악성앱검사,
수법 전체 흐름과 자가진단

낯선 앱을 설치했거나 의심스러운 링크를 눌렀다면 가장 먼저 할 일은 검사입니다.
악성앱이 어떤 순서로 폰에 들어와 정보를 빼가는지 전체 흐름을 짚고,
내 휴대폰 감염 여부를 스스로 확인하는 자가진단 체크리스트를 안내합니다.

악성앱검사는 문자·메신저로 받아 설치한 앱이 연락처·사진·문자를 빼가는지 확인하는 절차입니다. 출처·권한·통신 대상 세 가지를 스스로 점검하고, 의심되면 앱 파일을 전문 분석에 올려 확정하면 됩니다.

악성앱은 어떻게 들어오나 — 수법 전체 흐름

'악성앱검사'를 검색하는 분들은 대개 이미 낯선 앱이나 파일을 설치했고, 지금 내 휴대폰이 안전한지 불안한 상태입니다. 정확히 검사하려면 먼저 이 수법이 어떤 순서로 진행되는지 전체 그림을 봐야 합니다. 내가 지금 어느 단계에 있는지 알아야, 무엇을 확인하고 무엇부터 막아야 하는지가 정해지기 때문입니다.

아래 다섯 단계는 아크링크가 실제 수집한 악성앱과 피해 상담에서 반복적으로 확인한 표준 흐름입니다. 대부분의 몸캠피싱·정보 탈취 앱이 이 순서를 그대로 따라갑니다.

이 흐름에서 알 수 있듯, 검사는 특정 한 시점의 문제가 아니라 "지금 내 폰이 어느 단계에 있는지"를 확인하는 일입니다. 링크만 눌렀는지, 설치까지 했는지, 권한까지 허용했는지에 따라 위험도와 대응이 완전히 달라집니다. 다음 장의 자가진단은 바로 이 위치를 스스로 판단하도록 돕습니다.

악성앱검사가 필요한 순간 — 자가진단 체크리스트

전문 분석에 맡기기 전에, 누구나 몇 분 안에 해볼 수 있는 자가진단이 있습니다. 자가진단의 목표는 "감염을 확정"하는 것이 아니라 "정밀 검사가 필요한지 판단"하는 것입니다. 아래 증상 중 여러 개가 겹친다면 검사 대상으로 보는 것이 안전합니다.

증상 확인에 이어, 아래 순서로 직접 점검하면 자가진단이 됩니다. 안드로이드 기준이며 기종에 따라 메뉴 이름이 조금씩 다를 수 있습니다.

1. 앱 목록 훑기 — 설정 → 애플리케이션에서 설치된 앱을 처음부터 끝까지 확인합니다. 이름이 모호하거나("서비스", "System", "사진") 아이콘이 어색한 앱을 표시해 둡니다.
2. 권한 역추적 — 설정 → 권한 관리자에서 연락처·문자(SMS)·접근성 권한을 가진 앱을 확인합니다. 기능과 무관하게 이 권한을 쥔 앱이 1순위 의심 대상입니다.
3. 기기 관리자 확인 — 설정 → 보안 → 기기 관리자 앱에서 낯선 앱이 관리자 권한을 갖고 있으면 삭제를 막는 악성앱일 수 있습니다.
4. Play Protect 검사 — 플레이스토어 → 프로필 → Play Protect에서 기기 검사를 실행합니다. 기본 백신 역할을 합니다.
5. 사용량 대조 — 설정에서 데이터·배터리 사용량 상위 앱을 보고, 쓴 적 없는 앱이 상위에 있으면 표시해 둡니다.

자가진단 결과는 앞 장의 흐름과 맞춰 해석하면 훨씬 정확해집니다. 링크만 누르고 아무것도 설치하지 않았다면 대개 앱 감염이 아니라 계정·인증 정보 노출을 점검하면 됩니다. 설치까지 했지만 권한 요청 화면에서 멈췄다면, 해당 앱만 지워도 위험이 크게 줄어듭니다. 반대로 권한까지 허용한 기억이 있다면 연락처·사진이 이미 전송됐을 가능성이 있으므로, 자가진단에서 곧바로 정밀 검사와 증거 보존 단계로 넘어가야 합니다. 이처럼 "어디까지 진행됐는가"가 자가진단의 핵심 판단 기준이며, 같은 증상이라도 진행 단계에 따라 대응의 무게가 달라집니다.

