악성앱 작동 원리: 권한만 받고 제대로 실행되지 않는 사이, 빠져나가는 내 정보

출처 불명 설치파일(악성 앱)을 깔고 실행한 직후,
화면에는 아무 일도 없는 듯 보입니다.
하지만 이 조용한 몇 초 사이에 앱은 정해진 순서대로 움직입니다.
접근 권한을 받아 내고,
연락처와 사진을 모아, 외부로 보냅니다.

이미 의심스러운 앱을 설치하고 권한까지 허용했더라도,
이건 당신의 잘못이 아닙니다.
지금 중요한 것은 그 앱이 내 폰에서 무엇을,
어떤 순서로 하는지 알아차리는 일입니다.

악성앱 작동 원리란 무엇이고, 순서는 어떻게 될까요?

악성앱 작동 원리는 '권한을 받아 폰 속 정보를 모은 뒤 외부로 보내는 과정'입니다.
영상통화·채팅·본인 인증 같은 명분으로 설치된 악성 앱은 권한 받기, 데이터 수집, 외부 전송의 세 단계로 움직입니다.
위장 형태는 영상통화·채팅 앱뿐 아니라 갤러리·사진 보기 앱일 때도 많습니다.
앱이 노리는 정보는 영상이 아니라 연락처와 사진입니다.

한 가지 구분이 중요합니다.
앱을 내려받기만 한 단계와, 실행해 권한까지 허용한 단계는 다릅니다.
위협이 실제로 시작되는 지점은 권한을 허용하는 실행 단계입니다.
이 글은 그 세 단계를 따라가며 어느 시점에 어떤 신호가 나타나는지 짚어 봅니다.

설치 직후 첫 단계, 권한부터 몰아 받는 동작

실행 직후 악성앱이 가장 먼저 하는 일은 접근 권한 허용을 받아 내는 것입니다.
권한 요청 창은 정상적으로 뜨기 때문에, 화면이 멈춘 게 아니라 '권한만 잔뜩 묻는다'는 점이 첫 단서입니다.

핵심은 타이밍입니다.
정상 앱은 그 기능을 실제로 쓸 때 권한을 요청하지만,
악성앱은 실행하자마자 '화질 개선', '본인 인증', '보안 업데이트' 같은 이유를 대며 기능과 무관한 권한까지 한꺼번에 허용하게 몰아갑니다.
다음처럼 시작하자마자 권한을 몰아 요구한다면 첫 신호로 의심할 수 있습니다.

• 영상통화·사진 보기 앱인데 켜자마자 연락처·주소록부터 요구

• 사진과 파일 접근 권한을 함께 요구

• 한 화면에서 여러 권한을 한꺼번에 동의하도록 유도

기능을 쓰기도 전에 권한부터 달라고 하면,
그 자체가 위험 신호입니다.

두 번째 단계, 권한만 받고 앱이 제대로 작동하지 않는 신호

권한을 허용받은 악성앱의 다음 동작은 폰 속 데이터를 조용히 모으는 것입니다.
이 단계에서 가장 확실한 신호가 있습니다.
권한만 받아 가고 정작 약속한 기능은 제대로 실행되지 않는 현상입니다.

흔히 '오류인가?’라고 생각하기 쉽지만,
실제로는 권한을 받은 뒤에도 약속한 기능이 동작하지 않습니다.
보여 줄 기능이 없는 미끼 앱이라 권한만 챙기고 멈추는 것입니다.
사용자에게는 '먹통'처럼 보이지만,
그 멈춘 화면 뒤에서 연락처와 사진을 가져가는 작업이 진행될 수 있습니다.
함께 나타날 수 있는 단서는 다음과 같습니다.

• 권한을 허용했는데 약속한 기능이 실행되지 않고 그대로 멈춤

• 폰이 평소보다 뜨거워지거나 배터리가 빨리 닳음

• 아무것도 안 했는데 데이터 사용량이 크게 늘어남

'권한만 줬는데 앱이 약속한 대로 작동하지 않았다'는 기억이 있다면,
그것이 가장 또렷한 신호입니다.

세 번째 단계, 모은 정보가 외부로 전송되는 순간

악성앱의 마지막 동작은 모아 둔 데이터를 외부로 보내는 정보 전송입니다.
수집된 연락처와 사진은 인터넷을 통해 가해자의 외부 서버로 전송되고,
이때부터 정보는 더 이상 내 폰 안에만 머물지 않습니다.

넘어간 정보가 협박에 어떻게 쓰이는지는 허브 글에서 다룹니다.
영상이 없어도 빠져나간 연락처와 사진은 협박에 쓰일 수 있고,
사진은 딥페이크·합성 협박물에 악용되기도 합니다.
그래서 무엇이 어디로 빠져나갔는지를 동작으로 확인하는 일이 중요합니다.

