공항이나 기차역에서 배터리가 10% 아래로 내려가면 눈앞에 보이는 무료 충전기부터 찾게 되죠.
저도 여행 갈 때 휴대폰으로 탑승권부터 지도, 결제까지 전부 쓰다 보니 배터리가 줄어들면 꽤 신경 쓰이는데요. 요즘 SNS에서는 공용 USB 충전기에 휴대폰을 연결하면 개인정보가 빠르게 빠져나갈 수 있다는 내용이 다시 퍼지고 있습니다.
특히 “0.133초 만에 개인정보가 탈취될 수 있다”는 문구가 눈에 띄는데, 이 숫자는 어디서 나온 건지부터 정확하게 볼 필요가 있어요.
- 공용 USB를 통한 공격 가능성은 보안 연구에서 확인됐어요.
- 최근 연구에서 등장한 공격 방식은 ChoiceJacking입니다.
- 133ms는 특정 삼성 스마트폰에서 측정된 가장 빠른 실험값이에요.
- 모든 공용 충전기에서 개인정보가 0.133초 만에 빠져나간다는 뜻은 아닙니다.
- 최신 운영체제에는 관련 방어 기능이 강화되고 있어요.
- 가장 간단한 방법은 내 충전기+벽면 콘센트 또는 보조배터리를 이용하는 겁니다.
0.133초라는 숫자는 어디서 나온 걸까
이 숫자의 출처는 2025년 열린 세계적인 보안 학회 USENIX Security Symposium에서 발표된 ChoiceJacking 연구입니다.
오스트리아 그라츠공과대학교 연구진은 삼성·샤오미·비보·오포·화웨이·아너·구글·애플 등 8개 제조사의 11개 스마트폰과 태블릿을 대상으로 조작된 USB 충전기를 이용한 공격을 시험했습니다.
| 시험 기기 | 파일 접근까지 걸린 시간 | 시험 조건 |
|---|---|---|
| Galaxy A14 | 167ms | 화면 잠금 해제 상태 |
| Galaxy S20 FE | 133ms | 화면 잠금 해제 상태 |
| Galaxy A33 | 267ms | 화면 잠금 해제 상태 |
| Galaxy S23 | 300ms | 화면 잠금 해제 상태 |
가장 빠른 결과가 Galaxy S20 FE의 133ms, 즉 0.133초였습니다.
그래서 SNS에서 “0.133초”라는 숫자가 등장한 건 근거가 없는 이야기는 아닙니다.
133ms는 조작된 충전기를 연구진이 만든 환경에서 특정 기기의 USB 파일 접근 승인을 우회하는 데 걸린 시간입니다. 공항에 있는 USB 충전기에 꽂기만 하면 모든 휴대폰의 사진·비밀번호·계좌정보가 0.133초 만에 전부 빠져나간다는 뜻은 아닙니다.
주스재킹에서 초이스재킹으로 달라진 부분
공용 USB 충전기의 보안 문제는 새로 생긴 이야기가 아닙니다.
주스재킹(Juice Jacking)은 충전과 데이터 전송을 함께 지원하는 USB 구조를 이용해 조작된 충전기나 케이블이 스마트폰 데이터에 접근하는 공격을 말합니다.
이후 스마트폰에는 컴퓨터와 연결할 때 사용자가 직접 데이터 전송을 허용하도록 하는 기능이 들어갔습니다.
그런데 ChoiceJacking 연구진은 여기서 새로운 문제를 찾아냈어요.
조작된 충전기가 단순히 컴퓨터처럼 행동하는 것이 아니라 키보드나 USB 액세서리처럼 동작하면서 스마트폰에 입력 신호를 보내 사용자가 눌러야 하는 데이터 연결 승인까지 대신 선택할 수 있는 방법을 확인한 겁니다.
주스재킹 → USB 충전 과정에서 데이터 연결을 노리는 방식
초이스재킹 → 사용자가 눌러야 하는 USB 연결 선택까지 우회할 수 있다는 연구
그럼 공항 무료 USB 충전기는 사용하면 안 될까
공용 USB 충전기 자체가 모두 위험하다고 볼 수는 없습니다.
이번 연구도 공항이나 기차역에서 범죄 피해가 대량으로 발생했다는 통계가 아니라 조작된 충전기를 만들었을 때 기술적으로 가능한 공격을 확인한 보안 연구입니다.
반대로 “그런 피해 사례가 거의 없으니 아무 USB나 써도 된다”는 쪽도 굳이 선택할 이유가 없어요.
