구독료로 살 수 있는 스파이웨어
'스토커웨어(stalkerware)'라는 말은 지극히 평범해 보이는 소프트웨어 부류를 가리킵니다. 구독 형태로 판매되는 상용 앱으로, 흔히 '자녀 보호'나 '직원 모니터링'이라는 이름으로 마케팅됩니다. 신용카드 한 장, 한 달에 10~40유로면 누구나 온라인 대시보드를 받아 휴대폰 속에서 벌어지는 일을 들여다볼 수 있습니다. 메시지, 실시간 GPS 위치, 사진, 검색 기록, 통화 내역까지. 어떤 것은 마이크를 켤 수도 있습니다.
여기에는 어떤 기술적 묘기도 필요 없습니다. 비밀스러운 익스플로잇도, 작성해야 할 코드 한 줄도 없습니다. 이 제품은 아무런 기술이 없는 사람이 손에 쥔 휴대폰에 단 몇 분 만에 설치할 수 있도록 설계되어 있습니다. 일단 자리를 잡으면 앱은 흔적 없이 숨습니다. 아이콘도 없고, 눈에 띄지 않는 프로세스 이름을 쓰며, 화면에 아무것도 나타나지 않습니다.
그 규모를 정확히 측정하기란 어렵습니다: 애초에 보이지 않도록 만들어진 소프트웨어이기 때문입니다. 우리가 가진 수치는 상한선이 아니라 하한선입니다. 어느 한 백신 업체만 해도 매년 전 세계 수만 대의 휴대폰에서 이를 탐지하고, 약 40개 단체가 모인 '스토커웨어 대응 연합(Coalition Against Stalkerware)'은 이 현상이 수그러들지 않고 있다고 보고합니다. 게다가 이는 보안 앱을 탑재한 기기만을 헤아린 것이고, 나머지는 어떤 통계에도 결코 잡히지 않습니다.
이런 앱을 설치하는 사람은 누구일까요? 배우자, 전 연인, 선을 넘는 부모, 때로는 고용주입니다. 한 가지는 분명히 해둡시다. 대부분의 국가에서, 다른 성인의 휴대폰에 동의 없이 감시 소프트웨어를 설치하는 것은 두 사람 사이의 관계가 무엇이든 형사 범죄입니다.
물리적 접근 5분이 그 어떤 바이러스보다 더 큰 피해를 줍니다
이것이 이 글에서 꼭 가져가셨으면 하는 하나의 생각입니다. 위협에 대한 통념을 뒤집기 때문입니다. 피해자의 아무런 조작 없이 원격으로 휴대폰을 해킹하는 일은 지극히 어렵습니다. 그것을 가능케 하는 익스플로잇은 수백만 원에 거래되며, 개인을 감시하는 데가 아니라 국가 차원의 첩보에 쓰입니다. 현실적인 경로는 훨씬 짧습니다. 당신의 잠금 코드를 알고, 당신의 휴대폰과 5분간 단둘이 있는 것입니다.
Android에서는 설치가 간단합니다. '알 수 없는 출처'를 켜고, 앱을 설치하고, 강력한 권한(접근성, 기기 관리자)을 부여한 뒤, 아이콘을 숨깁니다. iPhone에서는 스파이 앱을 설치하기가 훨씬 어렵습니다: 그래서 감시는 보통 다른 경로를 택합니다. 바로 Apple 계정 자격 증명입니다. 이를 아는 사람은 아무것도 설치하지 않고도 백업, 위치, 사진을 읽을 수 있습니다.
실질적인 결론은 간단하며, 돈도 들지 않습니다. 당신의 잠금 코드는 디지털 삶의 첫 번째 자물쇠입니다. '믿음으로' 공유한 코드, 생년월일, 몇 년째 똑같은 코드: 모든 것은 바로 거기서 시작됩니다. 코드를 바꾸고 나만 아는 상태로 유지하는 것 역시 기본적인 보안 습관입니다. 잠금 해제된 휴대폰을 아무 데나 두지 않는 것과 마찬가지로요.
진짜 신호: 그리고 가짜 신호
먼저 가짜 신호부터 걷어냅시다. 쓸데없는 걱정만 부추기기 때문입니다. 뜨거운 배터리, 느려지는 휴대폰, 오르내리는 데이터 사용량. 이런 증상에는 천 가지 무해한 원인이 있습니다: 형편없이 만든 앱, 노후한 배터리, 최근 업데이트. 현대의 감시 소프트웨어는 바로 그런 식으로 정체를 드러내지 않도록 특별히 설계되어 있습니다.
