'무료 앱, 무료 게임.' 사람들을 잘못된 안도감에 빠뜨리는 것은 늘 '공짜'라는 달콤한 유혹입니다. 바로 그 당근이 평소 신중했던 사람들조차 안드로이드 기기에 서드파티(제3자) 앱 스토어를 설치하도록 부추깁니다. 사실 저희 역시 과거에 이런 앱 라이브러리를 추천한 적이 있습니다.
서드파티 앱 스토어는 때때로 구글 플레이보다 뛰어난 화면 구성을 제공하기도 하지만, 대부분은 '공식' 스토어에서 내려간 앱들을 배포합니다. 개발자가 재배포할 법적 권리가 없는 소프트웨어가 올라오기도 하고, 말웨어가 가득한 앱과 게임이 섞여 있기도 합니다.
하지만 놀랍게도 스마트폰의 보안을 약화시키기 위해 이런 앱까지 직접 실행할 필요는 없습니다. 앱 스토어 자체를 설치하는 행위만으로도 충분합니다. 이 하나의 조치만으로 기기가 취약점에 노출될 수 있기 때문입니다. 그렇다면 이것이 아마존과 무슨 관계일까요?
안드로이드에서 만나는 아마존 앱들
아마존은 다양한 안드로이드 앱을 배포하고 있습니다. 아마존 킨들(Amazon Kindle)과 아마존 쇼핑(Amazon Shopping) 앱을 비롯해, 아마존 뮤직(Amazon Music), 아마존 셀러(Amazon Seller), 프라임 나우(Prime Now), 알렉사(Alexa), 오디블(Audible) 오디오북 등이 그 예입니다.
여러분도 이 중 몇 개, 혹은 전부를 한 번쯤은 사용해 보셨을 겁니다. 이 앱들은 작성 시점 기준으로 기기에 특별한 위험을 초래하지 않으며, 모두 구글 플레이를 통해 다른 앱·게임과 동일한 검수 절차를 거쳐 배포됩니다.
그런데 단 하나, 구글 플레이에서는 찾을 수 없는 앱이 있습니다.
아마존 언더그라운드란 무엇인가?
아마존 태블릿과 파이어 TV 기기에는 기본적으로 아마존 앱스토어가 탑재되어 있습니다. 방대한 미디어, 앱, 게임, 쇼핑 카탈로그에 즉시 접근할 수 있도록 설계된 구조입니다.
일반 안드로이드 기기에는 이런 통합 환경이 없습니다. 대신 앞서 언급한 앱들을 통해 음악 라이브러리, 아마존 프라임 비디오 스트리밍 등의 서비스를 이용하게 됩니다.
하지만 아마존 쪽 앱과 게임을 받으려면 '아마존 언더그라운드(Amazon Underground)' 앱이 필요합니다. 이 앱은 서드파티 앱 스토어이기 때문에 구글 플레이에서 찾을 수 없습니다. 즉, 설치하려면 기기의 보안 설정을 낮춰야 하며, 대부분의 사용자는 설치 후 이 변경 사항을 되돌리는 것을 잊어버립니다.
숨겨진 위험, '언더그라운드'
아마존 언더그라운드 역시 다른 서드파티 앱과 마찬가지로 안드로이드 스마트폰이나 태블릿에서 '출처를 알 수 없는 앱(Unknown Sources)' 설치 허용을 활성화해야 합니다. 이 설정은 설정 > 보안 메뉴에서 찾을 수 있으며, 켜두는 순간 심각한 보안 문제가 생길 수 있습니다.
단일 앱을 위해 이 옵션을 켜는 것 자체가 이미 위험한데도, 새로운 앱 스토어의 유혹 앞에서는 보안 설정이 해제되었다는 사실을 쉽게 잊곤 합니다.
게다가 아마존에 대한 신뢰가 그 위험을 상쇄해 버립니다. 어차피 아마존이 폰을 망가뜨리는 앱을 출시할 리 없잖아요, 라고 생각하기 마련입니다.
무료 프리미엄 게임이라는 미끼
아마존 언더그라운드가 안드로이드 사용자에게 매력적인 이유는 명확한 셀링 포인트가 있기 때문입니다. 바로 '무료 게임'입니다. 무료 게임은 어디에나 있지만, 여기서 말하는 게임은 구글 플레이에서 유료로 판매되던 타이틀들이라는 점이 다릅니다.
모바일 게이머 입장에서는 돈을 아낄 수 있는 기회인 셈입니다. 원치 않을 사람이 있겠습니까?
정리하면, 전자상거래 분야의 신뢰할 만한 기업이 만든 앱인데도, 유료 앱 값을 아끼기 위해 스마트폰이나 태블릿의 보안을 스스로 낮춰야 하는 구조인 셈입니다.
