여러분, 휴대폰이 아무 이유 없이 통화 중에 뚝 끊기거나, 갑자기 혼자 재부팅을 반복한다면 어떤 생각부터 드세요? 보통은 “통신이 잠깐 안 좋았나?” 하고 넘기실 거예요. 그런데 지난 10월 29일(현지 시간), 한 보안 연구자가 문자 한 통만으로 안드로이드 휴대폰의 전화 기능을 멈추게 할 수 있다는 결함을 공개했어요. 이름도 무시무시한 ‘SMS of Death(죽음의 문자)’, 번호는 CVE-2026-58882예요.
가장 당황스러운 점은 이 문자가 문자함에 보이지 않는다는 거예요. 아무것도 누르지 않아도, 알림 하나 없이 전화가 끊기고, 심하면 휴대폰이 재부팅을 반복할 수 있어요. 다행히 개인정보를 훔치는 공격은 아니고, 구글은 이미 고쳐 두었어요. 문제는 그 수정이 모든 휴대폰에 다 도착하진 않았다는 점이에요. 오늘 글에서는 무슨 일이 생긴 건지, 내 폰은 괜찮은지, 오늘 밤 5분 동안 무엇을 확인하면 되는지 차근차근 풀어 볼게요.
한눈에 보기: 지금까지 알려진 것
| 항목 | 내용 |
|---|---|
| 이름 | SMS of Death(죽음의 문자), CVE-2026-58882 |
| 발견한 사람 | 보안 연구자 마크 블라슈치크(Mark Blaszczyk) |
| 공개일 | 2026년 10월 29일(현지 시간), 시험용 공격 앱과 소스 코드도 함께 공개 |
| 어떤 피해 | 전화·데이터 연결이 잠깐씩 끊김, 통화(긴급 신고 전화 포함) 강제 종료, 많이 받으면 재부팅 반복 |
| 내가 할 일이 있나 | 아무것도 누르지 않아도 당하는 ‘제로클릭’ 방식이라 피할 방법은 업데이트뿐 |
| 영향받는 버전 | 연구자 시험 기준 안드로이드 12~16에서 재현 |
| 수정 상황 | 안드로이드 14~17은 2026년 10월 보안 업데이트로 수정, 12·13은 수정 대상에서 빠짐 |
| 실제 공격 | 현재까지 실제로 악용됐다는 보고는 없음 |
먼저, ‘WAP 푸시’가 뭔데요?
우리가 평소 주고받는 문자는 문자함에 뜨는 ‘사람이 읽는 문자’예요. 그런데 휴대폰은 그 말고도 사람 눈에 보이지 않는 ‘기계용 문자’를 받아요. 예전에 통신사가 인터넷 설정이나 MMS 설정을 휴대폰에 자동으로 보내 주던 방식이 대표적인데, 이런 형식을 WAP 푸시라고 불러요.
쉽게 비유하면, 아파트 우편함(문자함)이 아니라 관리실로 바로 들어가는 업무용 서류 같은 거예요. 주민은 서류가 왔는지도 모르고, 관리실 직원(휴대폰 시스템)이 알아서 열어 보고 처리하죠. 이번 결함은 바로 이 관리실 직원이 이상한 서류를 받고 쓰러지는 문제예요.
| 구분 | 일반 문자 | WAP 푸시(이번 문제) |
|---|---|---|
| 누가 읽나 | 사람 | 휴대폰 시스템 |
| 문자함 표시 | 보임 | 안 보임 |
| 보낸 번호 | 보임 | 사용자에게 드러나지 않음 |
| 원래 쓰임 | 대화, 인증번호 등 | 통신 설정, 서비스 알림 같은 기계용 정보 |
| 스팸 차단 앱으로 막기 | 어느 정도 가능 | 사실상 어려움(앱이 보기 전에 시스템이 먼저 처리) |
어떻게 휴대폰이 멈추나요? 숫자 하나가 뒤집힌 이야기
WAP 푸시 문자 안에는 “이 뒤에 오는 내용이 얼마나 긴지” 알려 주는 ‘길이’ 칸이 있어요. 안드로이드는 이 값을 읽어서 그 크기만큼 저장 공간을 준비해요. 그런데 이 값을 큰 숫자 상자에서 작은 숫자 상자로 옮겨 담을 때, 크기가 맞는지 확인을 안 했어요.
예를 들어 볼게요. 계산기 화면에 숫자가 8자리까지만 들어간다고 해 보세요. 9자리 숫자를 억지로 넣으면 앞자리가 잘리거나 엉뚱한 값이 나오잖아요. 컴퓨터의 정수 상자도 비슷해서, 너무 큰 값을 작은 상자에 밀어 넣으면 양수가 음수로 뒤집힐 수 있어요. 공격자가 딱 그렇게 되도록 만든 길이 값을 넣으면, 안드로이드는 “마이너스 21억 칸짜리 공간을 준비하라”는 말도 안 되는 명령을 받게 되고, 그 자리에서 오류가 나요.