이미 외부로 넘어간 데이터를 인터넷에서
완전히 지우는 일은 누구도 장담하기 어렵습니다.
'완전 삭제'를 약속하는 업체에 섣불리 맡기면 오히려 2차 피해로 이어질 수 있습니다.
지금 할 일은 그 앱이 실제로 무엇을 했는지 동작으로 확인하고,
수사기관과 전문기관의 도움을 함께 살피는 것입니다.

내 폰 점검하기, 닥터피싱은 어떻게 돕나요?

내 폰 점검은 영상에 매달리기 전에 '무엇이 깔렸고 무엇이
빠져나갔는가'부터 확인하는 것이 빠릅니다.
스스로 점검할 때는 아래 항목을 차분히 살펴보세요.

1. 의심되는 앱을 보관합니다. (실행만 하지 않으면 괜찮습니다.)

2. 닥터피싱에 접속합니다. (https://drphishing.ai)

3. 의심되는 앱을 닥터피싱에 업로드 합니다.

4. 악성 앱으로 판단이 된다면 상담하는 것을 추천드립니다.
   

그 앱의 동작부터 점검해 무엇이 넘어갔을지 가늠하는 편이 낫습니다.
닥터피싱은 의심스러운 악성 앱을 분석해 그 앱이 어떤 권한을 쓰고 어디로 정보를 보내는지 확인해 주는 곳입니다.
혼자 끌어안지 말고 수사기관과 전문기관에 알리는 것도 함께 고려해 보시기 바랍니다.

자주 묻는 질문 (FAQ)

악성앱을 설치하자마자 바로 정보가 빠져나가나요?

내려받기만 한 단계와, 실행해 권한까지 허용한 단계를 구분해야 합니다.
정보 수집과 전송은 보통 권한에 동의한 직후부터 시작됩니다.
이때 앱은 기능을 보여 주는 대신 권한만 받고 제대로 실행되지 않곤 하는데,
그 사이 연락처와 사진을 모아 외부로 보내는 동작이 진행될 수 있습니다.
의심된다면 추가 동의를 멈추고,
그 앱이 어떤 권한으로 무엇을 했는지부터 확인하는 것이 우선입니다.

권한만 받고 앱이 제대로 실행되지 않는데, 오류로 꺼진 것 아닌가요?

오류가 아니라 전형적인 동작 신호일 수 있습니다.
정상 앱은 권한을 받으면 기능 화면이 나타나야 하지만,
정보 수집이 목적인 미끼 앱은 보여 줄 기능이 없어 권한만 받고 약속한 기능이 제대로 작동하지 않습니다.
그 사이 연락처·사진을 가져가는 경우가 있으니, '권한만 줬는데 앱이 제대로 실행되지 않았다'면 의심하고 그 앱의 동작을 분석으로 확인해 보세요.

앱을 삭제하면 이미 전송된 정보도 사라지나요?

아닙니다.
앱 삭제는 폰에서 그 앱을 지우는 것일 뿐, 이미 외부 서버로 넘어간 연락처·사진까지 되돌리지는 못합니다.
이미 넘어간 정보를 완전히 지우는 일은 누구도 장담하기 어렵습니다.
'완전 삭제'를 장담하는 업체에 섣불리 맡기면 오히려 2차 피해로 이어질 수 있으니 주의하고,
무엇이 빠져나갔는지부터 차분히 확인하시기 바랍니다.

내 폰이 악성앱에 감염됐는지 어떻게 확인하나요?

먼저 최근에 상대가 보낸 파일·링크로 설치하고 실행한 앱이 있는지,
그 앱이 기능과 무관한 연락처·사진 권한을 가지고 있는지,
실행했을 때 권한만 받고 제대로 작동하지 않았는지를 점검하세요.
안드로이드는 설정의 앱·개인정보 보호, 아이폰은 설정의 개인정보 보호 화면에서 앱별 권한을 볼 수 있습니다.
의심되는 설치 파일이 있다면 닥터피싱에서 분석해 무엇을 가져가려 했는지 확인할 수 있습니다.

함께 보면 좋은 악성앱 분석

• 몸캠피싱 악성앱, 진짜 무기는 영상이 아니라 폰을 통째로 가져간 그 앱입니다.

• 몸캠피싱 악성앱 권한, 이렇게 요구하면 의심하세요

• 몸캠피싱 악성앱 위장 수법, '녹화 방지·시크릿 통화 앱'으로 깔라고 합니다