EXPO GO 몸캠피싱,
전체 흐름과 자가진단
플레이스토어에서 받는 EXPO GO는 원래 개발자용 정상 앱입니다.
그러나 몸캠피싱 가해자는 이 앱을 통로 삼아 악성 프로젝트를 몰래 실행시킵니다.
전체 공격 흐름을 한눈에 정리하고, 지금 내 상황을 스스로 진단하는 방법을 안내합니다.
EXPO GO(엑스포고)는 정상 개발자 앱이지만, 가해자는 이 앱으로 악성 프로젝트를 열게 해 연락처·사진을 빼냅니다. 설치했다면 어떤 링크·QR를 열었는지부터 확인하는 것이 자가진단의 출발점입니다.
공식 통계로 본 심각성
경찰청 범죄통계 기준 몸캠피싱 신고는 2015년 102건에서 2019년 1,824건으로 급증했고, 2019년 검거율은 26.2%에 그쳤습니다. 가해자 검거가 어려운 만큼, 피해자의 신속한 초기 대응과 설치된 앱의 전문 분석이 현실적으로 가장 중요합니다. (출처: 경찰청 범죄통계 · 시사위크 보도)
EXPO GO 몸캠피싱의 전체 흐름 (수법·유입)
EXPO GO를 이용한 몸캠피싱은 낯선 상대와의 짧은 호감 대화에서 시작해, ‘정상 앱 설치’라는 안심 요소를 지렛대 삼아 악성 코드를 실행시키는 구조입니다. 가해자는 랜덤채팅·SNS·데이팅 앱에서 접근한 뒤 영상통화로 자연스럽게 유도하고, 화면이 안 보인다거나 이 앱으로 통화하자며 플레이스토어의 정상 앱 EXPO GO 설치를 권합니다.
피해자 입장에서는 구글 공식 스토어에서 내려받는 앱이라 경계심이 크게 낮아집니다. 정상 앱을 통로로 삼는다는 점이 기존의 수상한 APK 직접 전달 방식과 결정적으로 다른 부분입니다. 설치가 끝나면 가해자는 링크나 QR 코드를 보내, 자신이 미리 만들어 둔 악성 프로젝트를 Expo Go 안에서 열도록 유도합니다.
이 수법이 빠르게 번지는 이유는 단순합니다. 사람들은 출처를 알 수 없는 파일은 위험하다는 경고에는 익숙하지만, 정식 앱스토어에서 별점과 다운로드 수가 붙은 앱을 받는 행위는 안전하다고 배워 왔습니다. 가해자는 바로 그 학습된 신뢰를 역이용합니다. 실제로 설치되는 EXPO GO는 조작되지 않은 진짜 앱이기 때문에, 백신이나 스토어 경고가 뜨지 않아 피해자의 마지막 방어선까지 조용히 무력화됩니다.
악성앱 분석으로 드러난 실측 통계
아크링크가 실제로 분석한 몸캠피싱 악성앱은 303종, 확인된 C2 서버는 269개, 추출된 악성 도메인(IOC)은 490개입니다. 이 악성앱들이 요청한 권한을 집계하면 목적이 뚜렷하게 드러납니다.
- 연락처 읽기(READ_CONTACTS): 253종 — 83%
- 저장소 읽기(READ_EXTERNAL_STORAGE): 224종 — 74%
- 문자 읽기(READ_SMS): 147종 — 49%
- 문자 수신(RECEIVE_SMS): 102종 — 34%
연락처와 저장소 권한이 압도적으로 많다는 것은, 이들의 실제 목적이 연락처와 사진을 빼낸 뒤 지인에게 유포하겠다고 협박하는 데 있음을 정량적으로 보여줍니다. Expo Go 안에서 실행되는 프로젝트가 노리는 권한도 이와 다르지 않습니다.
— 아크링크 악성앱 분석 데이터(2026)
전체 공격 흐름을 한눈에 정리하면 다음 다섯 단계로 압축됩니다. 자신이 겪은 일이 어디까지 진행됐는지 대조하며 읽어 보세요.
접근 — 호감 형성
랜덤채팅·SNS·데이팅 앱에서 다가와 호감을 쌓으며 대화를 이어갑니다. 이 단계는 익명성이 높아 가해자 신원이 드러나지 않습니다.
영상통화 유도
어느 정도 신뢰가 쌓이면 페이스톡·영상통화를 제안합니다. 노출을 유도하거나, 통화 품질을 핑계로 다음 단계를 준비합니다.
