[몸캠피싱 악성앱 사례 05] 10월 최근 Expo Go 설치 후 링크 전달 악성앱 동향

“플레이스토어에서 받은 공식 앱인데, 왜, 어떻게 해킹을 당한거죠?”

최근 접수된 몸캠피싱 관련 자료를 살펴보면 서로 피싱을 당한 악성앱은 달라도, 피해자가 공통적인 루트가 확인 됩니다. 바로 Expo Go를 먼저 설치한 뒤 가해자가 별도로 전달한 링크를 누르는 과정입니다.

실행 화면에는 Moonbird(문버드), Mynest(마이네스트), Royal Gold Swedish(로얄골드스웨디시), Video Player(비디오플레이어), Telegram Images(텔레그램이미지), Vibrator Massager(바이브레이터)처럼 여러 종류의 앱 실행화면이 나타납니다. 어떤 화면은 사진이나 동영상을 보는 서비스처럼 보이고, 어떤 화면은 동영상 보관함, 또는 진동 마사지 기구처럼 보입니다. 특히 로얄골드스웨디시는 한 단계 더 나아가서 마사지 예약 서비스처럼 구성돼 있습니다.

이 어플들은 결국 한가지 목적을 위한 악성앱 들입니다.

1. Expo Go 설치는 같으면, “링크”가 가장 핵심 증거입니다.

Expo Go 자체는 악성앱이 아닙니다.

Expo Go는 React Native 프로젝트를 스마트폰에서 확인하고 시험할 수 있도록 제공되는 정상적인 개발 도구입니다. 공식 문서에서도 QR코드나 프로젝트 주소를 이용해 개발 중인 화면을 기기에서 실행하는 방식을 안내하고 있습니다. 

문제는 가해자는 Expo Go는 구글플레이 스토어 등 공식 스토어에 있으니 안전한 앱이라는 점을 내세웁니다.

가해자는 “사진이 안 열린다”, “영상을 보려면 필요하다”, “예약을 진행해야 한다”, “상대방과 연결되는 전용 앱이다”라는 명분으로 Expo Go를 설치하게 합니다. 설치가 끝나면 자신이 준비한 링크를 전달하여 클릭하도록 유도합니다.

 링크를 통해 Expo Go 안에서 외부 프로젝트가 열리면, 피해자에게는 새로운 앱을 실행한 것처럼 보일 수 있습니다. 프로젝트마다 이름과 아이콘, 배경색, 입력 화면을 다르게 만들 수 있기 때문에 같은 진입 구조를 사용하더라도 전혀 다른 서비스처럼 꾸밀 수 있는 것입니다.

따라서 “Expo Go를 공식 스토어에서 받았다”는 사실과 “그 안에서 연 외부 화면이 안전하다”는 판단은 구분해야 합니다.

2. 공통적으로 확인된 설치 유도 방식

이번 10월 자료에서 확인된 화면은 크게 다운로드 안내, 초기 실행 화면, 정보 입력 또는 콘텐츠 화면으로 나눌 수 있습니다.

화면 이름은 달랐지만 진행 방식은 같았습니다.

1. 상대방이 특정 기능을 사용하려면 Expo Go가 필요하다고 설명합니다.

2. 피해자가 공식 스토어에서 Expo Go를 설치합니다.

3. 가해자 또는 가해자가 연결한 상담원이 별도의 링크를 보냅니다.

4. 링크를 누르면 각기 다른 이름의 프로젝트 화면이 열립니다.

5. 전화번호나 초대코드 입력, 접근 권한 허용 등의 행동을 요구합니다.

3. Telegram Images, 사진 오류를 설치 명분으로 사용합니다

Telegram Images 화면은 이름과 종이비행기 형태의 아이콘을 이용해 텔레그램에서 사용하는 사진 관련 서비스처럼 보이게 만들어졌습니다.

첫 안내 화면에는 높은 별점과 다운로드 수, 무료 시작 버튼이 표시됩니다. 다음 화면에서는 아이콘과 앱 이름만 크게 나타나며 업데이트를 다운로드한다는 문구가 보입니다. 이후에는 전화번호를 입력하고 확인 버튼을 누르는 화면으로 연결됩니다.

피해자는 텔레그램에서 받은 사진이 열리지 않아 필요한 확장 기능을 설치하는 것으로 이해할 수 있습니다.

