Android는 iPhone과 정반대의 상황이에요. iOS는 샌드박스가 워낙 엄격해서 어떤 앱도 시스템을 검사할 수 없고, 그래서 iPhone 바이러스 검사 앱은 소개 문구에서 암시하는 일을 하지 못해요. 반면 Android에서는 중요한 곳 여러 군데를 직접 들여다볼 수 있고, 그 대부분은 지금 바로 열어 볼 수 있는 평범한 설정 화면이에요.

그런 개방성 때문에 Android에는 스토커웨어도 더 많아요. 5분 동안 휴대폰 잠금을 풀 수 있는 사람이라면 누구나 Play 스토어 밖에서 앱을 설치하고, 필요한 권한을 허용하고, 아이콘을 숨길 수 있어요. 취약점 공격도, 루팅도, 기술적인 지식도 필요 없어요. 비밀번호와 휴대폰을 혼자 만질 수 있는 몇 분이면 충분해요.

이 글에서는 직접 확인할 수 있는 것들을 확인할 가치가 큰 순서대로 살펴보고, 마지막으로 컴퓨터에서 해야만 하는 한 가지를 설명해요.

시작하기 전에: 누가 지켜보는지 짐작이 간다면

의심되는 사람이 연인, 전 연인, 가족이나 고용주라면, 설정을 하나라도 바꾸기 전에 이 글 끝부분의 안전 관련 내용을 먼저 읽어 주세요. 일부 감시 앱은 비활성화되면 설치한 사람에게 알림을 보내고, 통제적인 관계에서는 그 알림이 상황을 더 나쁘게 만들 수 있어요. 아래 내용 중 그 부분을 건너뛸 만큼 급한 것은 없어요.

Android 스토커웨어가 실제로 작동하는 방식

Android의 상용 감시 앱은 거의 모두 같은 세 가지 기능에 의존해요. 모두 정당한 목적을 위해 만들어진 플랫폼의 정식 기능이고, 바로 이 기능들 덕분에 이런 소프트웨어는 아무런 취약점도 악용하지 않고 거의 모든 것을 지켜볼 수 있어요.

접근성 서비스. 화면 낭독기가 작동하도록 만들어진 권한으로, 앱이 화면 내용을 보고 입력하는 내용을 관찰할 수 있게 해 줘요. 키로깅에 필요한 능력이 정확히 이거예요. 이 페이지에서 딱 하나만 확인한다면 이걸 확인하세요.

알림 접근. 휴대폰에 오는 모든 알림이 이 권한을 거쳐요. 감시 앱이 직접 읽을 수 없는 앱의 메시지 전문도 여기에 포함돼요.

기기 관리자. 회사에서 업무용 휴대폰을 관리하기 위해 만든 기능으로, 앱을 제거하기 어렵게 만들고 삭제에 저항할 수 있게 해 줘요.

이 세 가지 권한을 가진 감시 앱은 운영체제의 어두운 구석에 숨어 있는 게 아니에요. 설정 화면에 버젓이 있고, 그 옆에는 내가 허용한 것으로 기록된 권한이 표시돼 있어요. 누군가 내 휴대폰을 손에 들고 그 권한을 허용했기 때문이에요.

직접 할 수 있는 일곱 가지 점검

메뉴 이름은 삼성, Pixel, 샤오미 등 제조사마다 달라요. 아래 경로가 내 휴대폰과 맞지 않으면 설정을 열고 위쪽 검색창에 굵게 표시된 단어를 입력해 보세요.

1. Play 프로텍트를 실행하고, 꺼져 있었는지 확인하기

Play 스토어를 열고 프로필 아이콘을 누른 다음 Play 프로텍트, 그리고 검사를 누르세요. 알려진 감시 앱이 있으면 표시해 줘요.