EXPO GO 설치 권유
“소리가 안 들린다”, “이 앱으로 통화하자”며 플레이스토어에서 엑스포고 설치를 유도합니다. 정식 앱이라는 점을 안심 근거로 강조합니다.
악성 프로젝트 실행
링크나 QR 코드를 보내 Expo Go 안에서 가해자의 프로젝트를 열게 합니다. 악성 코드는 앱이 아니라 이 프로젝트 안에 숨어 있습니다.
탈취와 협박
권한을 허용하면 연락처·사진을 빼내고, 곧바로 태도를 바꿔 금전을 요구하거나 지인에게 유포하겠다고 협박합니다.
EXPO GO 화면에서 실제로 벌어지는 일
EXPO GO를 설치한 직후 화면에는 개발자용 앱 특유의 프로젝트 목록이나 QR 스캔 화면이 나타납니다. 가해자가 보낸 링크를 누르거나 QR을 찍으면, Expo Go는 원격 서버에서 악성 프로젝트(자바스크립트 번들)를 내려받아 곧바로 실행합니다. 이때 피해자 눈에 보이는 것은 그럴듯한 영상통화·채팅 화면이라, 자신이 별도의 악성앱이 아니라 정상 앱 안의 기능을 쓰고 있다고 착각하기 쉽습니다.
화면만 보면 여느 영상통화 앱과 구분하기 어렵습니다. 로고, 버튼 배치, 통화 연결음까지 흉내 낸 경우가 많아, 피해자는 앱이 조금 이상하다고 느끼면서도 통화를 이어갑니다. 그러나 이 화면은 Expo Go가 원격에서 불러온 가짜 인터페이스일 뿐이며, 뒤에서는 권한 요청과 데이터 수집이 동시에 진행됩니다. 그래서 어떤 앱이었는지보다 그 앱 안에서 무엇을 실행했고 무엇을 눌렀는지가 자가진단의 진짜 기준이 됩니다.
적지 않은 피해자가 이 앱 이름을 ‘아르고’로 기억합니다. 통화 도중 급하게 들은 ‘Expo Go(엑스포고)’가 아르고처럼 들리기 때문입니다. 아르고 몸캠피싱과 엑스포고 몸캠피싱은 같은 수법을 가리키는 다른 표기이므로, 어느 이름으로 검색했든 확인해야 할 내용과 대응 방법은 동일합니다.
자가진단이 중요한 이유는, 대부분의 피해자가 내가 해킹을 당한 건지 그냥 앱만 깐 건지조차 헷갈려 하기 때문입니다. 막연한 불안은 협박에 그대로 휘둘리게 만듭니다. 반대로 나는 링크를 열지 않았다, 또는 연락처 권한을 허용하지 않았다처럼 사실을 하나씩 확정하면, 대응의 우선순위가 분명해지고 불필요한 공포에서 벗어날 수 있습니다.
지금 자신이 어느 단계에 있는지 가늠하려면, 아래 항목을 차례대로 점검해 보세요. 이 자가진단은 “해킹을 당했나”가 아니라 “무엇을 실행하고 무엇을 허용했나”를 기준으로 삼습니다.
피해자 자가진단 체크리스트
- □ 낯선 상대가 영상통화 도중 특정 앱 설치를 요구했다
- □ 안내에 따라 엑스포고·아르고·EXPO GO를 플레이스토어에서 설치했다
- □ 설치 후 상대가 보낸 링크나 QR 코드를 열었다
- □ 앱이 연락처·저장소·문자 접근 권한을 물었고 ‘허용’을 눌렀다
- □ 실행 직후 상대의 말투가 돌변해 돈을 요구하기 시작했다
1~2개에 해당하면 아직 데이터 전송 전일 가능성이 있어 즉시 차단이 유효합니다. 3개 이상, 특히 권한 허용 항목에 체크했다면 연락처·사진이 이미 전송됐을 수 있어 유출 범위를 정확히 확인해야 합니다. 체크 개수가 많을수록 다음 절의 기술적 실체를 꼼꼼히 읽어 두는 편이 좋습니다.