꺼림칙하지 않으신가요?
'출처 불명 앱' 허용을 피해야 하는 이유
출처 불명 앱 설치가 허용되면 안드로이드 기기는 각종 위험에 노출됩니다. 구글 플레이 외부에서 앱을 설치한다면 최소한 해당 앱의 출처를 확인할 수 있어야 합니다. 구글 플레이 스토어 밖에서 앱을 설치하기 전 스스로에게 던져야 할 두 가지 질문이 있습니다.
- APK 파일이 진짜(정품)인가?
- 신뢰할 수 있는 개발사 또는 퍼블리셔에게서 왔는가?
대부분의 경우 두 질문 모두에 "예"라고 답할 수 없다면 그 앱은 설치하지 말아야 합니다.
유감스럽게도 현실은 그리 깔끔하지 않습니다. 구글에 의존하지 않고 안드로이드를 사용하고자 한다면 — 프라이버시를 강화하는 좋은 방법이지만 — 서드파티 앱 스토어가 사실상 필수가 됩니다.
아마존의 앱 스토어 시장 공략 전략
아마존은 앱 스토어 시장에서 처음부터 크게 불리한 위치에 있었습니다. 애플과 구글(그리고 이후에는 마이크로소프트)은 통제가 잘 되는 '울타리 있는 정원(walled garden)'을 운영해 왔습니다. 소비자 입장에서는 악성 소프트웨어가 휴대폰으로 확산되기 어렵다는 장점이 있죠. 새로운 앱과 게임의 제출·심사 과정에 마련된 통제 장치가 이를 막아줍니다.
반면 애플과 마이크로소프트가 서드파티 앱 설치를 차단하는 것과 달리(개발자가 자체 앱을 설치하는 우회로가 있긴 하지만), 안드로이드는 상대적으로 느슨합니다. 그래서 '출처 불명 앱' 설정이 존재하는 것입니다.
수익 창출에 능한 아마존이 안드로이드 사용자를 끌어들이려 하는 것은 자연스러운 귀결입니다. 자사 모바일 OS인 파이어 OS(Fire OS)가 안드로이드 기반이기 때문에, 한쪽에서 동작하는 앱은 다른 쪽에서도 작동합니다.
하지만 아마존 언더그라운드로 앱을 설치하려면 결국 출처 불명 앱 허용이 필요합니다. 그다지 좋은 선택지가 아니죠. 보안 업체 룩아웃(Lookout)의 보안 연구원 앤드류 블라이크(Andrew Blaich)는 이렇게 지적합니다.
"출처 불명 앱 설치를 허용하면, 사용자는 악성 웹사이트 링크, 피싱 시도 등 다양한 경로로 유포되는 악성 앱의 설치를 막는 첫 번째 방어선을 스스로 제거하는 셈입니다..."
맞습니다. 출처 불명 앱 허용은 서드파티 앱 스토어와 앱만의 문제가 아닙니다. 웹사이트와 광고도 휴대폰에 악성 소프트웨어를 설치하도록 유도할 수 있습니다. 이메일 메시지와 인스턴트 메신저에 담긴 링크도 마찬가지입니다.
이 모든 것이 안드로이드 보안을 윈도우 보안 수준과 비슷하게 만듭니다. 안드로이드 말웨어는 어디서든 실수로 설치될 수 있다는 뜻입니다.
그렇기에 출처 불명 앱 허용을 켜두는 것 자체가 본질적으로 안전하지 못한 선택입니다.
당신은 그 위험을 감수할 준비가 되어 있는가?
출처 불명 앱 설치 허용이 서드파티 앱 스토어를 통해 휴대폰을 말웨어에 노출시킨다는 사실을 우리는 알고 있습니다. 그리고 아마존 앱스토어에서 괜찮은 프리미엄 게임들을 무료로 즐길 수 있다는 사실도 알고 있습니다.
안드로이드 O부터 서드파티 앱 스토어 설치를 공식 지원해 '출처 불명 앱'을 장기간 켜둬야 하는 문제를 우회할 수 있다는 소문이 있었지만, 현시점에서 이는 여전히 위험 요소로 남아 있습니다.
참고: 본문에서 다루는 '아마존 언더그라운드' 프로그램은 현재 서비스가 종료되었지만, 서드파티 앱 스토어와 '출처 불명 앱' 설정이 안고 있는 보안 논점은 지금도 유효합니다.
그래도 이 위험을 감수하시겠습니까? 조금의 비용 절감을 위해 휴대폰을 말웨어에 노출시키는 것에 대해 어떻게 생각하시는지 댓글로 알려주세요.
이미지 출처: Who is Danny/Shutterstock