오픈소스 소프트웨어는 정말 매력적입니다. 수천 개의 무료 애플리케이션 중에서 자유롭게 선택할 수 있고, 개발자를 지원하는 방법도 다양합니다. 어떤 개발자는 기부를 요청하고, 또 어떤 개발자는 가끔 광고를 노출시키기도 합니다. 중요한 것은 오픈소스 개발자가 자신의 작업에 대한 보상을 최소한이라도 받는다는 점입니다.
하지만 오픈소스 개발에는 분명한 약점도 존재합니다. 누구나 다른 사람의 작업물을 가져와 복제하고, 세부적인 부분만 살짝 수정한 뒤 마치 자신의 작품인 것처럼 재배포할 수 있다는 것입니다.
그렇다면 이런 일이 실제로 벌어지면 어떻게 될까요? 원래 개발자는 자신의 작업을 보호할 수 있을까요? 그리고 허위 '개발자'에게는 아무런 책임도 물어지지 않을까요?
구글, VLC, 그리고 복제 앱
VLC는 세계 최고의 미디어 플레이어 중 하나입니다. 데스크톱과 모바일 사용자 모두에게 사랑받는 오픈소스 거인이죠. VLC의 다운로드 횟수는 무려 24억 9천만 회를 넘어섰습니다. 놀라운 숫자입니다.
VLC를 개발하는 비디오랜(VideoLAN) 팀은 최근 자사 소프트웨어에 광고를 번들로 포함시키는 조건으로 제안된 수천만 유로 규모의 제안을 거절했다고 밝혔습니다.
오픈소스 앱 내에 광고를 넣는 것이 자유 라이선스 위반은 아닙니다(저작권 보유자에 따라 다르지만요). 하지만 오픈소스 플랫폼의 핵심 이념 중 하나는 개발 방향을 방해 요소로부터 지키는 것입니다. 많은 개발자에게 이는 타사의 이익을 위해 존재하는 광고를 배제한다는 의미이기도 합니다. 물론 광고를 수익원으로 활용하는 개발자들도 있습니다.
그러나 비디오랜은 오랫동안 자사 제품에 광고가 포함되지 않을 것이라는 입장을 분명히 해왔습니다. 그런데 VLC의 GPL(GNU 일반 공중 사용 허가서)을 명백히 위반하는 광고 지원 안드로이드 복제 앱이 500만~1,000만 건의 다운로드를 기록하며 허위 개발자에게 어마어마한 수익을 안겨주었다면, 그들의 충격은 컸을 것입니다.
문제의 앱은 구글 플레이 스토어에 등록되어 있었지만, 상당히 오랜 기간 동안 구글은 아무런 조치도 취하지 않았습니다. 수많은 사용자가 해당 앱을 복제품으로 신고하고 개발자를 악성으로 신고했음에도 불구하고 말입니다.
321 미디어 플레이어
VLC 복제 앱은 여러 개 존재했으며, 그중 가장 심각한 것이 바로 321 미디어 플레이어였습니다. 광고가 삽입된 직접적인 복제품임에도 불구하고 이 앱은 10만 개가 넘는 리뷰에서 4.5점이라는 평점을 받았습니다. 또 다른 복제 앱인 인디언 VLC 플레이어(Indian VLC Player) 역시 50만 건 이상의 다운로드와 비슷하게 높은 평점을 기록했습니다.
321 미디어 플레이어는 간단히 말해 VLC를 가져다가 광고를 잔뜩 붙이고, 윈도우용 오픈소스 미디어 플레이어인 미디어 플레이어 클래식(Media Player Classic)의 아이콘을 사용해 정체를 감추려 했으며, 비디오랜에 대한 출처 표기조차 시도하지 않았습니다. 토렌트 프릭(Torrent Freak)과의 인터뷰에서 비디오랜 회장 장 바티스트 캄프(Jean Baptiste Kempf)는 해당 복제 앱이 VLC의 GPL을 위반했다고 확인했습니다.
"VLC 안드로이드 버전은 GPLv3 라이선스를 따릅니다. 이 라이선스는 애플리케이션 내부의 모든 요소가 오픈소스여야 하며 소스 코드를 공유해야 함을 요구합니다." 캄프는 말했습니다. "이 복제 앱은 폐쇄형 소스 광고 컴포넌트를 사용하는 것으로 보입니다(애초에 오픈소스인 광고 컴포넌트가 존재하기나 할까요?). 이는 우리 카피레프트 조항의 명백한 위반입니다. 게다가 이들은 소스 코드를 전혀 공유하지 않는 것으로 보이는데, 이것 역시 위반 행위입니다."
