Moonbird : 트위터에서 시작된 함정, Expo go몸캠피싱
Moonbird : 트위터에서 시작된 함정, Expo go몸캠피싱
“원격으로 기구를 조종해줄 수 있어?”
X(트위터)에서 이런 제안을 받은 뒤 LINE으로 이동했고, Expo Go 설치와 Moonbird 접속까지 진행했다면 단순한 성적 대화가 아닐 수 있습니다. 이번 유형은 원격 기구를 함께 사용한다는 말로 피해자의 경계심을 낮춘 뒤, 연락처를 확보하고 영상통화 녹화본까지 만들어 유포협박에 이용하는 몸캠피싱입니다.
특히 Moonbird 화면이 작동하지 않았다는 이유로 피해가 없었다고 생각해서는 안 됩니다. 이 사건에서 가해자가 노린 것은 정상적인 원격조종 기능이 아니라, 연락처 접근 권한과 협박에 사용할 영상이기 때문입니다.
트위터에서 LINE으로 옮기는 이유
가해자는 X에서 펨돔·멜섭·구인·노예 등 성적 성향을 암시하는 게시물을 올리고 DM을 유도합니다. 이후 “더 편하게 이야기하자”며 LINE ID를 전달합니다.
LINE으로 넘어가면 반말과 성적인 표현을 섞어 빠르게 친밀감을 만듭니다. 처음부터 협박을 꺼내는 것이 아니라, “성향이 맞으면 재미있게 놀 수 있다”, “내가 쓰는 기구를 네가 조종해달라”는 제안으로 피해자가 스스로 다음 절차를 궁금해하도록 만듭니다.
피해자가 트위터 게시물을 보고 먼저 연락했더라도 안전한 상대라는 뜻은 아닙니다. 게시물부터 LINE 이동까지가 설치를 유도하기 위해 설계된 접근 경로일 수 있습니다.
Expo Go 다음에 따라오는 Moonbird 주소
가해자는 원격조종을 위해 필요하다며 Expo Go를 설치하게 합니다. Expo Go 자체는 정상적으로 배포되는 개발 도구이지만, 이번 범행에서는 가해자가 지정한 외부 프로젝트를 실행하는 통로로 이용됐습니다.
설치가 끝나면 Moonbird 주소를 보내고, 초대코드를 입력하라고 재촉합니다.
Expo Go 설치 → moonbird 접속 → 초대코드 입력 → 권한 허용
피해자는 이 순서를 기구를 연결하기 위한 정상 과정이라고 생각합니다. 하지만 가해자가 URL과 코드, 실행 순서를 모두 정해줬다면 각 단계를 따로 보지 말고 하나의 범행 흐름으로 확인해야 합니다.
‘권한 허용’을 누른 순간 달라지는 상황
Moonbird는 원격조종 서비스처럼 꾸며져 있지만, 제공 사례에서는 정상적인 기구 조종 화면이 나타나지 않았습니다. 초대코드를 입력하고 권한 허용을 누른 뒤 연락처 접근이 진행됐으며, 이후 주소록이 가해자의 협박 수단으로 바뀌었습니다.
가족과 연인, 친구뿐 아니라 학교·직장 관계자까지 저장된 연락처 전체가 유포 대상 목록이 될 수 있습니다.
이 단계까지 진행됐다면 “실제로 연결됐는지”만 확인해서는 안 됩니다. Moonbird가 작동하지 않았더라도 권한 허용 이전과 이후의 기기 상태, 실제로 가해자가 제시한 주소록, 정보 전송 정황을 함께 살펴야 합니다.
앱 오류는 범행 실패를 의미하지 않습니다
피해자가 “유효하지 않은 기기라고 나온다”, “왜 작동하지 않느냐”고 말하면 가해자는 당황하지 않습니다.
“서버 업그레이드 중인가 봐.”
“나는 잘되는데 왜 안 되지?”
“이대로 끝내기 아쉬우니 영상통화하자.”
이런 말로 자연스럽게 다음 단계로 넘어갑니다. 원격조종 기능이 없더라도 이미 연락처를 확보했다면 가해자 입장에서는 앞선 목적을 이룬 셈입니다. 이제 필요한 것은 탈취한 주소록과 결합할 신체 영상입니다.
이미 성적인 분위기가 형성된 피해자는 영상통화 제안을 쉽게 거절하지 못할 수 있습니다. 가해자는 화면 각도와 자세를 요구하며 피해자의 얼굴과 신체가 함께 보이도록 유도하고, 통화 내용을 녹화합니다.
협박은 링크가 아니라 영상 파일 전송으로 시작됩니다
Moonbird 유형에서는 단순히 인터넷 링크만 보내겠다고 위협하는 데 그치지 않을 수 있습니다. 녹화한 영상 파일을 부모나 연인, 배우자처럼 피해자가 가장 민감하게 반응할 사람에게 직접 전송할 수 있습니다.
첫 번째 전송으로 피해자의 반응을 확인한 뒤에는 카카오톡 그룹방을 개설해 가족·친구·직장 관계자를 한꺼번에 초대하고 2차, 3차 유포를 시도하기도 합니다.
이때 가해자는 “이미 시작됐다”며 즉시 송금을 요구합니다. 그러나 돈을 보낸다고 영상 원본과 주소록이 삭제됐는지는 확인할 수 없습니다. 첫 송금 뒤 남은 영상, 백업본, 그룹방 유포 중단 등을 이유로 요구 금액이 다시 커질 수 있습니다.
지금은 혼자 정리할 단계가 아닙니다
연락처가 탈취되고 영상통화까지 녹화됐다면 피해자가 휴대전화에서 할 수 있는 조치에는 한계가 있습니다. 가해자의 기기나 외부 저장 공간에 있는 영상과 주소록을 피해자가 직접 회수하거나 삭제할 수 없기 때문입니다.
추가 송금과 가해자의 재실행 요구는 중단해야 합니다. 다만 LINE 탈퇴, 대화 삭제, 앱 삭제, 휴대전화 초기화부터 서두르면 URL·초대코드·권한 화면·영상통화 기록·협박 메시지·유포 정황 등 피해진단에 필요한 자료까지 사라질 수 있습니다.
현재 남아 있는 대화와 Moonbird 주소, 초대코드, Expo Go 화면, 권한 허용 과정, 실제 지인이 받은 영상과 메시지, 송금 요구 자료를 먼저 보존해야 합니다.
라바웨이브는 트위터 유입부터 LINE 이동, Expo Go 설치, Moonbird 접속, 초대코드와 권한 허용, 연락처 탈취, 영상통화 녹화, 개인 전송과 그룹방 확산 정황을 사건 전체 흐름으로 연결해 진단합니다. 이를 토대로 현재 노출된 범위와 추가 유포 가능성을 구분하고, 피해 확산을 줄이기 위한 기술지원 방향을 구성합니다.
Moonbird 실행 이후 실제 연락처가 제시됐거나 영상 전송이 시작됐다면 상황을 지켜볼 여유가 크지 않을 수 있습니다. 가해자가 만든 카운트다운에 끌려 송금하는 대신, 자료를 보존한 상태에서 정확한 기술진단과 유포피해 방지 솔루션으로 대응을 전환해야 합니다.