Hepotok 헤포톡, 오류가 떴는데 연락처·사진이 전송됐을까?

"알 수 없는 오류로 인해 애플리케이션이 종료되었습니다." 헤포톡을 설치한 뒤 이런 안내를 봤다면, 앱이 작동하지 않았으니 정보도 넘어가지 않았을 것이라고 생각하기 쉽습니다. 그러나 분석된 APK에서는 주소록 전송 요청에 서버가 성공 응답을 보냈을 때 이 문구를 띄우는 코드가 확인됐습니다. 화면에 나타난 실패 안내가 내부 동작의 실패를 뜻하지 않았던 것입니다.

아이콘은 Hepotok인데 로그인에는 Horse가 보입니다.

앱 표시명은 ‘헤포톡’이고, 설치 아이콘에는 선글라스를 쓴 하마와 Hepotok이라는 글자가 들어 있습니다. 로그인 화면에서 참조하는 로고에는 Horse가 표시됩니다. 서로 다른 이름이 같은 APK에 함께 들어 있는 만큼, 기억나는 이름 하나보다 아이콘과 설치 경로를 함께 살펴보는 편이 좋습니다.

보고서의 하마 로고와 하트 이미지는 APK에서 추출한 내장 자료입니다. 피해자의 갤러리에서 가져온 사진이나 실제 기기 실행 캡처는 아닙니다. 이번 카드의 화면 흐름도 이 자료와 코드 구조를 바탕으로 구성했습니다.

초대코드 입력 뒤 접속하기에서 권한을 요청합니다.

확인된 흐름은 초대코드 로그인, 메인 화면 이동, ‘접속하기’, 권한 요청 순서입니다. 로그인 과정에서는 입력한 초대코드와 앱이 생성한 식별값인 UUID를 서버로 보내도록 돼 있습니다. 이어 사진·저장소, 연락처, 전화번호 등에 대한 권한을 요청합니다.

초대코드가 필요하다는 사실만으로 접근이 통제되는 안전한 서비스라고 판단해서는 안 됩니다. 상대방이 설치와 설정을 재촉했다면, 어떤 설명으로 각 권한을 허용하게 했는지도 확인할 자료가 됩니다.

연락처 이름과 번호 그리고 접근 가능한 사진이 대상입니다.

주소록에서 이름과 전화번호를 읽어 외부 서버로 보내는 경로가 확인됐습니다. 사진도 전송할 파일을 사용자가 하나씩 선택하는 방식이 아니라, 앱이 조회할 수 있는 이미지 목록을 읽고 각각 처리해 업로드하는 구조였습니다.

다만 ‘갤러리 전체가 전송됐다’고 바로 결론 낼 수는 없습니다. 운영체제가 허용한 사진 범위, 파일 접근과 압축, 통신 성공 여부에 따라 결과가 달라집니다. 본인 전화번호 조회·전송 시도와 SIM 통신사명 전송 코드도 있지만, 기기 상태 등에 따라 번호 값이 비어 있을 수 있습니다.

중간에 거절했어도 이미 허용한 권한은 따로 확인해야 합니다.

모든 권한을 허용해야만 수집이 시작되는 구조는 아니었습니다. 일부 요청을 거절한 뒤에도 연락처와 사진 권한을 각각 확인하는 별도 경로가 있었습니다. 연락처만 허용돼 있으면 주소록 전송을, 사진 접근이 허용돼 있으면 사진 전송을 시도합니다.

따라서 ‘마지막에 거부했으니 앞선 허용도 모두 취소됐을 것’이라고 판단하면 안 됩니다. 설치 당시 허용하거나 거절한 항목을 구분하는 일이 피해 범위를 살피는 출발점입니다.

오류 안내는 주소록 성공 응답을 처리하는 부분에 있었습니다.

주소록 요청의 응답 코드가 200이면 전송 상태를 저장하고 ‘알 수 없는 오류’ 안내를 띄웁니다. 해당 안내의 확인 버튼은 대화상자를 닫도록 돼 있고, 이 분기에서 앱을 종료하는 호출은 확인되지 않았습니다. 안내 문구 자체를 실제 앱 충돌이나 전송 실패의 증거로 삼기 어려운 이유입니다.

사진 업로드는 별도로 진행됩니다. 오류창이 나타났다고 사진 전송이 실패한 것도, 반대로 모든 사진의 전송이 완료된 것도 아닙니다. 주소록 응답과 사진 업로드 결과를 나눠 확인해야 합니다.

문자와 동영상까지 탈취됐다고 확대할 수는 없습니다.

문자 조회 함수는 있었지만 직접 호출 지점과 문자 읽기 권한 선언은 확인되지 않았습니다. 동영상은 권한 요청이 있었으나 실제 조회·전송으로 이어지는 연결이 확인되지 않았고, 위치와 통화기록 역시 핵심 수집 경로가 확인되지 않았습니다.

이번 결과는 앱을 실행하지 않고 내부 구조를 살펴본 정적 분석입니다. 코드에 어떤 기능이 있는지와 특정 피해자의 정보가 몇 건, 언제 서버에 도착했는지는 다른 문제입니다. 가해자가 주장한 접근 범위와 실제 제시한 자료를 구분해 살펴야 합니다.

다시 실행하기보다 설치 당시 자료를 정리하세요.

확인하겠다며 앱을 다시 실행하거나 추가 권한을 허용하지 마세요. 설치를 권유한 대화, 전달받은 링크와 파일명, 초대코드, 허용한 권한, 오류창을 본 시점을 가능한 범위에서 정리해 두는 것이 좋습니다. 협박을 받고 있다면 상대 계정과 메시지도 함께 보존하세요.

라바웨이브에 문의할 때는 ‘헤포톡을 설치했다’는 설명에 이 자료를 함께 전달해 주세요. 설치 과정과 확인된 앱 기능, 가해자가 실제로 제시한 정보를 대조해 현재 필요한 대응 방향을 살펴볼 수 있습니다.