휴대폰에서 앱이 무언가에 대한 권한을 요청할 때, 한 번도 고민하지 않고 '허용' 버튼을 누른 적이 있으신가요? 많은 사람들이 카메라, 마이크, 위치 정보처럼 민감한 권한조차 팝업이 뜨는 즉시 아무런 의심 없이 승인해 버립니다.
하지만 이는 상당히 위험한 휴대폰 사용 습관입니다. 이번 글에서는 가장 위험한 유형의 모바일 권한 다섯 가지와, 앱이 이를 어떻게 악용해 여러분의 개인 정보를 빼돌릴 수 있는지 자세히 살펴보겠습니다.
모바일 앱 권한, 어떻게 작동하나?
본격적으로 들어가기 전에, 앱 권한이 작동하는 방식부터 간단히 짚고 넘어가겠습니다.
안드로이드와 아이폰 모두에서 앱은 휴대폰의 민감한 데이터에 접근하기 위해 반드시 권한을 필요로 합니다. 예를 들어 개발자가 연락처에 접근해야 하는 앱을 만든다면, 해당 접근을 위한 권한 요청 코드를 앱에 포함시켜야 합니다.
앱에 권한을 한 번 허용하면, 직접 해제하기 전까지는 그 권한이 유지됩니다. 매번 실행할 때마다 승인을 요구하지 않는 것이죠. 다만 일부 민감한 권한은 '앱 사용 중에만 허용'하는 옵션을 제공하며, 경우에 따라서는 앱을 열 때마다 묻도록 설정할 수도 있습니다.
안드로이드 권한 시스템
최신 안드로이드 버전에서는 각 권한을 개별적으로 부여하거나 취소할 수 있습니다. 새 앱을 설치한 후, 앱이 특정 기능이 필요할 때마다 권한 요청 팝업이 나타납니다.
예를 들어 카메라 기능이 포함된 새 문자(SMS) 앱을 다운로드했다고 가정해 봅시다. 처음으로 카메라 기능을 사용하려 하면 앱이 카메라 접근 권한을 요청하고, 거부를 선택하면 해당 기능은 simply 사용할 수 없게 됩니다.
안드로이드에서 앱별 권한 설정을 변경하려면 설정 > 앱 > 전체 앱 보기로 이동하세요. 목록에서 앱을 선택한 뒤 권한 항목을 탭하면 해당 앱이 가지고 있거나 가지고 있지 않은 모든 권한을 확인할 수 있습니다. 항목을 탭하면 변경할 수 있습니다.
반대로 권한 유형별로 앱을 묶어서 보려면 설정 > 개인정보 보호 및 보안 > 권한 관리자로 이동하세요. 여기서 카메라, 위치 같은 권한 목록을 볼 수 있으며, 각 항목을 탭하면 해당 권한을 허용했거나 거부한 앱들을 한눈에 파악할 수 있습니다.
참고로 오래된 안드로이드 버전(안드로이드 5 롤리팝 이하)에서는 설치 시점에 모든 권한을 한꺼번에 승인하거나 거부해야 하는 올-or-nothing 방식을 사용했습니다. 이러한 플랫폼에서 구글 플레이에서 앱을 설치하면 앱이 원하는 권한 목록이 표시되며, 하나라도 거부하고 싶다면 루팅 외에는 앱을 사용하지 않는 것 외에 방법이 없었습니다.
일부 구형 안드로이드 앱 중 최신 버전에 맞게 업데이트되지 않은 앱들은 여전히 이 초기 승인 방식을 사용합니다. 최신 안드로이드에서도 이런 앱들의 개별 권한을 취소할 수 있지만, 그럴 경우 앱이 정상적으로 작동하지 않을 수 있습니다.
아이폰 권한 시스템
아이폰에도 비슷한 권한 시스템이 존재합니다. 앱을 다운로드하면 필요할 때마다 각종 권한을 요청하며, 사용자가 각 권한을 개별적으로 승인하거나 언제든지 취소할 수 있습니다.
설정 > 개인정보 보호 및 보안으로 이동하면 모든 권한 목록을 볼 수 있고, 항목을 탭하면 해당 권한을 요청한 앱들을 확인할 수 있습니다. 토글을 이용해 각 권한을 승인하거나 거부하세요. 앱 단위로 권한을 확인하고 싶다면 기본 설정 화면에서 아래로 스크롤한 후 앱을 선택하면 해당 앱이 요청한 모든 권한을 볼 수 있습니다.
그럼 이제 안드로이드와 아이폰 모두에서 특히 주의해야 할 민감한 스마트폰 권한들을 살펴보겠습니다.
1. 마이크
녹음 앱이 마이크 접근을 요구하는 것은 당연합니다. 하지만 방금 설치한 무료 게임이 이 권한을 요구한다면 어떨까요? 조금 수상하다고 느껴진다면, 실제로 수상한 것입니다.
