용될 수 있다는 점은 기존 권한 통제 모델의 허점을 보여주는 심각한 리스크입니다. 기업 관점에서는 단말 내 비인가 프로세스의 OS API 오용을 탐지할 수 있도록 EDR 정책과 모니터링 가시성을 조속히 재점검해야 합니다. 주요 OS 벤더의 패치 동향을 주시하면서, 임직원 단말에 대한 최소 권한 원칙(Least Privilege)과 애플리케이션 통제 거버넌스를 한층 강화하겠습니다.