Hepo·Hepotok·헤포톡은 어떤 정보까지 탈취가 가능할까?

Hepo·Hepotok 헤포톡, ‘오류로 종료됐다’는 안내 뒤에 숨은 정보 전송 기능

앱을 설치하고 설정했는데 “알 수 없는 오류로 인해 애플리케이션이 종료되었습니다”라는 문구가 나타났다면 어떻게 생각할까요. 정상적으로 실행되지 않았으니 개인정보도 넘어가지 않았을 것이라고 판단하기 쉽습니다. 상대방이 알려준 앱을 사용하지 못했다는 생각에 다시 실행하거나 설정을 바꾸려 할 수도 있습니다. 하지만 분석된 Hepo APK에서는 이러한 오류 안내가 주소록 전송의 성공 응답을 처리하는 부분에 연결돼 있었습니다.

화면에 보이는 실패 안내와 내부에서 처리하는 동작이 달랐던 것입니다.

‘개인정보 보호’를 내세운 설치 페이지

설치 페이지는 동네친구나 연인을 만날 수 있는 서비스처럼 꾸며져 있었습니다. 홍보 이미지에는 ‘지인 차단’, ‘화면 캡처 방지’, ‘내 개인 정보를 보호’라는 문구도 들어 있었습니다. 낯선 상대방과 교류하면서 신상 노출을 걱정하는 사람에게는 안심할 만한 설명으로 보일 수 있습니다.

그러나 분석된 파일에서는 연락처와 접근 가능한 사진을 외부 서버로 전송하는 코드가 확인됐습니다. 설치 버튼에도 ‘Google Play’라고 표시돼 있었지만, 실제 연결 대상은 공식 스토어가 아닌 별도의 APK 파일이었습니다. 익숙한 이름이나 보호 문구만으로 안전성을 판단하기 어려운 이유입니다.

Hepo, Hepotok, Horse가 함께 나타납니다.

앱 표시 이름은 Hepo였지만, 설치 아이콘에는 선글라스를 쓴 하마 그림과 Hepotok이라는 글자가 들어 있었습니다. 로그인 화면에 연결된 그림에는 Horse라는 이름도 확인됐습니다.

같은 파일에서도 표시 위치에 따라 이름이 달랐던 것입니다. 피해자가 기억하는 명칭이 다를 수 있는 만큼 이름과 아이콘, 실행 화면을 함께 살펴봐야 합니다. 다만 그림이 비슷하다는 이유만으로 다른 앱까지 같은 조직이 제작했다고 단정할 수는 없습니다.

일부 권한만 허용했어도 확인해야 합니다.

코드에서 확인된 흐름은 초대코드 입력 후 메인 화면으로 이동하고, ‘접속하기’를 누르면 연락처와 사진 등에 대한 권한을 요청하는 구조였습니다.

특히 모든 권한을 허용해야만 정보 전송이 시작되는 것은 아니었습니다. 일부 요청을 거절하더라도 연락처 권한이 있으면 주소록 전송을, 이미지 읽기 권한이 있으면 사진 업로드를 시작하는 별도 경로가 존재했습니다.

“중간에 거절했으니 아무 정보도 넘어가지 않았을 것”이라고 판단해서는 안 됩니다.

확인된 수집 대상에는 연락처의 이름과 전화번호, 앱이 접근할 수 있는 사진이 포함됩니다. 본인 전화번호 조회값과 통신사명, 초대코드를 전송하는 코드도 있었습니다. 사진은 전송할 파일을 하나씩 고르는 방식이 아니라, 앱에서 조회 가능한 이미지 목록을 읽어 업로드하도록 구성돼 있었습니다.

오류창이 정보 전송 실패를 뜻하지는 않습니다.

“알 수 없는 오류로 인해 애플리케이션이 종료되었습니다.”

이 문구는 실제 오류가 발생했는지 확인한 뒤에만 표시하는 안내가 아니었습니다. 주소록 전송 요청에 대해 서버가 성공 응답을 반환했을 때 실행되는 처리 과정에 연결돼 있었습니다. 사용자는 실패했다고 느끼지만, 코드상으로는 주소록 전송을 성공으로 처리하는 지점에서 해당 문구를 보여주는 것입니다.

다만 이 화면만으로 사진까지 모두 전송됐다고 볼 수는 없습니다. 사진 업로드는 별도로 진행되며, 접근 범위도 운영체제와 허용한 권한에 따라 달라집니다. 화면의 문구만으로 전송 실패나 전체 자료 유출을 판단해서는 안 됩니다.

확인된 기능과 실제 피해 범위는 다릅니다.

이번 결과는 앱을 실행하지 않고 내부 코드를 살펴본 정적 분석에 해당합니다. 특정 피해자의 연락처가 몇 개 전송됐는지, 어떤 사진이 서버에 도착했는지까지 확인한 것은 아닙니다. 문자·동영상·통화기록이나 메신저 대화, 비밀번호 탈취 역시 이번 검사에서 확인된 전송 항목으로 볼 수 없습니다.

해당 앱을 설치했다면 확인을 위해 다시 실행하기보다 설치 당시의 대화, 초대코드, 허용한 권한과 오류창을 본 시점 등을 정리해 두는 것이 좋습니다. 앱을 삭제하더라도 이미 외부로 전송된 자료까지 회수되는 것은 아닙니다.

라바웨이브는 설치 경로와 앱의 동작, 가해자가 제시한 자료 등을 함께 살펴 피해 상황에 따른 대응 방향을 안내하고 있습니다. 오류창이 떴다는 이유로 안심하거나 휴대폰의 모든 정보가 유출됐다고 단정하기보다, 남아 있는 자료를 바탕으로 라바웨이브 전문 상담사와 필요한 대응을 확인하시길 바랍니다.