2017년 뉴욕타임스는 구글 플레이의 수백 개 게임과 앱스토어의 일부 게임이 'Alphonso Automated Content Recognition'이라는 소프트웨어와 통합되어 있다고 보도했습니다. 이후 2019년 Sarvesh Mathi가 Medium을 통해 이 사실을 더 자세히 밝혔습니다.
Alphonso의 소프트웨어는 기기의 마이크를 이용해 주변에서 재생 중인 영화나 TV 프로그램을 식별하고, 그 정보를 활용해 더 정교한 광고 프로필을 만들어냅니다.
가장 침습적인 행위는 아니지만, 여러분의 기기에서 일어나길 원하는 일은 아닐 겁니다. 저질스러운 돈벌이용 모바일 게임을 플레이하지 않는 동안에도, 게임은 여러분의 휴대폰 리소스를 사용해 시청 중인 콘텐츠를 몰래 훔쳐볼 수 있습니다. 예를 들어 스포츠를 자주 시청한다면 팀 용품 광고를 더 많이 보게 될 수도 있습니다.
앱이 마이크에 접근할 수 있다면 여러분이 하는 모든 말을 들을 수 있는 능력을 갖게 되는 것이므로, 어떤 앱에게 이 권한을 승인할지 신중하게 생각해야 합니다.
다행히 최신 안드로이드와 iOS에서는 이 문제가 많이 완화되었습니다. 안드로이드에서 마이크 권한의 가장 느슨한 옵션은 앱 사용 중에만 허용이며, 접근성 같은 특수한 목적이 아니라면 앱이 상시 마이크를 사용할 수 없습니다.
또한 iOS 14 이상과 안드로이드 12 이상에서는 앱이 마이크를 사용할 때 화면에 표시 아이콘이 나타납니다.
2. 카메라
악성 앱이 카메라에 접근하면 얼마나 위험한지는 굳이 길게 설명할 필요가 없을 것입니다. 많은 앱이 앱 내 사진 촬영이나 코드 스캔 같은 정당한 이유로 이 권한을 필요로 하지만, 카메라 권한은 마이크만큼이나 민감합니다. 카메라에 대한 전체 접근 권한이 있다면, 앱은 이론상 언제든 원하는 시점에 사진을 찍을 수 있습니다.
여기에 인터넷 접근 권한까지 있다면(요즘은 너무 흔해서 두 모바일 플랫폼 모두 이를 확인 요청하지 않습니다), 앱은 그 사진들을 어딘지 모를 곳으로 업로드할 수도 있습니다. 실제로 2017년 iOS 개발자 Felix Krause는 아이폰 앱이 사용자의 사진을 몰래 캡처한 뒤 즉시 공유할 수 있음을 시연했습니다.
다행히 안드로이드와 iOS 모두 현재 이를 막는 통제 장치를 갖추고 있습니다. iOS 14 이상에서는 앱이 마이크 또는 카메라에 접근할 때 각각 주황색과 초록색 점이 표시됩니다. 안드로이드에서 카메라 권한의 최고 수준은 앱 사용 중에만 허용으로, 그 외 시간에는 앱이 카메라를 사용할 수 없습니다. 안드로이드 12부터는 앱이 마이크와 카메라를 사용할 때 화면 표시기가 나타납니다.
이런 표시기가 있어야 할 때가 아닌데 나타난다면 주의 깊게 살펴보세요. 침실이나 욕실에서 휴대폰이 여러분을 향하고 있을 때 앱이 몰래 찍은 사진을 누군가 보게 되는 일은 없어야 합니다.
3. 위치 정보
대략적인 위치는 큰 비밀이 아닙니다. IP 주소만으로도 어느 정도의 위치는 드러나니까요. 하지만 그렇다고 모든 앱이 이 데이터에 접근해야 하는 것은 아닙니다. 앱이 위치 정보를 필요로 하는 명확한 이유를 떠올릴 수 없는데도 해당 권한을 요구한다면, 불순한 목적일 가능성이 높습니다.
예를 들어 구글 지도는 길찾기를 위해 위치가 필요하고, 음식점 앱은 가장 가까운 매장을 보여주기 위해 위치를 요청합니다. 하지만 그런 정보와 전혀 상관없는 무료 게임들도 위치 권한을 요구하곤 합니다. 바로 이 때문에 손전등 앱 설치를 권장하지 않는 것입니다. 손전등 앱은 위치 정보를 포함한 불필요한 권한을 잔뜩 요구하는 것으로 악명 높습니다.
여러분 근처에 어떤 상점이 있는지, 어떤 종류의 동네에 사는지 알면 광고주는 여러분의 관심사를 더 정교하게 추측할 수 있습니다.
안드로이드에서는 위치 권한에 대해 항상 허용을 선택할 수 있습니다. 어떤 앱에게든 신중하게 적용해야 하며, 경우에 따라 앱은 하루에 수십 번씩 위치에 접근할 수 있습니다. 또한 정확한 위치 사용 슬라이더를 끄면, GPS 대신 주변 Wi-Fi 네트워크를 기반으로 대략적인 위치만 파악하게 됩니다.
