구글이 안드로이드 17 QPR2 베타3을 통해 이동통신 네트워크 보안 기능을 대폭 강화했다. 지난 8월 14일(현지시각) 공개된 이번 베타는 모뎀이 감지한 보안 위협을 기록으로 남기는 “SIM 보안 타임라인”과 통화·문자 암호화 상태를 확인할 수 있는 화면을 새로 담았다. 다운그레이드 공격, 재밍, 위치추적 등 여러 유형의 셀룰러 공격에 대한 경고 기능도 준비 중인 것으로 나타났다. 여기에 보이스피싱에 악용되는 통화 착신전환 코드를 차단하는 보안 조치까지 더해져, 이번 베타는 개인정보와 모바일 금융 안전을 동시에 겨냥한 업데이트로 평가된다. 안드로이드 17 QPR2 정식 버전은 오는 12월 배포될 예정이다.

SIM 보안 타임라인, 모뎀이 감지한 위협을 기록으로 남긴다

구글은 안드로이드 16에서 처음 도입한 “모바일 네트워크 보안(Mobile Network Security)” 기능을 이번 베타에서 한 단계 발전시켰다. 안드로이드 16의 “네트워크 알림” 기능은 암호화되지 않은 네트워크나 가짜 기지국(스팅레이)에 연결됐을 때 실시간으로 경고를 띄워줬지만, 알림을 한 번 닫으면 기록이 남지 않아 놓치기 쉬웠다.

이번 베타3에 새로 등장한 “SIM 보안 타임라인”은 이 문제를 해결한다. 모뎀이 감지한 보안 이벤트를 시간 순으로 기록해 지속적으로 보관하는 방식이다. 가짜 기지국이나 불법 네트워크가 단말기 고유식별번호(IMEI)나 가입자식별번호(IMSI)를 수집하려 시도하면 해당 이벤트가 타임라인에 저장된다. 유심(SIM)을 여러 개 꽂아 쓰는 사용자는 어떤 통신사 회선이 공격 대상이 됐는지 카드별로 필터링해 확인할 수도 있다.

기존 “2G 네트워크 보호” 토글 위쪽에는 “SIM 보안 정보”라는 새 항목도 추가됐다. 이 화면은 “현재 SIM 연결에 대한 암호화 방식 개요”를 보여주며, 특정 세대 네트워크로 연결된 적이 없으면 해당 암호화 항목이 표시되지 않을 수 있다고 안내한다. 확인 가능한 항목은 통화·문자(CS), 통화 개시(SIP), 통화 데이터(RTP), 데이터 인증(NAS), 데이터(PS), 데이터 전송(AS), 응급 통화 데이터(RTP), 응급 통화 개시(SIP) 등 8가지다.

다운그레이드·재밍·위치추적까지…경고 대상 확대

베타 코드 안에는 더 다양한 셀룰러 공격을 감지하는 알림 문구도 담겨 있다. 기존에는 단순히 암호화되지 않은 네트워크라는 경고에 그쳤지만, 이번에는 공격 유형별로 세분화된 경고가 준비되고 있다.

우선 “다운그레이드 공격”은 기기를 2G·3G·4G 같은 구형 프로토콜로 강제 전환시켜 암호화를 무력화하는 방식이다. “감금(Imprisonment) 공격”은 기기를 특정 연결 루프에 가둬 정상적인 통신사 신호를 차단하는 형태다. “서비스 거부(DoS)·재밍 공격”은 주파수나 신호 채널에 과부하를 일으켜 수신을 방해하고, “위치추적 공격”은 셀룰러 프로토콜의 약점을 이용해 몰래 사용자 위치를 삼각측량한다. 여기에 통신사가 보내지 않은 가짜 긴급 문자나 알림, 즉 “인증되지 않은 SMS·응급 메시지”에 대한 경고도 새로 준비됐다.

이 같은 변화는 단순 경고창 수준이었던 기존 셀룰러 보안 알림 체계를 종합적인 감사 로그 수준으로 끌어올린다는 의미가 있다. 개인정보에 민감한 사용자라면 모뎀 단계에서 벌어지는 감시 시도를 훨씬 구체적으로 들여다볼 수 있게 되는 셈이다.

보이스피싱 겨냥한 통화 착신전환 차단, 모바일 금융 사기까지 방어

이번 베타의 또 다른 핵심은 통화 착신전환을 악용한 사기 방어다. 구글은 프로그래밍 방식의 통화 착신전환에 강력한 보안 제한을 걸었다. 배경에서 실행되는 API를 통해 호출되는 비정형 부가서비스 데이터(USSD) 코드를 시스템이 파싱해 선별적으로 제한하는 구조다.

구체적으로 TelephonyManager.sendUssdRequest() API는 앱이 CALL_PHONE 권한만 보유한 상태에서는 착신전환 코드에 접근할 수 없게 됐다. 일반 앱이 백그라운드에서 이 같은 코드를 실행하려 시도하면 차단되고 “USSD_ERROR_NOT_ALLOWED” 콜백이 반환된다. 사용자가 시스템 다이얼러로 착신전환 코드를 직접 입력할 경우에도 명령이 실행되기 전에 운영체제 차원의 확인창이 뜬다. 반면 모바일 결제 송금이나 잔액 조회 등 착신전환과 무관한 USSD 요청은 영향을 받지 않는다.

이 조치는 스마트폰이 금융 허브 역할을 하는 지역에서 특히 의미가 크다. 케냐의 M-Pesa, 나이지리아의 OPay 같은 모바일 금융 플랫폼 이용자를 노린 정교한 사회공학적 사기를 차단하려는 목적이 담겨 있다. 통화 착신전환 코드를 악용해 피해자의 전화를 가로채는 방식의 보이스피싱이 오랫동안 이어져 온 만큼, 권한 요건을 높이고 사용자 확인 절차를 넣어 공격 성공률을 낮추려는 시도로 풀이된다.

12월 정식 출시 앞두고 이어지는 베타 테스트

안드로이드 17 QPR2 베타3은 8월 14일(현지시각) 배포됐다. 베타 프로그램에서 금요일 업데이트는 흔치 않은 편이라 눈길을 끌었다. 이번 빌드는 CP41.260731.005.A2와 CP41.260731.005.B1 두 종류로 나오며, 2026년 8월 5일자 보안 패치와 구글플레이 서비스 26.26.34 버전을 포함한다. 픽셀6a, 픽셀7 시리즈, 픽셀8 시리즈, 픽셀9 시리즈, 픽셀10 시리즈, 픽셀 폴드, 픽셀 탭 등 여러 기종과 에뮬레이터에서 시스템 이미지와 무선 업데이트(OTA)를 받을 수 있다.

이번 베타는 안정성 문제 두 가지도 함께 해결했다. 알림창과 빠른 설정 메뉴를 열 때 화면이 깨지거나 기기가 갑자기 재부팅되는 문제, 그리고 기기 상태 및 지원 도구가 배터리 용량 저하를 잘못 경고하던 문제다. 안드로이드 17 자체는 올해 초 정식 출시됐으며, QPR2는 12월 기능 업데이트(Feature Drop)로 자리매김할 예정이다. 다만 구글은 QPR2의 정확한 정식 출시일은 아직 공개하지 않았다.

이번에 확인된 셀룰러 보안 기능들은 아직 코드 단계에서 발견된 내용으로, 실제 정식 버전에 그대로 반영될지는 지켜봐야 한다. APK 분석은 개발 중인 코드를 바탕으로 향후 기능을 예측하는 작업이라, 예측된 기능이 최종 공개 버전에 포함되지 않을 가능성도 있다.