Garmin Messenger 앱 사용자는 계정 접속을 위한 유일한 수단으로 SMS 인증 시스템에 과도하게 의존하는 앱의 특성으로 인해 개인정보와 관련된 보안 위험에 직면해 있으며, 이는 이전 사용자의 민감한 대화가 유출되는 결과로 이어질 수 있습니다.
이 문제는 한 사용자가 Reddit 플랫폼을 통해 게시한 보고서 이후 나타나기 시작했습니다. 해당 사용자는 새 휴대폰에 앱을 설치하고 현재 전화번호를 입력했을 때, 기존의 Garmin 계정 비밀번호를 입력할 필요 없이 SMS로 전송된 인증 코드만 입력하면 이전의 전체 대화 기록을 복구할 수 있다는 사실을 발견했습니다. 이러한 동작은 통신사가 따르는 "번호 재사용" 메커니즘과 관련된 심각한 보안 취약점을 노출합니다.
이것이 왜 실질적인 위험인가요?
통신사는 관행적으로 사용되지 않는 전화번호를 새로운 가입자에게 재할당합니다. Garmin Messenger 앱의 현재 작동 방식에 따르면, 다른 사람의 소유였던 전화번호를 획득한 사람은 SMS를 통해 해당 번호를 인증하는 것만으로 이전 소유자의 대화를 복구할 수 있습니다.
이 결함의 위험성은 앱의 사용 특성상 더욱 커집니다. 모험가와 운동선수들은 지리적 위치 데이터, 여행 계획, 오지에서의 이동 세부 정보를 공유하기 위해 이 앱을 사용합니다. 권한이 없는 제3자가 이러한 데이터에 접근하는 것은 개인정보 침해일 뿐만 아니라, 사용자의 위치를 추적하거나 향후 목적지를 파악함으로써 신체적 안전에 직접적인 위협이 될 수 있습니다.
Garmin의 대응 및 현재 상황
보고서에 따르면, Garmin 고객 지원 서비스는 이러한 동작이 "설계된 대로 작동한다"고 밝혔으나, 회사는 전달받은 결과들을 검토하는 데 동의했습니다. 또한 유명 스포츠 기술 리뷰어인 Ray Maker(DC Rainmaker로 알려짐)가 회사에 연락하여 Garmin이 이 문제를 관련 팀으로 전달했음을 확인했으나, 아직 가까운 시일 내에 수정이 이루어질 것이라는 확인이나 보안 취약점의 공식적인 인정은 이루어지지 않았습니다.
데이터를 보호하기 위해 무엇을 해야 하나요?
보고서는 휴대폰에서 앱을 단순히 삭제하는 것만으로는 전화번호와 계정 간의 연결을 끊을 수 없다고 설명했습니다. 전화번호를 변경하거나 포기할 때 데이터 유출 위험을 피하려면 앱 내에서 다음 단계를 따라야 합니다:
- Garmin Messenger 앱을 엽니다.
- 설정(Accounts)으로 이동합니다.
- Garmin Messenger 계정 관리(Manage Garmin Messenger Account)를 선택합니다.
- Garmin Messenger 계정 삭제(Delete Garmin Messenger Account) 명령을 실행합니다.
Garmin은 이 단계가 inReach 구독을 취소하지 않고 계정에서 번호의 연결을 제거할 것이라고 강조합니다.