콘센트나 보조배터리처럼 더 간단한 방법이 있다면 저는 공용 USB 단자를 일부러 선택할 필요는 없다고 봅니다.
| 충전방법 | 추천 정도 | 이유 |
|---|---|---|
| 내 어댑터 + 벽면 콘센트 | 가장 추천 | USB 데이터 연결 자체를 피할 수 있음 |
| 개인 보조배터리 | 추천 | 공용 충전단자 연결이 필요 없음 |
| 공용 콘센트 + 내 충전기 | 추천 | 전원만 받아 사용하는 방식 |
| 공용 USB 포트 | 가능하면 후순위 | 전원과 데이터가 같은 연결부를 사용할 수 있음 |
아이폰·갤럭시라면 업데이트도 같이 확인하세요
ChoiceJacking 연구 결과가 공개된 뒤 관련 제조사들도 방어 기능을 보완했습니다.
연구진 발표 자료에서는 Android 15와 iOS·iPadOS 18.4에서 USB 파일 접근 시 인증 절차를 강화하는 대응이 적용됐다고 설명합니다.
다만 안드로이드폰은 같은 Android 버전이라도 삼성 One UI처럼 제조사가 수정한 시스템을 사용하기 때문에 휴대폰 제조사와 보안 업데이트 상태에 따라 동작이 다를 수 있어요.
- 아이폰·갤럭시 운영체제 최신 업데이트 확인
- 공용 USB 연결 후 낯선 데이터 접근 안내가 나오면 허용하지 않기
- Android에서 USB 디버깅을 평소 켜 두었다면 필요 없을 때 꺼두기
- 여행 가방에 충전 어댑터와 보조배터리 챙기기
- 모르는 사람이 두고 간 충전 케이블 사용하지 않기
이미 공용 USB에 휴대폰을 꽂았다면
한 번 사용했다고 바로 개인정보가 빠져나갔다고 볼 이유는 없습니다.
별다른 이상이 없었고 데이터 연결이나 신뢰 요청 화면을 허용하지 않았다면 과하게 걱정할 필요는 없어요.
그래도 충전 중 이상한 연결 화면이 나타났거나 내가 누르지 않은 화면 전환이 있었다면 케이블부터 빼주세요.
- USB 케이블을 바로 분리합니다.
- 휴대폰 운영체제를 최신 버전으로 업데이트합니다.
- 설치한 기억이 없는 앱이 있는지 봅니다.
- 주요 계정의 최근 로그인 기록을 확인합니다.
- 이상한 로그인이 있다면 비밀번호를 변경하고 2단계 인증을 설정합니다.
비밀번호를 전부 바꾸기 전에 먼저 로그인 기록과 기기 연결 상태부터 보는 편이 낫습니다.
공용 USB 충전기 FAQ
공항 USB 충전기에 꽂으면 0.133초 만에 개인정보가 털리나요?
아닙니다. 0.133초는 ChoiceJacking 연구에서 Galaxy S20 FE의 잠금이 풀린 상태를 대상으로 조작된 충전기가 MTP 파일 접근을 얻은 가장 빠른 시험값입니다. 모든 공용 USB 충전기와 모든 휴대폰에 적용되는 숫자는 아닙니다.
공용 USB 충전기를 아예 사용하면 안 되나요?
모든 공용 USB 충전기가 악성 장치라는 의미는 아닙니다. 다만 내 충전 어댑터와 벽면 콘센트, 보조배터리를 사용할 수 있다면 데이터 연결 가능성이 있는 공용 USB보다 이쪽을 먼저 선택하는 편이 간단합니다.
최신 아이폰이나 갤럭시도 초이스재킹에 취약한가요?
연구에 사용된 기기는 Android 12~14와 iOS 17 계열이었고 이후 제조사 대응이 진행됐습니다. Android 15와 iOS·iPadOS 18.4 이후 관련 인증 기능도 강화됐습니다. 안드로이드는 제조사별 구현 차이가 있으므로 OS와 보안 업데이트를 최신 상태로 유지해주세요.
관련 연구와 공식 확인 자료
공격 방식·시험 기기·연구 결과 확인 Apple iOS 18.4 보안 업데이트 보기
iPhone·iPad 보안 업데이트 확인 Android USB 데이터 연결 보안 자료 보기
USB 데이터 신호 차단 관련 Android 공식 문서
휴가나 출장 갈 때 충전기 하나 더 챙기는 게 번거롭게 느껴질 수 있지만, 휴대폰 하나에 신분증·사진·결제·메신저·항공권까지 전부 들어가는 요즘에는 작은 습관 하나가 마음은 훨씬 편합니다.
저라면 공항에서 배터리가 부족하다면 보조배터리 → 벽면 콘센트+내 충전기 → 다른 방법이 없을 때 공용 USB 순서로 선택할 것 같아요.
moodin90 Blog posting
댓글 남기기