구글이 전화번호, 복사·붙여넣기 데이터, 이메일 주소 등 민감한 사용자 정보를 몰래 수집해 온 사실을 확인하면서 해당 안드로이드 앱 11종을 구글 플레이 스토어에서 삭제했습니다. 월스트리트 저널(Wall Street Journal)에 따르면, 이들 앱은 플레이 스토어에서만 4,600만 회 이상 다운로드된 것으로 밝혀졌습니다.
조사 결과, 파나마에 소재한 'Measurement Systems'라는 기업이 안드로이드 앱 개발자들에게 돈을 지급하고 자사 SDK(소프트웨어 개발 키트)를 앱에 탑재하게 한 것으로 드러났습니다. 이 SDK는 사용자 스마트폰에서 민감한 데이터를 추출할 수 있는 기능을 갖추고 있었습니다. 해당 기업은 파트너에게 총 210만 달러를 지급했으며, 이미 수천 개의 앱이 이 SDK를 사용했다고 주장합니다. 또한 이 기업은 미국 국가안보 기관의 사이버 인텔리전스 업무를 수행하는 버지니아주 방위업체와 연계돼 있다는 의혹이 제기됐지만, 당사는 이를 부인하고 있습니다.
앱이 데이터를 수집하는 방식
보안 연구기관 AppCensus에 따르면, 사용자가 무언가를 복사해 붙여넣을 때마다 해당 데이터가 SDK 서버로 전송됩니다. AppCensus는 또한 이 SDK가 전화번호와 이메일 주소는 물론 정확한 GPS 위치까지 수집할 수 있다고 지적했습니다.
더욱 심각한 점은, 이 SDK가 휴대폰이 연결된 공유기(라우터)의 고유 MAC 주소까지 빼낼 수 있다는 사실입니다. 이를 통해 사용자의 활동 내역이 외부에 노출될 위험이 있습니다.
이 SDK를 사용한 앱의 종류
보안 연구진은 QR 코드·바코드 스캐너, 과속 단속 카메라 감지 앱, 날씨 앱, 고속도로 레이더 앱 등 다양한 앱에서 이 코드가 발견됐다고 밝혔습니다. 이들 앱에는 이메일, 위치, 전화번호 등 사용자 데이터를 수집할 수 있는 코드가 포함되어 있었습니다.
이런 앱이 주는 위험은?
일반 사용자의 입장에서 한 번쯤 생각해볼 문제입니다. 앱을 통한 데이터 수집이 과연 정당한 걸까요? 이번 데이터 수집 코드를 발견한 조엘 리어던(Joel Reardon)은 AppCensus 연구 블로그에서 "데이터베이스가 사용자의 전화번호와 이메일을 정확한 GPS 위치 이력과 연결할 수 있다면 그 자체로 매우 무섭다"고 말했습니다. 이메일 주소나 전화번호만으로 특정 개인을 표적으로 삼을 수 있기 때문입니다.
이렇게 확보된 정보는 정치적 경쟁자, 언론인, 반체제 인사를 겨냥하는 데 악용될 수 있습니다. 그렇다면 이런 데이터 수집이 평범한 사용자에게도 위협이 될 수 있다고 생각하지 않으신가요? 아래 댓글로 여러분의 의견을 들려주세요.
우리가 해야 할 일
- 해당 앱 즉시 삭제: 위 스크린샷을 확인하고, 해당 앱 중 하나라도 설치돼 있다면 지체 없이 삭제하세요.
- 논란이 된 앱은 설치하지 않기: 잘못된 이유로 뉴스에 오른 앱을 발견하면 설치하지 말고, 이미 설치했다면 바로 삭제하세요. 구글이 플레이 스토어에서 내렸더라도 기기에 남아 있다면 여전히 위험에 노출됩니다.
- 안티멀웨어 앱 활용: 앱을 삭제한 후에도 스마트폰에 백신·안티멀웨어 앱을 설치해 두세요. 삭제된 앱이 남긴 멀웨어나 몰래 설치한 다른 악성 앱까지 추적하고 차단할 수 있습니다. 예를 들어 Systweak Software의 'Smart Phone Cleaner'를 사용하면 각종 감염과 멀웨어 공격으로부터 폰을 보호할 수 있습니다.
- 가짜 앱 식별법 익히기: 가짜 플레이 스토어 앱을 식별하고 피하는 방법을 다룬 관련 글도 꼭 확인해 보세요. 플레이 스토어 앱으로 가장한 수상한 앱은 물론, 구글 플레이 스토어의 방어막을 뚫고 들어온 앱까지 대비하는 데 큰 도움이 됩니다.
마무리하며
개발자 여러분께 묻습니다. 제안이 아무리 매력적이라 해도, 사용자 데이터를 침해하고 수집 사실이 드러나는 순간 사용자의 신뢰를 잃게 되는 SDK를 과연 앱에 넣으시겠습니까? 아래 댓글 섹션에 여러분의 견해를 남겨주세요.
페이스북, 인스타그램, 유튜브에서 저희를 팔로우하고 최신 소식을 받아보세요.