더 많은 것을 알려 주는 건 이미 꺼져 있었는지 여부예요. Play 프로텍트는 기본적으로 켜져 있고, Play 스토어 밖에서 앱을 설치하면 경고해 주며, 이걸 끄려면 일부러 해야 해요. 내가 끄지 않았는데 꺼져 있다면, 누군가 앱 설치를 들키지 않기를 바랐다는 뜻이에요.

2. 접근성 목록 읽어 보기

설정에서 접근성으로 들어가 다운로드했거나 설치된 서비스를 찾아보세요. 평범한 휴대폰이라면 이 목록이 비어 있거나, 화면 낭독기, 돋보기, 비밀번호 관리자, 런처처럼 직접 고른 도구만 있어요.

내가 설치하지 않은 항목이 있다면 그 이유를 확인해야 해요. 이런 앱의 이름은 일부러 지루해 보이게 지어요. 'System Service', 'Device Health', 'Update Manager', 'Sync Services', 'Accessibility Helper' 같은 식이에요. 진짜 시스템 구성 요소는 이 화면의 다운로드한 앱 항목에 나타나지 않아요.

3. 알림 접근 확인하기

설정에서 알림으로 들어간 다음 기기 및 앱 알림 또는 특별한 앱 액세스, 그리고 알림 접근으로 들어가세요. 원리는 같아요. 휴대폰의 모든 알림을 읽을 권한을 가진 앱 중에 모르는 것이 있다면 심각한 발견이에요.

4. 기기 관리자 앱 살펴보기

설정에서 보안으로 들어간 다음 기기 관리자 앱을 여세요. 대부분의 개인 휴대폰은 목록이 비어 있거나 내 기기 찾기만 있어요. 업무용 프로필이 있다면 회사의 관리 도구가 정당하게 표시될 수 있어요. 낯선 앱이 기기 관리자 권한을 가지고 있다면 위험 신호이고, 예전에 그 앱을 지우려다 실패한 이유이기도 해요.

5. 특별한 앱 액세스 하나씩 확인하기

설정에서 애플리케이션으로 들어간 다음 특별한 앱 액세스를 여세요. 살펴볼 항목은 '다른 앱 위에 표시', '사용 기록 액세스', '출처를 알 수 없는 앱 설치', '모든 파일 액세스'예요. 감시 소프트웨어는 보통 이 중 여러 개가 필요해요. 특히 사용 기록 액세스를 보면 어떤 앱이 내가 여는 모든 앱과 사용 시간을 볼 수 있는지 알 수 있어요.

6. 홈 화면에 없는 앱 찾기

앱은 아이콘을 숨길 수 있으니 런처를 훑어보는 것만으로는 아무것도 증명되지 않아요. 설정에서 애플리케이션으로 들어간 다음 모든 앱 보기를 누르고, 메뉴를 열어 시스템 앱도 표시하세요. 목록이 길고 대부분은 정상적인 앱이라서, 구체적으로 찾아야 할 것은 두 가지예요.

하나만 있어야 할 앱이 두 개 있는 경우, 특히 계산기, 파일 관리자, 메모 앱, 시스템 도구가 그래요. 중복된 앱은 전형적인 위장 수법이에요.
이름을 설명할 수 없는 앱. 당황하기 전에 정확한 이름을 검색해 보세요. 그 목록의 거의 모든 항목은 정상이에요. 그다음 권한을 확인하세요.

그 김에 Play 스토어를 열고 프로필을 누른 다음 앱 및 기기 관리, 그리고 관리 탭으로 가서 필터를 'Play 스토어에서 설치되지 않음'으로 바꿔 보세요. 직접 설치한 앱이 무조건 나쁜 건 아니지만, 직접 설치를 한 번도 해 본 적 없는 휴대폰이라면 모든 항목에 이유가 있어야 해요.