복제 앱의 실태
가장 놀라운 점 중 하나는 복제 앱이 축적한 다운로드 수의 규모입니다. 안드로이드 커뮤니티는 보통 복제 앱이나 악성 앱을 빠르게 적발해 구글에 삭제를 알리곤 합니다. 하지만 이번 사례에서는 그 과정에 문제가 생긴 듯합니다.
실제로 비디오랜은 DMCA(디지털 밀레니엄 저작권법) 침해 신고를 "여러 차례" 제출했지만, DMCA 처리 절차와 구글 플레이 스토어 정책상 매번 복제 앱은 다시 활성화될 수 있었습니다. 그리고 321 미디어 플레이어는 VLC 복제 앱 빙산의 일각에 불과합니다. 장 바티스트 캄프는 안드로이드 서브레딧에 올린 글에서 광고가 포함된 복제 앱 21개와 유료 복제 앱 1개를 추가로 목록화했습니다. (게시글 작성 이후 일부 복제 앱은 사라졌지만, 여전히 많은 앱이 남아 있습니다.)
구글과 구글 플레이 스토어의 이미지에는 결코 좋지 않은 상황입니다. 안타깝게도 플레이 스토어는 복제 앱으로 가득합니다. 반면 구글 역시 이를 심각한 문제로 인식하고 복제 앱의 물결에 맞서기 위해 노력하고 있다는 점도 사실입니다.
2016년 구글은 21만 개의 앱을 적발해 삭제했습니다. 2017년에는 이 숫자가 70% 증가한 70만 개에 달했습니다. 그중 약 25만 개는 유니코드 혼동 문자를 이용하거나, 특정 지역에서만 흉내 앱 아이콘을 숨기거나, 로고를 교체하는 등 직접적이거나 약간 수정된 복제 앱이었습니다. VLC 복제 앱들이 광고 수익을 노렸듯이, 복제 앱은 본질적으로 위험합니다.
문제는 단순한 광고 수익 그 이상입니다. 복제 앱은 악성 코드의 손쉬운 공급원이 됩니다. 경계심 없는 사용자는 개발자 정보를 확인하지도, '위험 신호'가 담긴 리뷰가 있는지 살피지도, 다운로드 수가 실제와 맞는지 검증하지도 않은 채 앱을 다운로드합니다. 게다가 사용자가 검증되지 않은 제3자 스토어나 웹사이트를 이용하기라도 하면 악성 앱과 마주칠 확률은 더욱 높아집니다.
복제 앱 피하는 방법
구글의 보안 솔루션 '플레이 프로텍트(Play Protect)' 덕분에 안드로이드 사용자가 악성 앱을 발견하기가 한결 수월해졌습니다. 개방성은 안드로이드의 매력이자 동시에 사기꾼과 멀웨어 유포자들에게 쉬운 표적이 되는 이유입니다. ESET 멀웨어 연구원 루카스 스테판코(Lukas Stefanko)는 "공격자들은 끊임없이 (구글의) 보안 시스템을 뚫으려 한다"고 지적합니다.
하지만 대부분의 경우 악성 앱을 피하는 것은 사용자의 지식과 주의력에 달려 있습니다. 사용자 리뷰를 꼼꼼히 살펴보세요. 다운로드 수를 교차 확인하세요. 개발자 프로필을 열람하고 개발자의 다른 앱들을 점검하세요(예를 들어 공식 Microsoft Corporation 계정에는 Word, Excel, Outlook, PowerPoint 등이 등록되어 있습니다). 구글 플레이 프로텍트가 주기적으로 앱을 검사하도록 설정하세요. 그리고 '너무 좋아서 믿기 힘든' 일이라면 대개 실제로 그럴 듯하다는 점을 기억하세요. 프리미엄 앱이 종종 무료로 풀리기는 하지만, 위의 원칙은 여전히 유효합니다.
물론 321 미디어 플레이어의 경우 이 체크리스트를 적용하기가 다소 까다롭습니다. 언뜻 보면 이 앱은 좋은 평점, 탄탄한 다운로드 수를 갖췄고 구글도 플레이 스토어 등재를 허용했습니다. 하지만 자세히 들여다보면 부정 리뷰 대부분은 경계심 없는 사용자들에게 문제를 알리는 경고였습니다(그 상황에서 사용자들이 이를 받아들였는지 여부는 별개의 문제지만요). 결국 경계심이 핵심입니다.