진정으로 주의를 기울일 만한 신호는 다른 곳에 있습니다. 첫 번째 신호는 전혀 기술적인 것이 아닙니다. 주변의 누군가가 알아서는 안 될 것을 알고 있는 것입니다: 당신이 어디 있었는지, 무엇을 썼는지, 누구와 이야기했는지. 이런 신호가 반복된다면, 그 어떤 배터리 증상보다 값진 단서입니다.
휴대폰 자체에서는 구체적인 것을 찾아보세요. 알아보지 못하는 앱이 과도한 권한(접근성, 기기 관리자)을 쥐고 있는 경우, 켠 기억이 없는데 Android에서 '알 수 없는 출처' 옵션이 활성화되어 있는 경우, 낯선 기기가 당신의 Google 또는 Apple 계정에 로그인되어 있는 경우, 설정한 적 없는 위치 공유가 켜져 있는 경우. 이런 점검은 설정 안에 있으며, 몇 분이면 되고, 특별한 기술이 필요하지 않습니다.
해야 할 일: 그리고 하지 말아야 할 일
충분히 이해가 가는 반사적 행동은 그 앱을 곧바로 삭제하는 것입니다. 하지만 그것이 때로는 실수가 됩니다. 이런 소프트웨어 대부분은 보고가 멈추는 순간 설치한 사람에게 알림을 보냅니다. 만약 그 사람이 당신의 일상 속에 있고 상황이 걱정스럽다면, 갑작스러운 제거는 사태를 악화시킬 수 있습니다. 그런 경우에는 먼저 기록하고(스크린샷, 날짜), 도움을 받으세요: '스토커웨어 대응 연합'의 웹사이트 stopstalkerware.org에는 국가별 지원 단체가 정리되어 있습니다.
조치를 취하기로 했다면, 순서대로 진행하세요:
- →잠금 코드를 바꾸세요: 생년월일도, 가까운 누군가가 이미 아는 코드도 안 됩니다.
- →다른 기기(친구의 휴대폰, 믿을 수 있는 컴퓨터)에서 이메일 비밀번호를 바꾸고, 이어서 Google 또는 Apple 계정 비밀번호를 바꾸세요.
- →그 계정들에 로그인된 기기와 세션을 점검하고, 알아보지 못하는 것은 모두 제거하세요.
- →이메일과 주요 계정에 2단계 인증(2FA)을 켜세요.
- →최후의 수단으로, 공장 초기화는 이런 소프트웨어를 사실상 전부 지워버립니다: 단, 그 후에는 손상된 백업을 복원하지 말고 새 비밀번호로 휴대폰을 처음부터 새로 설정해야 합니다.
Trasimène이 하는 일
Trasimène의 앱 모니터링은 설치된 애플리케이션을 서버에서 갱신되는 알려진 감시 소프트웨어 목록과 지속적으로 대조하고, 결정적인 권한 조합을 표시합니다: 접근성, 자동 시작, 상시 백그라운드 활동을 결합한 보이지 않는 앱이 존재할 정당한 이유는 거의 없습니다.
한계에 대해서는 솔직해집시다. 그것이 바로 이 블로그의 핵심이기 때문입니다. 모든 것을 보는 보안 앱은 없습니다. Apple이나 Google 계정 자격 증명을 통해 이뤄지는 감시는 휴대폰 자체에는 전혀 손대지 않습니다: 그것은 스캔이 아니라 계정 설정에서 드러납니다. 그래서 이 글은 우리가 자동화하는 한 가지 점검만이 아니라 두 가지 점검을 모두 짚어드린 것입니다.
편집증에 사로잡혀 살 이유는 없습니다. 이 글이 다루는 감시는 하늘에서 뚝 떨어지는 것이 아니라 가까운 곳에서 오며, 간단한 습관으로 막을 수 있습니다: 나만의 코드, 철저히 잠근 계정, 이따금 권한을 점검하는 일. 상황이 휴대폰을 넘어서서 언젠가 기술적인 대응만으로는 충분하지 않을 때를 대비해, 대부분의 국가에는 도움을 주는 단체가 있습니다. 점검 자체는 10분이면 됩니다. 한 번은 해볼 가치가 있고, 이따금 다시 해볼 가치가 있습니다.
- Kaspersky, "The State of Stalkerware in 2023", Securelist, 2024
- Coalition Against Stalkerware, "About", stopstalkerware.org
- Chatterjee, Doerfler, Orgad, Havron, Palmer, Freed, Levy, Dell, McCoy & Ristenpart, "The Spyware Used in Intimate Partner Violence", 2018 IEEE Symposium on Security and Privacy (SP)
- Marczak, Scott-Railton et al., Citizen Lab, "FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild", 2021
내 휴대폰의 앱 점검하기