플레이스토어 내 악성코드 앱 논란으로 수많은 비판을 받아온 구글이 마침내 보안 문제 해결에 본격적으로 나섰습니다. 구글은 현재 플레이스토어에 등록된 모든 앱을 검토하며 안드로이드 접근성 서비스(Accessibility Service)를 사용하는 앱을 찾아내고 있으며, 불필요하게 이 기능을 활용하는 앱은 플레이스토어에서 삭제될 예정입니다.
구글은 이미 접근성 서비스 API를 사용 중인 앱 개발자들에게 통지를 시작했습니다. 실제로 개발자들에게 발송되고 있는 이메일 내용은 다음과 같습니다.
구글이 보낸 공식 이메일 주요 내용
앱 수정이 필요한 경우 아래 단계를 따라주시기 바랍니다:
- Permissions 및 User Data 정책을 상세히 검토하고, Developer Program Policies에 명시된 모든 정책을 앱이 준수하는지 확인해 주세요.
- 앱에서 BIND_ACCESSIBILITY_SERVICE 권한이 필요하지 않거나, 장애가 있는 사용자의 안드로이드 기기·앱 이용 지원 외 목적으로 이 권한을 사용 중이라면:
- 앱 매니페스트에서 해당 권한 요청을 제거합니다.
- Play Console에 로그인하여 수정된 정책 준수 APK를 업로드합니다.
- 반대로, 장애가 있는 사용자를 지원하기 위해 BIND_ACCESSIBILITY_SERVICE 권한이 반드시 필요한 경우라면:
- 앱 스토어 등록 정보 설명에 “This app uses Accessibility services.” 문구를 포함해야 합니다.
- 앱 내에서 사용자에게 권한 활성화를 요청하기 전에, 눈에 띄는 방식으로 해당 사용 사실을 공개해야 합니다. 공개 내용은 아래 요건을 모두 충족해야 합니다:
- AccessibilityServiceInfo 클래스의 android:summary 및 android:description 요소를 통해 공개해야 합니다.
- 접근성 서비스 권한으로 어떤 기능이 활성화되는지 구체적으로 설명해야 하며, 해당 권한과 함께 사용되는 모든 기능에 대해 근거와 함께 명시해야 합니다.
또는 앱 게시를 자체적으로 중단하는 방법도 선택할 수 있습니다.
모든 위반 사항은 추적·관리됩니다. 심각하거나 반복적인 위반이 확인될 경우 개발자 계정이 종료되며, 관련된 구글 계정에 대한 조사 및 계정 종료 조치가 이루어질 수 있습니다.
정책을 검토한 후 구글 측 착오라고 판단되시면 정책 지원팀에 문의해 주세요. 담당자가 2영업일 이내에 회신드리겠습니다.
감사합니다.
구글 플레이 검토팀 드림
접근성 서비스란 무엇인가?
접근성 서비스에 대해 잘 모르는 분들을 위해 간단히 설명하면, 이는 장애가 있는 안드로이드 사용자가 기기를 편리하게 사용할 수 있도록 돕는 앱을 개발할 수 있게 지원하는 특별한 기능입니다. 그러나 시간이 지나면서 상당수 개발자들이 자사 앱의 이익을 위해 이 조항을 오용하기 시작했습니다. 지금까지 구글은 이러한 서비스를 사용하는 개발자들에 대해 별다른 제재를 가하지 않았으며, 실제로 Greenify나 LastPass처럼 널리 쓰이는 앱들도 구글의 접근성 서비스를 활용해 왔습니다.
왜 갑자기 단속이 강화되었나?
최근 잇따른 악성코드 공격으로 인해 구글은 접근성 서비스에 대해 경계심을 높이게 되었습니다. 악성 앱을 만드는 개발자 입장에서는 이 서비스를 악용해 사용자 데이터를 무단으로 빼내거나 피싱 공격을 실행하기가 매우 쉽기 때문입니다. 실제로 'Cloak and Dagger' 취약점 공격과 토스트 메시지 오버레이(Toast Message Overlay) 공격은 안드로이드 접근성 서비스를 악목적으로 활용한 대표적인 사례로 꼽힙니다.
앱 개발자에게 어떤 영향이 있을까?
구글은 개발자들에게 새 정책을 준수하라는 사실상의 최후통첩을 보낸 셈입니다. 기존의 서비스 사용 방식을 변경하지 않으면 앱이 플레이스토어에서 삭제되고, 심할 경우 구글 계정 자체가 종료될 수 있습니다. 결국 개발자들은 앱의 사용성에 얼마나 부담이 되더라도 최신 가이드라인을 준수할 수밖에 없는 상황입니다.