EXPOGO 엑스포고, 요가 영상 링크에서 ‘연락처 업로드’가 나타났다면

“초대 코드 확인 후 연락처를 업로드하는 중입니다. 잠시만 기다려주세요.”

운동 영상을 보려던 화면에 이런 안내가 나타납니다. 재생 준비나 화질 설정이 아니라 연락처를 전송한다는 내용입니다. 상대가 보내준 영상이 궁금했을 뿐인데, 왜 내 전화번호부가 필요할까요. 이번 EXPOGO 악용 유형에서는 영상 목록보다 앞선 접속 과정을 주의 깊게 살펴야 합니다.

남편의 출장 이야기는 링크를 믿을 근거가 아닙니다

이 유형의 가해자는 카카오톡 추천친구에 떠서 연락했다며 접근합니다. 자신을 필라테스나 요가 강사라고 소개하고, 시부모와 함께 살지만 남편이 출장을 가서 외롭다는 이야기를 꺼냅니다. 구체적인 사정을 듣다 보면 낯선 사람보다 고민을 털어놓는 지인처럼 느껴질 수 있습니다.

그 뒤 “내 운동 영상을 봐줄 수 있느냐”는 부탁이 붙습니다. 대화 상대를 위로하려던 마음이 링크 접속으로 이어지는 겁니다. 그러나 가족 이야기를 자세히 들었다고 신원이 확인된 것은 아닙니다. 추천친구라는 설명도 설치나 정보 입력을 신뢰할 근거는 되지 않습니다.

엑스포고 자체와 상대가 연결한 화면은 다릅니다

Expo Go는 앱 개발을 배우고 시험하는 데 사용하는 정상적인 도구입니다. 이름 자체를 몸캠피싱 악성앱과 동일하게 취급해서는 안 됩니다.

이번에 살펴볼 대상은 이를 매개로 실행되는 가해자의 링크입니다. 전달된 화면에는 ‘엑스포고 실행’과 Open 버튼이 나타납니다. 정상적인 앱으로 열었다는 이유만으로 그 안에서 실행되는 내용까지 안전하다고 볼 수는 없습니다.

상담할 때도 “엑스포고를 받았다”에서 끝내기보다, 상대가 어떤 주소로 연결했는지를 함께 알려줘야 합니다.

초대코드 다음에 운동과 무관한 정보가 등장합니다

실행 과정에는 초대코드 입력칸과 확인 버튼이 있고, 다른 화면에는 휴대폰 번호 입력칸과 연락처 업로드 안내가 보입니다. 초대코드는 이 화면에 들어가기 위한 절차이지, 상대의 신원이나 정보 보호를 검증하는 장치는 아닙니다.

안내 문구만으로 실제 전송 완료 여부나 넘어간 연락처 수까지 확정할 수는 없습니다. 다만 영상을 보여준다던 설명과 연락처를 전송한다는 안내가 어긋난다는 점은 분명합니다. 입력한 내용과 실제로 허용한 권한을 함께 점검해야 합니다.

이어지는 목록에는 운동 장면과 재생 버튼이 배치돼 있습니다. 영상이 준비돼 보인다고 앞선 정보 요청이 정당해지는 것은 아닙니다. 화면 속 사진이나 이름만으로 연락한 사람의 실제 직업과 신원을 확인할 수도 없습니다.

재생이 안 된다고 다시 접속하지 마세요

상대가 다른 방법을 알려준다며 새 링크를 보내도 추가로 열거나 코드를 다시 입력하지 마세요. 이미 실행했다면 기억나는 단계와 남아 있는 대화부터 정리하면 됩니다.

휴대폰을 임의로 초기화하거나 관련 앱·파일·채팅방을 먼저 지우지 마세요. 처음 연락한 계정, 영상 확인을 부탁한 말, 전달받은 링크와 초대코드가 피해 경위를 확인하는 단서입니다. 자료 보존을 이유로 의심 앱을 계속 사용하거나 재실행해야 하는 것은 아닙니다. 사용을 중단하고 다른 안전한 기기로 점검을 요청하세요.

상대가 지인 이름이나 연락처를 보여줬다면 그 화면도 함께 남겨두세요. 상대의 주장과 직접 확인된 노출 내용을 구분해 전달하는 것이 좋습니다.

운동 영상보다 먼저, 접속 경위를 살펴야 합니다

라바웨이브는 KAIST 사이버보안연구센터와 공동 개발한 딥페이크 예방 기술을 시민들이 체험할 수 있도록 공개한 이력이 있으며, 이미 의심 링크를 실행했다면 라바웨이브 상담에서 카카오톡 첫 접근부터 초대코드 입력, 연락처 업로드 안내까지 이어진 과정을 전달해 주세요. 영상을 보려던 행동이 어떤 정보 접근으로 이어졌는지, 남아 있는 자료를 기준으로 점검해야 합니다.