기술적 실체 — 왜 EXPO GO로 권한이 뚫리나
EXPO GO가 악용되는 기술적 이유는 권한 상속 구조에 있습니다. Expo Go는 어떤 개발 프로젝트든 실행할 수 있도록 카메라·연락처·저장소 같은 광범위한 권한을 앱 자체에 미리 선언해 둡니다. 가해자의 악성 프로젝트는 이 권한을 그대로 물려받아, 피해자가 별도의 수상한 앱을 설치하지 않고도 기기 안의 데이터에 접근하게 됩니다.
더 까다로운 점은 실제 악성 코드가 설치 파일 안이 아니라 원격 서버의 자바스크립트 번들 형태로 존재한다는 것입니다. 그래서 구글 플레이 프로텍트의 사전 검사를 사실상 우회하고, 권한을 묻는 창도 정상 앱인 Expo Go 명의로 뜨기 때문에 경고 신호가 거의 드러나지 않습니다.
권한이 허용되면 프로젝트는 연락처 목록을 통째로 읽어 가해자의 C2 서버로 전송합니다. 앞서 통계에서 연락처 권한이 83%로 가장 높았던 이유가 여기에 있습니다. 이렇게 수집된 연락처는 지인에게 뿌리겠다는 유포 협박의 표적 명단이 되고, 저장소 권한으로는 갤러리 사진이, 문자 권한으로는 인증번호가 함께 빠져나갈 수 있습니다.
전송은 순식간에 끝나고 화면에는 이렇다 할 흔적이 남지 않습니다. 연락처 수백 건이 넘어가는 데 몇 초면 충분하며, 피해자는 통화가 끊긴 뒤 협박 메시지를 받고 나서야 상황을 알아차리는 경우가 대부분입니다. 그래서 느낌상 괜찮았다는 판단은 신뢰하기 어렵고, 허용한 권한과 실행한 프로젝트라는 객관적 단서로 되짚는 편이 훨씬 정확합니다.
허용한 권한으로 가늠하는 유출 범위 (자가진단 2단계)
- 연락처를 허용했다면 → 지인 명단 유출 가능 (유포 협박의 근거가 됨)
- 저장소·사진을 허용했다면 → 갤러리 이미지 유출 가능
- 문자를 허용했다면 → SMS·인증번호 유출 가능
- 어떤 권한도 허용하지 않았다면 → 전송 가능성은 낮으나 실행 이력은 확인 필요
다만 허용 여부만으로 단정하기 어려운 경우가 있으므로, 가장 확실한 판단은 실행된 프로젝트가 무엇이었고 어디로 통신했는지를 기술적으로 확인하는 것입니다.
예방과 차단 — 지금 할 수 있는 조치
이미 EXPO GO를 설치하고 프로젝트까지 실행했다면, 추가 전송을 막는 것이 가장 먼저입니다. 아래 순서대로 조치하면 피해 확산을 상당 부분 줄일 수 있습니다.
즉시 차단 절차
- 네트워크 차단 — 데이터와 와이파이를 끄거나 비행기 모드로 전환해 추가 전송을 중단합니다.
- 권한 회수 — 설정 → 애플리케이션 → Expo Go → 권한에서 연락처·저장소·문자를 모두 끕니다.
- 앱 삭제 — Expo Go와 함께 받은 파일을 삭제합니다. 단, 삭제 전에 증거부터 캡처합니다.
- 계정 보호 — 문자 인증을 쓰는 주요 서비스의 비밀번호를 바꿉니다.
차단 순서에서 가장 흔히 놓치는 것이 삭제부터 하는 것입니다. 앱을 먼저 지우면 어떤 프로젝트가 실행됐는지, 어떤 주소로 통신했는지를 확인할 단서가 함께 사라집니다. 그래서 네트워크 차단과 증거 캡처를 먼저 하고, 삭제는 가장 마지막에 하는 순서를 지켜야 나중에 전송 여부를 되짚을 수 있습니다.
아직 설치하지 않았거나 재발을 막고 싶다면 다음 원칙을 지키는 것이 효과적입니다. 핵심은 ‘누가 시켜서’ 앱을 실행하는 상황 자체를 위험 신호로 인식하는 것입니다.
- 낯선 상대가 특정 앱 설치나 QR·링크 실행을 요구하면 이유를 불문하고 중단합니다.
- 플레이스토어 앱이라도 상대의 지시로 설치·실행하는 상황은 그 자체가 경고입니다.
- Play Protect를 켜 두고, 출처가 불분명한 QR과 링크는 열지 않습니다.
- 앱 권한은 꼭 필요한 최소한만 허용하고, 주기적으로 점검·회수합니다.
