몸캠피싱, 앱스토어에서 설치한 앱인데 왜 문제가 생겼을까?

“상대방이 보내준 파일을 설치한 것도 아니에요. 앱스토어에서 직접 검색해서 받았는데, 어떻게 제 연락처를 가지고 있는 거죠?”

출처가 불분명한 앱을 설치하면 위험할 수 있다는 이야기는 들어봤어도, 공식 앱 마켓에서 내려받은 앱으로 문제가 생길 것이라고는 생각하지 못할 수 있습니다. 상대방이 알려준 앱을 검색해 보고 실제로 등록돼 있는 것까지 확인했다면, 이후 안내도 안심하고 따라가기 쉽습니다.

하지만 여기서 나누어 봐야 할 것이 있습니다. 어떤 앱을 설치했는지와, 설치한 앱에서 무엇을 실행하고 어떤 권한을 허용했는지는 서로 다른 문제입니다. Expo Go를 이용한 상황 역시 이 차이부터 살펴봐야 합니다.

Expo Go 자체가 연락처를 탈취하는 악성앱은 아닙니다.

Expo Go는 구글 플레이스토어와 애플 앱스토어에서 내려받을 수 있는 정상적인 개발용 앱입니다. 개발자가 만든 앱의 화면과 기능을 휴대전화에서 실행하고 확인하는 데 사용하는 도구로, 본래 개인정보를 탈취하기 위해 만들어진 앱이 아닙니다. 정상적인 Expo Go를 다운로드했다는 사실만으로 연락처가 가해자에게 넘어가는 것은 아닙니다.

다만 Expo Go에서는 외부에서 만든 프로젝트를 불러와 실행할 수 있습니다. 쉽게 말하면, Expo Go는 실행을 도와주는 도구이고 그 안에 표시되는 화면과 기능은 별도로 만들어질 수 있다는 뜻입니다.

따라서 공식 스토어에서 Expo Go를 받았다는 사실이, 그다음 상대방이 보내준 링크나 QR코드로 실행하는 내용까지 안전하다는 보장은 아닙니다. 정상적인 도구인지 확인한 것과 그 도구로 열어볼 내용을 신뢰할 수 있는지는 구분해야 합니다.

“내 영상을 보여주겠다”는 말에서 설치 유도가 시작됩니다.

접근 과정을 예로 들어보겠습니다. 트위터에서 메시지를 주고받던 상대방이 라인으로 이동하자고 한 뒤, 대화가 이어지자 자신의 영상을 보여주겠다며 Expo Go 설치를 안내하는 상황입니다.

반대로 피해자가 먼저 말을 걸지 않았는데도 카카오톡으로 연락이 올 수 있습니다.

“추천친구에 떠서 연락했어요.”

“연락처를 정리하다가 발견했는데, 혹시 저 기억하세요?”

이런 설명을 들으면 자신을 원래 알던 사람이거나, 적어도 연락처를 가지고 있던 사람이라고 생각할 수 있습니다.

이후 다음과 같은 안내가 이어진다고 생각해 보세요.

“앱스토어에서 Expo Go 받아주세요. 거기서 제 영상 볼 수 있어요.”

“들어가면 ○○ 강사 프로필이 있어요. 그걸 누르면 영상 나와요.”

앱 설치 방법부터 눌러야 할 프로필까지 구체적으로 설명하면, 실제로 운영되는 영상 서비스처럼 느껴질 수 있습니다. 강사 소개나 영상 목록이 보인다면 “정말 영상을 볼 수 있는 곳이구나”라고 받아들일 수도 있습니다.

하지만 이런 패턴은 대부분 가해자일 확률이 높습니다.

링크·QR코드 접속 뒤, 연락처 권한을 요구한다면

상대방이 보낸 링크나 QR코드를 통해 화면을 열었을 때 초대코드 입력창이나 영상 목록, 연락처 접근 권한 요청이 나타날 수 있습니다. 이때 초대코드 입력, 연락처 접근을 허용한다면 핸드폰에 있는 연락처가 탈취가 될 수 있습니다.

연락처 권한을 허용하면 이름과 전화번호 등이 가해자가 관리하는 C&C 서버 등 외부 서버로 전송될 수 있습니다. 그렇기에 모르는 사람이 파일 설치를 유도한다면 주의해야 합니다.

연락처를 보여주며 협박한다면, 설치 이후의 과정을 정리해야 합니다.

상대방이 영상통화 녹화본과 함께 가족·지인의 연락처를 보여주면, 피해자는 “Expo go 때문에 휴대전화가 해킹된 것인가?”라고 생각할 수 있습니다.

많이 당황스럽겠지만 해당 상황에서는 가해자가 설치를 유도했던 QR코드나 링크는 삭제하지 말고 최대한 보존을 해두는 것이 가장 중요합니다.

또한 영상 삭제를 약속받기 위해 돈을 보내거나 대화를 이어가지 마세요. 가해자가 요구하는 금액을 보내도 다른 이유를 대면서 추가 금액을 계속 요구합니다.