7. 배터리와 데이터 사용량을 내 사용 습관과 비교하기

설정에서 배터리로 들어가 배터리 사용량을 보고, 이어서 설정에서 네트워크 및 인터넷으로 들어가 모바일 데이터 사용량을 보세요. 한 번도 열지 않는 앱이 어느 목록이든 위쪽에 있거나, 내 습관과 맞지 않는 백그라운드 데이터가 있는지 찾는 거예요.

iPhone에서와 마찬가지로 이건 가장 약한 신호로 보세요. 노후된 배터리, 시스템 업데이트, 여행 후 사진 보관함 동기화도 모두 같은 패턴을 만들어요. 더 자세히 살펴볼 이유는 되지만, 결론은 절대 아니에요.

휴대폰 안의 앱으로는 끝까지 확인할 수 없는 이유

위의 점검은 모두 해 볼 만하고, 실제 감시 상당수를 잡아내요. 하지만 휴대폰에 설치된 어떤 검사 앱도 넘을 수 없는 한계가 세 가지 있어요.

앱끼리는 여전히 서로를 읽을 수 없어요. Android는 설치된 앱을 보여 주는 데는 iOS보다 개방적이지만, 한 앱이 다른 앱의 비공개 데이터를 읽을 수는 없어요. 검사 앱은 수상한 패키지가 있다는 것까지는 알려 줄 수 있어요. 하지만 그 패키지를 열어 무엇이 수집됐는지 보여 줄 수는 없어요.

정교한 소프트웨어는 방금 확인한 화면에서 몸을 숨겨요. 루트 권한을 얻은 소프트웨어는 앱 목록에서 자신을 지우고, Play 프로텍트를 피하고, 삭제해도 살아남을 수 있어요. 휴대폰이 루팅된 순간부터 휴대폰 안의 도구는 더 이상 믿을 만한 증인이 아니에요.

용의자에게 알리바이를 묻는 셈이에요. 기기가 깊은 수준에서 침해되었다면, 기기가 내놓는 모든 답은 침입자가 통제하고 있을지 모르는 소프트웨어에서 나와요. 이것이 구조적인 문제이고, 어떤 운영체제에서든 마찬가지예요.

컴퓨터에서 분석하면 무엇이 더해지나요

휴대폰을 USB로 컴퓨터에 연결하고 개발자 접근을 허용하면, 외부 도구가 설치된 모든 패키지를 나열하고 시스템 로그를 읽은 뒤 알려진 침해 지표와 하나하나 대조할 수 있어요. 상용 스토커웨어가 쓰는 패키지 이름, 감시 소프트웨어가 접속하는 도메인, 감시 목적이 아니면 필요 없는 권한 조합 같은 것들이에요.

중요한 건 분석이 어디에서 실행되느냐예요. 컴퓨터는 휴대폰에게 스스로를 평가해 달라고 묻지 않아요. 휴대폰의 내용을 읽고 자체적으로 결론을 내리죠. 그래서 이 분야의 연구 결과를 발표하는 연구자들이 이 방법을 써요. Amnesty International의 Security Lab은 Android와 iOS 모두에서 바로 이 일을 하는 오픈소스 도구, Mobile Verification Toolkit을 관리하고 있어요.

다만 이것도 명령줄 도구여서 Python 패키지를 설치하고, ADB 백업을 받고, 포렌식 결과를 해석할 수 있어야 해요. 방법은 탄탄하고 공개되어 있어요. 문제는 걱정하는 사람과 완성된 분석 사이의 거리예요. 그 거리를 좁히려고 만든 것이 Haris Shield예요. 같은 외부 분석을 하고, 해석하지 않아도 읽을 수 있게 쓴 보고서를 제공해요.

무언가를 발견해도 아직 지우지 마세요

대부분의 안내서가 잘못 알려 주는 부분이고, 위의 어떤 내용보다 중요해요.

나를 감시하는 사람이 내 주변 사람이라면, 앱을 지우는 것이 가장 위험한 행동일 수 있어요. 많은 제품은 감시가 멈추는 순간 설치한 사람에게 알려요. 폭력적이거나 통제적인 관계에서는 그 알림이 내가 준비되지 않은 순간에 '들켰다'는 사실을 상대에게 알리는 셈이에요. 가정폭력 관련 단체와 보안 회사들이 함께하는 Coalition Against Stalkerware는 이 점을 직접 경고하면서 두 번째 이유도 덧붙여요. 앱을 지우면 경찰에 신고할 때 필요할 수 있는 증거도 함께 지워진다는 거예요.