아이폰도 비슷합니다. 항상 또는 앱 사용 중을 선택해 위치 접근을 통제할 수 있고, 원한다면 정확한 위치를 비활성화할 수도 있습니다.
4. 연락처
일부 앱은 공유와 친구 찾기를 편하게 하려고 연락처 접근을 요청합니다. 예를 들어 텔레그램 같은 메신저 앱은 내 친구 중 누가 이미 이 앱을 사용하는지 확인하기 위해 연락처를 조회합니다. 하지만 지금까지 논의한 내용을 고려하면, 앱이 이 권한을 어떻게 악용할 수 있는지 쉽게 짐작할 수 있습니다. 앱은 여러분의 연락처 목록을 광고주 서버에 업로드하거나, 여러분의 지인들에게 각종 앱 가입 링크를 스팸으로 발송할 수도 있습니다.
다른 권한과 마찬가지로, 앱이 정말로 연락처가 필요한지 판단하는 것은 어렵지 않습니다. 게임이 이 권한을 요구한다면 대부분 친구를 초대해 추가 목숨을 얻으려는 목적일 것입니다. 이 권한은 특히 조심해야 합니다. 내 휴대폰을 위험에 노출시키는 것과는 별개로, 친구들의 연락처 정보를 모르는 사이에 넘겨버리는 것은 결코 멋진 일이 아니니까요.
5. SMS(문자 메시지)
이 권한은 아이폰에는 해당되지 않습니다. 아이폰에서는 메시지 앱만 문자를 보낼 수 있기 때문입니다. 하지만 안드로이드 사용자라면 중요하게 고려해야 할 사항입니다.
SMS 대체 앱을 제외하면, 앱이 문자 메시지 권한을 요구하는 이유는 로그인 인증번호를 직접 입력하지 않고 자동으로 가져오기 위함인 경우가 많습니다. 이 두 가지 모두 정당한 용도이지만, 다른 모든 것과 마찬가지로 어두운 면도 존재합니다.
악성 앱은 이 권한을 이용해 프리미엄 번호로 수많은 문자를 발송해 여러분에게 큰 요금 폭탄을 안길 수 있습니다. 또는 지인들에게 돈이 급하니(추적 불가능한 기프트카드 형태로) 도움을 달라는 거짓 문자를 보내고, 흔적을 남기지 않으려고 그 메시지들을 삭제해 버릴 수도 있습니다.
인증번호를 직접 입력하는 데 걸리는 5초를 아끼기 위해 앱에 이토록 큰 신뢰를 맡기는 것은 과분합니다. 정말로 문자를 보내고 읽어야 하는 앱에만 이 권한을 부여하세요.
권한은 맥락에 따라 판단하라
휴대폰에서 앱을 아예 사용하지 말라고 겁주려는 것은 아닙니다. 권한을 요청하는 모든 앱이 불순한 목적을 가진 것도 아니며, 앱 권한 자체가 나쁜 것은 아닙니다. 실제로 개발자들은 앱 설명이나 초기 설정 과정에서 권한 사용 목적을 설명하는 경우가 많고, 이는 사용하는 앱에 대한 신뢰를 높여 줍니다.
그렇기에 권한 요청을 비판적으로 생각하는 것이 무엇보다 중요합니다. 팝업이 뜰 때마다 무작정 예를 누르지 마세요. 신뢰할 수 있는 카메라 앱이 카메라 권한을 요구한다면 문제없을 가능성이 높습니다. 하지만 솔리테어 게임이 연락처, 위치, SMS 권한을 즉시 요구한다면 삭제하거나, 최소한 해당 권한들은 거부해야 합니다.
단, 인기가 많다고 해서 안전한 것은 아닙니다. 피해야 할 인기 안드로이드 앱들도 많습니다. 다행히 대부분의 앱 유형은 대체재를 찾을 수 있으니, 시간을 들여 권한 요구가 적은 비슷한 앱이 있는지 확인해 보세요.
권한 점검을 보안 루틴의 일부로 만드세요. 몇 달에 한 번씩 몇 분만 투자해 앞서 언급한 메뉴들을 살펴보고, 가장 민감한 권한들을 확인하여 불필요한 앱에 과도한 정보를 넘기고 있지 않은지 점검하세요.
앱 권한을 현명하게 관리하자
지금까지 안드로이드와 아이폰 사용자 모두에게 권한이 왜 중요한지, 가장 잠재적으로 위험한 권한들은 무엇인지, 그리고 권한을 통제하는 방법까지 살펴보았습니다. 약간의 성실함만 있으면 훨씬 더 프라이빗한 휴대폰을 가질 수 있습니다. 위에서 언급한 모든 무서운 시나리오는 여러분이 앱에 권한을 허용해야만 데이터 수집이 가능하다는 점을 기억하고, 수상해 보이는 것은 무엇이든 승인하지 마세요!
휴대폰 점검을 마쳤다면, 소셜 미디어의 잠재적인 개인정보 위험도 함께 확인해 보는 것이 좋습니다.