NowSecure, 모바일 앱 136,711개 분석…97%에서 PQC 코드 미검출

모바일 앱의 암호화 공백: 수치로 본 현황

2026년 7월부터 10월 5일까지 90일간 NowSecure Platform을 활용해 수행된 이번 분석은 번들 ID 또는 패키지명 기준으로 중복을 제거한 고유 앱 13만 6,711개를 대상으로 했다. 이 중 PQC 관련 코드나 라이브러리를 포함한 앱은 4,241개(3.1%)에 불과했다. 미국 내 주요 인기 앱만 추려도 양자 안전 코드가 확인된 비율은 10%에 미치지 못했다.

분석 방법은 앱 바이너리의 정적 검사로, 런타임 실제 사용 여부가 아닌 이진 파일 내 코드 존재 여부를 기준으로 한다. 따라서 운영체제·네트워크 스택·서버 단에서 PQC 보호가 이루어지더라도 이번 집계에는 반영되지 않는다는 점을 유의해야 한다.

현재 진행 중인 암호화 취약점도 방치 상태

미래의 양자 위협과 별개로, 현재 사용 중인 취약 암호화 알고리즘 문제도 심각하다. 런타임 테스트를 통해 DES, RC4 등 레거시 알고리즘을 사용하는 앱이 Android·iOS 합산 3,100개 이상에서 발견됐다. 공개키 암호화 취약성에 대한 양자 대비 마이그레이션 논의 이전에, 당장 교체 가능한 구식 암호화가 상당수 앱에서 여전히 쓰이고 있다는 의미다.

또한 개발자들은 자신이 직접 작성하지 않은 암호화 코드, 즉 서드파티 라이브러리에 포함된 암호화 구현체를 함께 배포한다. 소스 코드 검토만으로는 이를 파악할 수 없고, 실제 사용자가 다운로드하는 완성된 앱 바이너리를 분석해야만 전체 암호화 현황을 파악할 수 있다.

Q-Day 2029설과 연방 기관의 준비 부족

Gartner는 국가 행위자가 암호학적으로 유의미한 양자컴퓨터(CRQC)를 확보하는 시점인 Q-Day가 이르면 2029년에 도래할 수 있다고 분석했다. 같은 기관의 2026년 CISO 설문에서는 응답자의 45%가 PQC 관련 활동을 전혀 시작하지 않았고, 39%는 계획 수립 또는 초기 테스트 단계에만 머물러 있다고 밝혔다.

미국 연방 정부 차원에서는 행정명령 14412가 고가치·고영향 시스템의 양자 안전 키 교환 방식 전환을 2030년 12월 31일까지 완료하도록 지시하고 있다. 그러나 지난 10월 6일 공개된 미국 정부책임국(GAO) 보고서에 따르면, 주요 연방 기관 24개 중 PQC 준비 권고 사항을 완전히 이행한 곳은 단 한 곳도 없었다. 암호화 전문 인력 부족과 인벤토리 구축 미비가 주요 원인으로 지목됐다.

'지금 수집, 나중에 복호화(harvest now, decrypt later)' 공격은 Q-Day 이전에도 이미 진행 중인 위협이다. 모바일 앱은 기업 네트워크 통제 밖의 공공 셀룰러·로밍 환경에서 민감 데이터를 전송하기 때문에 이 위협에 특히 취약하다는 점에서 CISA·NSA·NIST 공동 마이그레이션 권고안도 이를 명시적으로 언급하고 있다.

3단계 권고안과 마이그레이션 비용

NowSecure는 모바일 앱에 대해 최소 2년의 PQC 마이그레이션 계획을 수립할 것을 권고한다. 1단계는 자사 및 서드파티 앱 전체의 암호화 현황 인벤토리 작성, 2단계는 자사 앱 취약 구현체 수정 및 서드파티 앱에 대한 벤더 협의 또는 대안 전환, 3단계는 수정된 PQC 알고리즘과 앱 재검증이다.

새로운 PQC 알고리즘은 기존 알고리즘보다 크기가 크고 연산 오버헤드도 높아 앱 성능과 아키텍처에 영향을 미친다. 서드파티 컴포넌트의 경우 여러 개발사 및 벤더와의 조율이 필요해 시간이 더 소요된다. Gartner는 마이그레이션 시작이 1년 늦어질 때마다 비용이 두 배로 증가할 수 있다고 경고한다.