이 오류를 아무도 받아 주지 않으니 전화를 담당하는 시스템 프로그램(com.android.phone)이 통째로 꺼져요. 이 프로그램이 다시 켜지는 1~2초 동안 통화와 데이터가 끊기는 거예요.
| 단계 | 휴대폰 안에서 일어나는 일 | 비유 |
|---|---|---|
| 1 | 기계용 문자(WAP 푸시)가 도착 | 관리실로 서류 한 장 도착 |
| 2 | 문자 속 ‘길이’ 값을 읽음 | “첨부 서류 ○○장” 칸 확인 |
| 3 | 확인 없이 작은 숫자 상자로 옮기다 음수가 됨 | “마이너스 21억 장”이라는 말도 안 되는 숫자 |
| 4 | 처리되지 않은 오류로 전화 프로그램 종료 | 직원이 당황해 쓰러짐, 관리실 업무 중단 |
| 5 | 1~2초 뒤 자동 재시작, 그 사이 통화·데이터 끊김 | 대타 직원이 올 때까지 전화 불통 |
“1~2초 끊기는 게 뭐가 대수예요?” 진짜 문제는 ‘반복’이에요
한 번 끊기고 끝이면 그냥 잠깐의 불편이에요. 그런데 이 결함이 무서운 이유는 같은 일이 계속 되풀이될 수 있다는 점이에요.
- 통신사 재전송: 휴대폰이 문자를 잘 받았다는 확인 신호를 못 보내니, 통신사는 “안 갔나 보다” 하고 같은 문자를 다시 보내요. 연구자 시험에서는 문자 한 통으로 최대 일주일 동안 간헐적인 장애가 이어졌다고 해요.
- 대기열에 남는 문자: 문제 문자가 휴대폰 안 ‘처리 대기 저장소’에 남아 있어서, 재부팅할 때마다 다시 읽다가 또 쓰러져요.
- 여러 통이면 사용 불가: 약 20통이면 휴대폰을 오랫동안 쓸 수 없는 상태가 되고, 안드로이드 12 시험 기기는 약 90초마다 복구 모드로 재부팅됐어요.
| 받은 양 | 연구자가 확인한 증상 | 생활 속 의미 |
|---|---|---|
| 1통 | 1~2초 통신 끊김, 통화 중이면 통화 종료 | “전화가 갑자기 끊겼네” |
| 1통 + 통신사 재전송 | 최대 일주일 간헐적 장애 | “요즘 폰이 자꾸 먹통이야” |
| 약 20통 | 장시간 사용 불가, 재부팅 반복 가능 | “폰이 고장 난 것 같아” |
| 재부팅 반복 상태 | 약 90초마다 복구 모드, 초기화 안내 화면 | 초기화를 누르면 사진·문자까지 삭제 위험 |
특히 긴급 신고 전화도 끊길 수 있다는 점이 걱정이에요. 정보를 훔치지는 않지만, 누군가를 고립시키려는 사람이 피해자 번호만 알면 몰래 전화를 방해할 수 있다는 뜻이니까요. 그래서 연구자는 이 결함을 단순 오류가 아니라 ‘공공 안전 문제’라고 강조했어요.
그래서 내 폰은 괜찮을까? 버전별로 정리해 볼게요
여기서 핵심은 휴대폰 브랜드가 아니라 ‘안드로이드 버전’과 ‘보안 패치 날짜’예요. 연구자는 구글 픽셀 9와 여러 삼성 갤럭시·갤럭시 A 시리즈에서 100% 재현했다고 밝혔어요. 즉 국내에서 많이 쓰는 갤럭시도 예외가 아니에요.
| 내 안드로이드 버전 | 수정 여부 | 내가 할 일 |
|---|---|---|
| 안드로이드 17 | 10월 보안 업데이트로 수정 | 보안 패치 수준이 2026년 10월 이후인지 확인 |
| 안드로이드 16 | 10월 보안 업데이트로 수정 | 위와 같음, 대기 중인 업데이트 있으면 설치 |
| 안드로이드 15 | 10월 보안 업데이트로 수정 | 위와 같음 |
| 안드로이드 14 | 10월 보안 업데이트로 수정 | 위와 같음, 제조사 업데이트가 늦으면 꾸준히 확인 |
| 안드로이드 13 | 수정 대상 아님 | 주력 폰·긴급 연락용으로는 교체 검토 |
| 안드로이드 12 | 수정 대상 아님 | 위와 같음, 특히 부모님·아이 폰 확인 |
| 아이폰 | 이번 결함과 무관(안드로이드 전화 기능 코드 문제) | 평소처럼 iOS 업데이트만 챙기기 |
여기서 하나 주의할 점이 있어요. 안드로이드 업데이트는 구글이 만들어도 실제 배포는 삼성 같은 제조사와 통신사를 거쳐서 내려와요. 그래서 같은 안드로이드 15라도 기종마다 받는 날짜가 다를 수 있어요. 또 구글은 이 결함을 10월 공식 보안 공지에는 올리지 않았고, 11월 공지에 ‘치명적(Critical)’ 등급으로 올릴 예정인 것으로 알려졌어요. 제조사 업데이트가 이 수정을 담았는지 헷갈린다면, 11월 보안 패치까지 받아 두는 것이 가장 마음 편한 방법이에요.