악성앱이 실제로 하는 일 — 권한과 데이터 전송

악성앱검사를 제대로 이해하려면, 요청된 권한이 기술적으로 무엇을 가능하게 하는지 알아야 합니다. 권한은 곧 "빼갈 수 있는 정보의 범위"입니다. 아래는 몸캠피싱 악성앱에서 반복적으로 확인되는 권한과 그 결과입니다.

• 연락처(READ_CONTACTS) — 저장된 이름·번호를 통째로 읽어 유포 협박용 명단으로 씁니다. 실측상 가장 많이 요구되는 권한입니다.
• 저장소(READ_EXTERNAL_STORAGE) — 갤러리 사진·동영상을 수집합니다. 영상통화 캡처와 결합돼 협박 소재가 됩니다.
• 문자 읽기·수신(READ_SMS / RECEIVE_SMS) — 은행·포털 인증번호(OTP)를 가로채 계정 탈취와 금전 피해로 이어집니다.
• 접근성·기기 관리자 — 화면 내용을 읽고 조작하거나, 앱 삭제를 방해해 탈취를 지속합니다.

이렇게 수집된 데이터는 공격자가 운영하는 C2 서버로 전송됩니다. C2는 악성앱에게 명령을 내리고 탈취 데이터를 받아 저장하는 원격 서버로, 아크링크 분석에서 269개가 확인됐습니다. 겉으로 보이는 앱 화면은 미끼일 뿐이고, 실제 동작은 이 서버와의 통신에 있습니다.

통신 대상을 확인하는 일이 중요한 이유는, 같은 화면을 보여 주는 앱이라도 데이터를 어떤 주소로 보내느냐에 따라 위험도가 완전히 달라지기 때문입니다. 아크링크가 확보한 490개의 악성 도메인(IOC)은 이렇게 모아 온 통신 대상 목록이며, 새로 의뢰된 앱이 이 목록의 주소와 통신하는지 대조하면 이미 알려진 악성앱인지 빠르게 판별할 수 있습니다. 즉 자가진단으로 좁힌 의심 앱을 이 데이터베이스와 맞춰 보는 것이 정밀 검사의 출발점이 됩니다.

즉 자가진단과 정밀 검사는 대체 관계가 아니라 순서 관계입니다. 자가진단으로 의심 앱을 좁히고, 그 파일을 전문 검사에 올려 실제 유출 여부를 확인하면, 막연한 불안 대신 사실에 근거해 대응할 수 있습니다.

악성앱 예방과 차단 설정

가장 확실한 검사는 애초에 설치되지 않게 막는 것입니다. 아래 설정만 갖춰도 흐름의 3단계(설치·권한)에서 대부분 차단됩니다.

링크 단계에서의 차단도 중요합니다. 요청하지 않았는데 온 링크, 마감·처벌·환급을 앞세워 재촉하는 링크는 열지 말고 주소(도메인)를 먼저 확인합니다. 공식 사이트와 철자가 조금이라도 다르거나 짧은 단축 주소라면 누르지 않는 것이 안전합니다. 통화 중에 "지금 이 앱을 설치하라"고 재촉한다면, 정상 기관이 아니라 공격 신호로 보아야 합니다.

이미 설치했다면 — 대처와 신고

설치·권한 허용까지 진행됐다면, 데이터가 계속 빠져나가는 것을 먼저 막고 증거를 남긴 뒤 신고하는 순서가 중요합니다. 아래 순서대로 침착하게 진행하세요.

협박에 흔들려 돈을 보내면 추가 요구로 이어질 뿐입니다. 무엇이 유출됐고 실제로 전송됐는지는 앱 분석으로만 정확히 확인되므로, 자가진단으로 의심 앱을 특정했다면 그 파일을 전문 검사에 올려 사실을 확정한 뒤 대응 방향을 정하는 것이 가장 안전합니다.

자주 묻는 질문 (FAQ)