위스퍼(Whisper)라는 앱이 요구한 권한은 사진과 연락처, 딱 두 가지였다.

'위스퍼(Whisper)'라는 이름의 앱 하나를 분석했습니다.
파일은 260728_Whisper.apk, 용량은 2.5MB로 크지 않았습니다.
요구하는 권한도 위험 등급은 두 개뿐이었습니다.

권한이 적으니 안전해 보일 수 있습니다.
그런데 그 두 개가 하필 사진과 연락처였습니다.
몸캠피싱 피해 협박에 필요한 정보가 정확히 이 두 가지입니다.

권한이 2개뿐인데 왜 위험할까?

위험 등급으로 분류된 권한은 두 가지입니다.

• 사진(이미지) 읽기

• 저장소 읽기

여기에 연락처(주소록) 읽기 권한이 '주의'로 붙었습니다.
권한 개수만 보면 다른 협박형 악성앱들보다 얌전해 보입니다.
하지만 협박형 악성앱에 필요한 것은 많은 권한이 아니라 정확한 권한입니다.
피해자의 사진과 지인 연락처, 이 둘이면 협박은 성립합니다.

이 조합으로 무엇을 할 수 있나?

• 갤러리에 저장된 사진과 동영상을 빼내 유포 협박의 재료로 씁니다.

• 연락처를 읽어 가족과 지인의 번호를 확보하고,
  이 사람들에게 뿌리겠다며 압박합니다.

사진만 빠져나가면 겁을 주는 데서 그칠 수도 있습니다.
하지만 연락처가 함께 넘어가면 협박은 실제로 아는 사람에게 보낼 수 있다는 위협으로 바뀝니다.
몸캠피싱이 사람을 무너뜨리는 지점이 바로 여기입니다.

이 앱의 정체를 드러낸 단서

겉보기에는 평범한 앱이지만,
뜯어보면 정식 앱과 다른 흔적이 남아 있습니다.

• 앱이 접속하는 서버 주소로 https://whisper.xczx.lol 이 확인됐습니다.
  무작위에 가까운 주소에 흔치 않은 도메인이라, 정상 서비스의 주소로 보기 어렵습니다.

• 앱 내부가 지나치게 단순합니다.
  화면은 사실상 웹페이지를 띄우는 웹뷰 하나에 가깝고,
  구성요소도 화면 두 개와 서비스 하나뿐입니다.
  정식 앱치고는 속이 비어 있습니다.

• 서명 인증서가 미국의 실체 불명 이름(CN=De Tour)으로 돼 있고 일련번호가 1입니다.
  급하게 만들어 스스로 서명한 앱에서 나타나는 형태입니다.

• 요구하는 권한에 비해 파일 용량도 작은 편입니다.

이런 앱, 어떻게 피할까?

• 앱은 구글 플레이스토어 같은 공식 마켓에서만 설치합니다.
  문자나 메신저로 받은 apk 파일은 열지 않습니다.

• 영상통화나 채팅을 이유로 이 앱을 깔아야 한다며 링크로 설치를 유도하면 의심합니다.

• 설치할 때 사진과 연락처를 함께 요구하는 앱은 특히 주의합니다.

• 이미 설치했다면 인터넷을 끊고 앱을 삭제한 뒤,
  경찰(112)이나 한국인터넷진흥원(118)에 상담·신고합니다.

협박은 자료를 넘긴 뒤에 시작됩니다.
설치 전에 멈추는 것이 가장 확실한 방어입니다.