[미르의 글로벌 레이더]새 갤럭시로 데이터 옮기기 전…양쪽 휴대폰 ‘스마트 스위치’ 업데이트부터

[미디어펜=편집국] 새 스마트폰으로 사진과 연락처를 옮기기 전, 새 기기뿐 아니라 기존 휴대폰의 데이터 이전 앱도 최신 상태인지 확인할 필요가 있다는 해외 연구진의 권고가 나왔다.

오스트리아 그라츠공대는 현지시간 15일 보도자료를 통해 삼성전자·구글 등 안드로이드 제조사 7곳의 데이터 이전 앱을 분석한 ‘클론투폰’ 연구를 소개했다. 삼성의 스마트 스위치도 분석 대상에 포함됐다.

다만 이번 발표는 최신 앱에서 아직 해결되지 않은 결함을 새로 발견했다는 의미는 아니다. 대학은 제조사들이 보고된 취약점에 대응하는 보안 업데이트를 배포했다고 명시했다. 삼성 공식 보안 공지에서도 연구와 관련된 과거 취약점의 수정 버전을 확인할 수 있다.

[MIR’s Global Radar] Moving Data to a New Galaxy? Update Smart Switch on Both Phones First

Users preparing to transfer photos and contacts to a new smartphone should check that the data migration app is up to date on both the old and new devices, researchers have advised.

In an October 15 announcement, Austria’s Graz University of Technology highlighted Clone2Pwn, a security study of data migration tools from seven major Android manufacturers, including Samsung’s Smart Switch.

The announcement does not establish a newly discovered, unresolved flaw in the latest apps. The university said manufacturers had released security updates addressing the reported vulnerabilities. Samsung’s official advisories also identify resolved versions for historical vulnerabilities associated with the research.

데이터 이전 앱은 기존 휴대폰의 사진과 연락처, 메시지, 설정 등을 새 기기로 옮기는 데 사용된다. 편리한 기기변경 기능이지만, 민감한 정보가 한꺼번에 이동한다는 점에서 보안이 중요하다.

그라츠공대와 오스트리아 정보보안기관 A-SIT 연구진은 구글·삼성·비보·샤오미·오포·화웨이·아너의 앱을 분석했다. 연구는 제조사별로 서로 다른 공격 가능성을 확인했다.

특히 삼성 스마트 스위치는 무선통신 암호화가 단순한 수동 도청을 막았지만, 연구에 사용된 과거 버전에서는 별도의 인증 문제를 이용한 중간자 공격 가능성 등이 확인됐다. 이를 모든 앱이 같은 방식으로 공격받는다거나, 가까이 있기만 하면 최신 갤럭시의 정보가 유출된다는 의미로 해석해서는 안 된다.

Data Migration Is Also a Security Checkpoint

Migration tools move photos, contacts, messages and settings between devices. Their convenience comes with a need to protect the sensitive information transferred during the process.

Researchers from TU Graz and A-SIT analysed tools from Google, Samsung, Vivo, Xiaomi, Oppo, Huawei and Honor. The attack scenarios differed between vendors.

For Samsung Smart Switch, the paper found that wireless encryption prevented simple passive eavesdropping. However, the historical version tested had a separate authentication weakness that enabled a man-in-the-middle attack. The findings should not be interpreted as showing that every tool was vulnerable in the same way or that nearby attackers can automatically extract data from current Galaxy devices.

연구진이 시험한 스마트 스위치는 3.7.64.10 버전이다. 삼성 공식 공지에 따르면 근거리 공격자가 전송 데이터를 열람할 수 있었던 인증 취약점은 3.7.66.6 버전에서 수정됐다.

민감정보 저장 및 앱 복원과 관련된 별도 취약점 3건은 3.7.67.2 버전에서 수정됐다고 공시됐다. 해당 공지는 2025년 자료다.

따라서 15일 대학의 보도자료 발행일과 취약점의 발견·수정 시점을 구분해야 한다. 논문 역시 지난 9월 유럽 컴퓨터보안 심포지엄에서 발표됐다. 이번 소식은 연구 내용을 바탕으로 데이터 이전 과정의 보안 점검 필요성을 다시 알린 것이다.

Samsung Advisories Identify Historical Fixes

The researchers tested Smart Switch version 3.7.64.10. Samsung’s official advisory says an authentication vulnerability that allowed adjacent attackers to access transferring data was resolved in version 3.7.66.6.

Three separate vulnerabilities involving sensitive information storage and application restoration were resolved in version 3.7.67.2, according to Samsung’s 2025 advisories.

The university’s October 15 announcement must therefore be distinguished from the dates of discovery and remediation. The paper was also presented at a European computer security symposium in September. The announcement provides a reminder to check migration security rather than evidence of a new unresolved vulnerability.

연구진은 스마트폰 사이에서 데이터를 옮기기 전에 양쪽 기기에 최신 데이터 이전 앱이 설치돼 있는지 확인하라고 권고했다. 필요한 보안 업데이트를 모두 적용해야 하며, 일부 경우에는 운영체제 업데이트도 필요하다고 설명했다.

소비자는 데이터 이전을 시작하기 전에 기존 휴대폰과 새 휴대폰에서 해당 앱의 업데이트 여부를 각각 확인하는 것이 좋다. 연구에 등장하는 수정 버전은 특정 과거 취약점을 해결한 기준이지, 현재 권장되는 최신 버전이라는 뜻은 아니다.

또 앱의 누적 다운로드 횟수를 실제 피해자 수로 볼 수는 없다. 이번 연구는 취약점의 악용 가능성을 검증한 것으로, 그 자체가 대규모 개인정보 유출 사고의 발생을 입증하는 자료는 아니다.

Check the Old Phone as Well as the New One

The researchers advised users to ensure that the latest migration app is installed on both devices and that all relevant updates have been applied. In some cases, an operating-system update may also be necessary.

Users should check each phone before starting the transfer. Historical resolved-version numbers identify fixes for particular vulnerabilities; they should not be treated as the latest recommended versions today.

Cumulative app downloads must also not be equated with the number of victims. The study demonstrated exploitable weaknesses, rather than establishing that a mass data breach had occurred.