삼성전자의 최신 플래그십 스마트폰 갤럭시 S25 시리즈가 세계적 해킹 대회에서 예상치 못한 방식으로 주목받았습니다.
유럽에서 열린 ‘Pwn2Own Ireland 2025’ 대회에서 보안 전문가들이 갤럭시 S25의 제로데이(Zero-day) 취약점 5건을 발견하고 실제로 시스템 내부 접근에 성공한 것입니다.
이 대회는 단순한 공격이 아니라 보안 강화를 위한 윤리적 해킹(ethical hacking) 행사로, 발견된 취약점은 즉시 제조사에 보고되어 보안 패치로 이어집니다. 그러나 이번 결과는 “삼성 스마트폰도 완벽하지 않다”는 사실을 다시금 상기시켰습니다.
1. Pwn2Own 2025: ‘가장 안전한 폰’도 뚫렸다
‘Pwn2Own’은 전 세계 최고 수준의 보안 전문가들이 참여하는 대회로, 구글·애플·삼성 등 주요 제조사의 최신 기기가 모두 실험대에 오릅니다.
올해 아일랜드 더블린에서 열린 행사에서는 갤럭시 S25, S25+, S25 울트라가 시험 대상이었으며,
참가자 중 한 팀이 삼성과 구글의 보안 계층을 순차적으로 우회하여 자체 코드를 실행하는 데 성공했습니다.
그 결과, 5개의 제로데이 취약점이 공식적으로 확인되었으며, 이는 운영체제 레벨과 One UI 보안 계층 모두에서 발생했습니다.
삼성은 즉각적으로 이를 인정하고, 구글 보안팀과 공동으로 수정 작업을 진행 중이라고 밝혔습니다.
2. 갤럭시 S25의 보안 구조와 한계
삼성전자는 갤럭시 S25에 Knox Vault, 하드웨어 기반 키스토리지, 보안 부트체인 등 첨단 보안 기술을 탑재했습니다.
이 시스템은 구글의 ‘Play Protect’ 및 안드로이드 보안 계층과 함께 작동하며,
데이터 암호화, 바이오 인증, 원격 삭제 기능 등을 통합해 왔습니다.
그러나 보안 전문가들은 다층 구조가 완벽하지 않다는 점을 지적했습니다.
취약점은 대부분 “보안 기능 간의 통신 인터페이스”에서 발생했습니다.
즉, 하드웨어 자체는 안전하지만 소프트웨어 API 연결부에서 논리적 허점이 생겼던 셈입니다.
이러한 구조적 약점은 삼성만의 문제가 아닙니다.
애플, 구글, 샤오미 등도 유사한 보안 취약점을 주기적으로 보고 받고 있습니다.
그러나 삼성은 모바일 보안의 독립성을 지키기 위해, 구글의 픽셀 시리즈보다 빠른 속도로 보안 패치를 제공해 왔습니다.
3. 제로데이란 무엇인가?
‘제로데이(Zero-day)’란 개발사조차 인식하지 못한 상태에서 해커가 발견한 보안 결함을 의미합니다.
이 취약점은 발견 즉시 악용될 위험이 높아, 정보 보안계에서는 가장 위험한 범주에 속합니다.
Pwn2Own에서는 이러한 취약점을 공개하지 않고 제조사에 비공개 전달합니다.
삼성은 이번 결과를 받은 직후 11월~12월 보안 패치에서 관련 수정사항을 포함할 예정이라고 밝혔습니다.
일부 보안 전문가들은 “삼성의 빠른 대응이 인상적이지만, 보안 생태계의 투명성도 강화해야 한다”라고 조언합니다.
이는 단순히 취약점을 막는 것을 넘어, 한국산 보안 인프라 자립성을 높이는 방향과 맞닿아 있습니다.
4. 삼성의 대응과 ‘보안 자주권’ 전략
삼성은 2024년부터 ‘K-보안 독립 프레임워크’ 구축을 추진해 왔습니다.
이 프로젝트는 구글 의존도를 낮추고, 자사 칩셋(Exynos)과 OS 레벨에서 자체 암호화 엔진을 통합하려는 시도입니다.
특히 One UI 8.5부터는 Knox Matrix라는 ‘분산 신원 인증 체계’를 도입하여,
스마트폰·태블릿·워치 간 보안을 공동 관리하는 기술을 실험 중입니다.
이번 사건은 단기적으로는 불안요소처럼 보이지만,
장기적으로는 삼성의 보안 내재화 전략을 강화하는 계기가 될 수 있습니다.
삼성 내부 관계자는 다음과 같이 전했습니다.
“보안은 완성형이 아닙니다. 새로운 취약점이 발견될 때마다 더 견고해집니다. 우리는 이번 경험을 다음 세대 시스템 보강의 기회로 삼을 것입니다.”
5. 사용자가 지금 당장 할 수 있는 보안 수칙
삼성은 패치 이전까지 사용자가 스스로 보안을 강화할 수 있는 방법을 권장했습니다.
| 항목 | 설명 |
| 보안 업데이트 자동화 | 설정 → 보안 업데이트 → 자동 설치 활성화 |
| 2단계 인증 사용 | 삼성 계정 및 주요 앱에서 OTP 인증 설정 |
| 바이러스 백신 앱 | Knox와 호환되는 공식 백신 앱만 사용 |
| 공공 와이파이 주의 | 인증되지 않은 네트워크 접속 금지 |
| 디바이스 보호 모드 | 분실 시 원격 잠금·삭제 기능 활성화 |
이와 같은 기본 수칙만 지켜도, 대부분의 사이버 위협은 예방 가능합니다.
6. 결론: ‘완벽한 보안’은 없다, 그러나 대응 속도가 다르다
갤럭시 S25의 보안 취약점은 실망스러운 뉴스일 수 있습니다.
그러나 중요한 것은 ‘문제가 없었느냐’가 아니라 ‘문제가 생겼을 때 얼마나 빠르게 대응하느냐’입니다.
삼성은 이번 사안을 숨기지 않고 공식적으로 인정하며, 즉각적인 패치 작업에 착수했습니다.
이는 단순한 기술 대응이 아니라,
한국의 기술 주권과 산업 신뢰도를 지키는 보안 주체성의 실천으로 볼 수 있습니다.
결국, 완벽한 보안은 없지만
“빠른 대응과 투명한 구조”가 기업의 신뢰를 만든다는 사실을 삼성은 이번에 보여주었습니다.