피해 대처와 신고
협박이 이미 시작됐더라도 순서를 지키면 충분히 대응할 수 있습니다. 무엇보다 송금은 절대 하지 않는 것이 원칙입니다. 한 번 응하면 요구가 끝없이 반복되기 때문입니다.
- 송금 거부 — 어떤 요구에도 돈을 보내지 않습니다.
- 증거 보존 — 대화 내용, 상대 프로필, 받은 링크·QR, 요구 문구를 캡처해 둡니다.
- 차단·신고 — 가해자를 차단하고 해당 플랫폼에 신고합니다.
- 앱 정체 확인 — 삭제 전에 어떤 프로젝트가 실행됐는지 확인해 실제 전송 여부를 판단합니다.
아래 실재 기관에 신고·상담할 수 있습니다. 특히 영상물이 유포되는 상황이라면 삭제 지원 기관을 함께 이용하세요.
- 경찰 신고 ☎ 112
- 사이버범죄 신고 ☎ 182
- 방송통신심의위원회 — 유포물 삭제·차단 심의 요청
- 디지털성범죄피해자지원센터 ☎ 02-735-8994 — 영상물 삭제 지원과 심리 상담
협박 상황에서는 시간에 쫓겨 성급하게 반응하기 쉽습니다. 그러나 가해자가 노리는 것도 바로 그 조급함입니다. 위 네 단계를 순서대로 밟는 것만으로도 상당수의 피해가 확산 전에 멈춥니다. 특히 앱의 정체와 전송 여부를 확인하고 나면, 협박 문구가 과장인지 실제인지 구분할 수 있어 심리적으로도 훨씬 안정됩니다.
덧붙여, 미성년자가 연루됐거나 이미 영상 일부가 유포된 정황이 있다면 디지털성범죄피해자지원센터의 삭제 지원을 최우선으로 이용하는 것이 좋습니다. 삭제는 빠를수록 확산 범위를 줄일 수 있기 때문입니다.
‘유포하겠다’는 협박의 실제 구조
expo go 유포협박은 결국 앞서 탈취된 연락처가 있어야 실행됩니다. 자가진단에서 연락처 권한을 허용하지 않았다면 유포에 필요한 지인 목록 자체가 가해자에게 없을 가능성이 높습니다. 따라서 협박 문구의 수위에 흔들리기보다, 실제로 무엇이 전송됐는지를 확인하는 것이 대응의 중심이 되어야 합니다.
자주 묻는 질문 (FAQ)
EXPO GO는 원래 안전한 앱 아닌가요? 왜 몸캠피싱에 쓰이나요?
맞습니다. EXPO GO(엑스포고)는 개발자가 앱을 시험 실행하는 정상 도구입니다. 문제는 이 앱이 어떤 프로젝트든 실행하도록 광범위한 권한을 미리 갖고 있다는 점입니다. 가해자는 앱 자체가 아니라 그 안에서 실행되는 악성 프로젝트로 연락처·사진에 접근하므로, 정상 앱을 통로로만 쓰는 셈입니다.
‘아르고’로 설치하라고 들었는데 엑스포고와 같은 건가요?
네, 같습니다. 통화 중 급하게 들은 ‘Expo Go’가 ‘아르고’처럼 들려 생긴 표기 차이일 뿐입니다. 아르고 몸캠피싱과 엑스포고 몸캠피싱은 동일한 수법이므로, 어느 이름으로 검색했든 이 글의 자가진단 체크리스트와 대처 방법을 그대로 적용하면 됩니다.
EXPO GO만 삭제하면 유포 협박도 끝나나요?
앱 삭제는 추가 전송을 막는 조치일 뿐, 이미 전송된 데이터를 되돌리지는 못합니다. expo go 유포협박의 실제 위험은 연락처가 넘어갔는지에 달려 있으므로, 삭제 전에 어떤 프로젝트가 실행됐고 무엇이 전송됐는지 먼저 확인하는 것이 중요합니다.
EXPO GO로 실제 내 연락처가 넘어갔는지 자가진단할 수 있나요?
1차로는 권한 허용 여부로 가늠할 수 있습니다. 연락처 권한을 허용한 적이 없다면 전송 가능성은 낮습니다. 다만 확실한 판단은 실행된 프로젝트와 통신 기록을 기술적으로 분석해야 가능하므로, 불안하다면 전문 분석으로 전송 여부를 확인하는 것이 좋습니다.