신고부터 공개까지, 왜 이렇게 오래 걸렸을까
연구자는 5월 5일 구글에 이 결함을 알렸어요. 구글은 6월 15일 수정 코드를 만들었고, 8월 5일 코드에 반영한 뒤, 10월 보안 업데이트로 안드로이드 14~17에 배포했어요. 보안 중심 운영체제인 그래핀OS(GrapheneOS)는 구글이 제조사에 미리 주는 보안 미리보기를 통해 7월에 이미 이 수정을 적용했다고 밝혔어요.
| 날짜(2026년) | 일어난 일 |
|---|---|
| 5월 5일 | 연구자가 구글 취약점 보상 프로그램에 신고, 수정안도 함께 제출 |
| 6월 15일 | 구글이 ‘원격 서비스 거부 수정’ 코드 작성 |
| 7월 | 제조사용 보안 미리보기로 배포, 그래핀OS 선적용 |
| 8월 5일 | 수정 코드 반영 |
| 10월 | 안드로이드 14~17 보안 업데이트에 포함(공식 공지 목록에는 없음) |
| 10월 29일 | 연구자가 분석 글과 시험용 공격 앱 공개 |
| 11월(예정) | 안드로이드 보안 공지에 ‘치명적’ 등급으로 등재 예정 |
흥미로운 건 고치는 방식이에요. 연구자는 “길이 값이 0보다 작거나 문자 전체보다 크면 바로 거절하자”는 몇 줄짜리 수정안을 냈어요. 구글은 대신 처리 중 오류가 나면 붙잡아서 넘기고, 문제 문자를 저장소에서 지우는 방식을 택했어요. 이렇게 하면 같은 문자가 다시 와도 휴대폰이 쓰러지지 않고, 재부팅 반복 고리도 끊겨요.
| 방식 | 어떻게 | 비유 |
|---|---|---|
| 연구자 제안: 입구 검사 | 이상한 길이 값이면 처음부터 거절 | “서류 장수가 이상하네요” 하고 접수 거부 |
| 구글 실제 수정: 안전망 + 청소 | 오류가 나도 프로그램이 안 죽게 잡고, 문제 문자 삭제 | 직원이 넘어져도 매트가 받아 주고, 문제 서류는 파쇄 |
왜 안드로이드 12·13은 못 고쳐 주나요?
안드로이드는 버전마다 보안 업데이트를 해 주는 기간이 정해져 있어요. 12와 13은 이 기간이 끝나서, 같은 코드를 쓰는데도 이번 수정을 받지 못했어요. 이게 안드로이드 생태계의 오래된 숙제인 ‘업데이트 공백’이에요. 예를 들어 몇 년 전 산 보급형 갤럭시 A 시리즈나, 서랍 속 공기계, 부모님께 물려드린 예전 폰이 여기에 해당할 수 있어요.
| 이런 폰이라면 | 위험도 | 추천 |
|---|---|---|
| 최신 업데이트를 받는 주력 폰 | 낮음 | 보안 패치 날짜만 확인 |
| 업데이트를 미뤄 둔 폰 | 중간 | 오늘 밤 충전하면서 설치 |
| 안드로이드 12·13에서 멈춘 폰(주력) | 높음 | 긴급 연락용 주력 폰으로는 교체 검토 |
| 유심 안 꽂은 공기계(와이파이 전용) | 낮음 | 문자를 받을 번호가 없어 이번 공격과는 거리가 멂 |
| 회사 업무용 안드로이드 | 관리 상태에 따라 다름 | 담당 부서에 보안 패치 수준 점검 요청 |
오늘 밤 5분 점검: 따라 해 보세요
메뉴 이름은 제조사마다 조금씩 달라요. 아래는 국내에서 가장 많이 쓰는 갤럭시와 구글 픽셀 기준이에요.
| 확인할 것 | 삼성 갤럭시 | 구글 픽셀 |
|---|---|---|
| 안드로이드 버전 | 설정 → 휴대전화 정보 → 소프트웨어 정보 → Android 버전 | 설정 → 휴대전화 정보 → Android 버전 |
| 보안 패치 날짜 | 같은 화면의 ‘보안 패치 수준’ | Android 버전 화면의 ‘Android 보안 업데이트’ |
| 업데이트 설치 | 설정 → 소프트웨어 업데이트 → 다운로드 및 설치 | 설정 → 시스템 → 소프트웨어 업데이트 |
| 좋은 결과 | 안드로이드 14 이상 + 보안 패치 2026년 10월 1일 이후(가능하면 11월) | |
체크리스트
- ☐ 내 폰의 안드로이드 버전을 확인했다(14 이상인가?)