더 안전한 순서는 이래요.

아직 휴대폰에서 아무것도 바꾸지 말고, 누구와도 따지지 마세요.
상대방이 한 번도 접근한 적 없는 기기로 먼저 도움을 구하세요. 가정폭력 관련 기관이 일의 순서를 계획하도록 도와줄 수 있어요.
발견한 내용을 기록해 두세요. 포렌식 보고서는 스크린숏보다 더 큰 힘을 가져요.
다른 기기에서 비밀번호를 바꾸고 2단계 인증을 켜세요. Google 계정부터 시작하세요.
삭제 여부는 지원 체계가 갖춰진 뒤 마지막에 결정하세요.

주변에 그럴 만한 사람이 없고 일반적인 범죄로 보인다면 판단은 더 간단해요. Android를 업데이트하고, 발견한 것을 지우고, Google 비밀번호를 바꾸고, 모르는 세션에서 로그아웃하세요. 그리고 초기화를 고려하되, 문제를 다시 설치할 수 있는 백업은 복원하지 마세요.

휴대폰을 더 공략하기 어렵게 만들기

다른 사람이 모르는 비밀번호를 설정하고, 내 것이 아닌 지문이 등록되어 있지 않은지 확인하세요. 설정에서 보안으로 들어간 다음 지문을 보면 돼요. 이런 일은 거의 모두 물리적인 접근에서 시작돼요.
Play 프로텍트를 켜 두고, 여전히 켜져 있는지 가끔 확인하세요.
업데이트는 바로 설치하세요. Android 업데이트와 Google Play 시스템 업데이트 모두요.
휴대폰을 루팅하지 말고, 다른 사람이 대신 해 주게 하지도 마세요.
myaccount.google.com에서 Google 계정 기기를 확인하세요. Google 비밀번호를 아는 감시자는 휴대폰에 앱이 전혀 없어도 돼요.
가족 공유는 신중하게 설정하세요. 한 번 켜 두고 잊어버린 평범한 위치 공유가 사람들이 '추적당한다'고 느끼는 경우의 상당 부분을 차지해요.

요약

Android 휴대폰은 직접 점검할 수 있고, 꼭 해 보는 게 좋아요. Play 프로텍트, 접근성 서비스, 알림 접근, 기기 관리자 앱, 특별한 앱 액세스, 숨겨진 항목을 포함한 전체 앱 목록, 그리고 배터리와 데이터 사용 패턴이에요. 상용 스토커웨어는 대부분 이 화면들에 드러나는 권한이 필요하기 때문에, 이것만으로도 대부분을 확인할 수 있어요.

확인할 수 없는 것은 루트 권한을 가진 소프트웨어, 또는 휴대폰이 자기 상태에 대해 거짓말하도록 만든 소프트웨어예요. 그런 경우에는 기기 바깥에서 하는 분석이 필요해요.

그리고 아는 사람이 의심된다면, 설정을 건드리기 전에 먼저 도움을 구하세요. 탐지는 쉬운 절반일 뿐이에요.

출처

Coalition Against Stalkerware, 생존자를 위한 정보: stopstalkerware.org/information-for-survivors
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re, github.com/mvt-project/mvt
Google, Play 프로텍트: support.google.com/googleplay/answer/2812853
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

함께 읽어 보세요: iPhone 스파이웨어 찾는 법, 스토커웨어의 징후와 해서는 안 되는 일, 휴대폰 해킹 여부 확인하는 법, 실제로 효과 있는 무료 스파이웨어 점검, 스파이웨어를 안전하게 제거하는 법.

Android 스파이웨어 찾는 법: 직접 확인할 수 있는 것들