- ☐ 보안 패치 수준이 2026년 10월 이후인지 확인했다
- ☐ 대기 중인 소프트웨어 업데이트가 있으면 와이파이·충전 상태에서 설치했다
- ☐ 설치 후 재부팅하고 보안 패치 날짜가 바뀌었는지 다시 봤다
- ☐ 부모님·아이·배우자 폰도 같은 방법으로 확인해 드렸다
- ☐ 안드로이드 12·13 폰이 주력 폰이라면 교체 계획을 세웠다
- ☐ 회사 업무폰은 담당 부서에 보안 패치 점검을 요청했다
- ☐ 사진·연락처 백업(구글 계정 또는 삼성 클라우드)을 켜 뒀다
혹시 폰이 재부팅을 반복한다면? 초기화부터 누르지 마세요
만약 휴대폰이 1~2분 간격으로 계속 재부팅되고 ‘데이터 초기화’ 같은 복구 화면이 뜬다면, 당황해서 바로 초기화를 누르지 마세요. 초기화하면 문제는 사라지지만 백업 안 된 사진과 문자도 함께 지워져요.
| 상황 | 이렇게 하세요 | 피하세요 |
|---|---|---|
| 통화가 가끔 툭 끊김 | 보안 패치 확인 후 업데이트 | 출처 모를 ‘통화 품질 개선’ 앱 설치 |
| 1~2분마다 재부팅 반복 | 제조사 서비스센터 방문, 다른 폰으로 통신사 상담 | 복구 화면에서 바로 ‘데이터 초기화’ |
| 개발자 도구(ADB)를 다룰 줄 앎 | 문제 문자 기록만 지우는 방법이 공유돼 있음, 백업 후 신중히 | 모르는 명령어를 그대로 복사해 실행 |
| 긴급 연락이 필요한 상황 | 가족 폰·유선전화 등 다른 수단 확보 | 고장 난 폰 하나에만 의지 |
오해 바로잡기: 확인된 것과 아닌 것
| 이런 말, 들어 보셨죠? | 실제로는 |
|---|---|
| “문자 한 통에 내 정보가 다 털린다” | 아니에요. 전화 기능을 멈추게 하는 ‘서비스 거부’ 공격이고, 정보를 빼 가거나 폰을 조종하는 공격은 아니에요 |
| “이상한 문자를 안 열면 괜찮다” | 이번 건은 문자함에 아예 안 보여서 ‘안 열기’로 막을 수 없어요. 업데이트가 답이에요 |
| “갤럭시는 상관없다” | 연구자는 갤럭시에서도 재현했어요. 브랜드보다 버전과 패치 날짜가 중요해요 |
| “이미 대규모 공격이 벌어지고 있다” | 현재까지 실제 악용 보고는 없어요. 다만 시험용 공격 앱이 공개돼 미리 업데이트하는 게 좋아요 |
| “스팸 차단 앱을 깔면 막힌다” | 시스템이 문자함보다 먼저 처리하는 구조라 일반 차단 앱으로 막기 어려워요 |
| “국내 통신사가 다 걸러 준다” | 국내 통신사가 이런 문자를 망에서 거르는지는 아직 알려지지 않았어요 |
마무리: ‘업데이트 날짜’를 한 번 들여다보는 습관
이번 ‘SMS of Death’는 화려한 해킹보다 숫자 하나 확인을 빠뜨린 작은 실수가 얼마나 큰 불편으로 번질 수 있는지 보여 줬어요. 그리고 고친 코드가 있어도, 내 손 안의 폰까지 도착해야 비로소 안전하다는 것도요.
어렵게 생각하지 마시고, 오늘 밤 딱 하나만 해 보세요. 설정 → 휴대전화 정보 → 소프트웨어 정보에서 ‘보안 패치 수준’ 날짜 확인하기. 2026년 10월 이후라면 안심하셔도 되고, 그 전이라면 업데이트 버튼을 눌러 주세요. 그리고 가족 단톡방에 “폰 보안 패치 날짜 한번 확인해 봐요” 한마디 남겨 주시면, 그게 오늘 가장 든든한 보안이에요.