하지만 텔레그램에는 원래 사진과 동영상을 전송하고 확인하는 기능이 있습니다. 사진 오류를 해결하기 위해 상대방이 보내준 별도의 링크와 프로젝트를 반드시 실행해야 하는 것은 아닙니다. 이름에 Telegram이 포함돼 있다는 사실도 공식 서비스라는 증거가 될 수 없습니다. 라바웨이브가 확인한 관련 사례에서도 다운로드 버튼을 누르면 일반적인 앱 설치가 아니라 Expo Go 이용 단계로 연결되는 흐름이 나타났습니다.

4. 문버드와 마이네스트, ‘편리함’과 ‘보호’를 내세운 화면

Moonbird는 보라색 계열의 다운로드 화면을 사용합니다. 빠르고 간편하게 사용할 수 있는 기능, 원격 제어, 커스텀 패턴, 프라이버시 등을 강조하고 있습니다.

이어지는 실행 화면은 전혀 다른 분홍색 계열로 바뀝니다. 연령 제한 안내와 초대코드 입력란, 로그인 버튼이 표시됩니다. 다운로드 화면의 설명과 실제 입력 화면 사이에 차이가 있는 것입니다.

마이네스트는 보다 차분한 베이지색 디자인을 사용합니다.

‘소중한 미디어가 안전하게 보호받는 둥지’, ‘안전한 프라이빗 서비스’라는 표현을 통해 개인 사진이나 영상을 보관하는 서비스처럼 보이게 합니다. 실행 이후에는 앱 아이콘이 나타나는 로딩 화면을 거쳐 초대코드 입력을 요구합니다.

라바웨이브에 공개된 마이네스트원 사례에서도 핵심은 Expo Go라는 공식 도구의 이름이 아니라, 상대방이 보낸 낯선 링크를 통해 별도의 화면에 접속했다는 점으로 설명됩니다.

두 화면 모두 피해자가 걱정할 만한 ‘개인정보 보호’나 ‘비공개 이용’을 앞세우고 있다는 점이 눈에 띕니다.

5. Video Player와 Vibrator Massager, 기능은 달라도 전화번호 입력으로 연결됩니다

Video Player는 검은색 문서 모양 아이콘과 단순한 이름을 사용합니다. 초기 화면에서는 업데이트를 내려받는 것처럼 표시되고, 이후 파란색 화면에서 전화번호를 입력하도록 요구합니다.

다음 화면에는 동영상 목록이 나타납니다.

상대방이 “내 영상이 들어 있다”, “눌러서 확인해 달라”고 설명했다면 피해자는 전화번호 입력을 영상 확인에 필요한 인증 과정으로 받아들일 수 있습니다. 하지만 단순한 영상 재생 기능에 왜 개인 전화번호가 필요한지는 먼저 확인해야 합니다.

Vibrator Massager 역시 흐름이 유사합니다.

분홍색 다운로드 안내 화면에서는 진동 마사지, 다양한 패턴, 안전한 사용을 내세웁니다. 이어 아이콘이 크게 표시되는 실행 화면으로 넘어간 뒤 전화번호 입력을 요구합니다.

두 프로젝트는 색상과 기능 설명이 완전히 다르지만, 업데이트 또는 로딩 화면을 보여준 뒤 전화번호를 받는 구조가 반복됩니다.

앱 이름만 검색하면 서로 다른 서비스로 보이지만, 진입 과정과 입력 요구를 비교하면 연결 가능성을 살펴볼 수 있습니다.

6. 로얄골드스웨디시, 예약 서비스로 위장한 형태

로얄골드스웨디시는 이번 자료에서 특히 다른 모습을 보입니다.

사진이나 동영상 재생 앱이 아니라 마사지 예약 서비스처럼 화면을 구성했습니다.

가해자는 자신이 스웨디시 업체에서 근무하고 있다며, 피해자가 특정 직원을 지명해 예약하면 바로 만나러 갈 수 있다고 설명합니다. 피해자가 업체명을 직접 검색하도록 만들어 자신이 낯선 링크를 전달했다는 인상을 줄이는 방식도 사용됩니다.

검색을 통해 들어간 사이트에는 상담과 다운로드 버튼이 표시되고, 실행 화면에서는 출장 마사지, 주변 제휴점, 쿠폰이나 이벤트 안내 등이 나타납니다. 이후 전화번호 입력 화면과 오류 안내로 이어집니다.

실제 만남을 기대한 피해자에게 예약은 앱 설치가 아니라 상대방을 만나는 과정으로 받아들여질 수 있습니다.

라바웨이브가 공개한 로얄골드스웨디시 사례에서도 X에서 LINE으로 이동한 뒤 예약을 명분으로 사이트 접속, 설치, 전화번호 입력이 이어졌고, 이후 연락처 목록을 이용한 협박이 나타났습니다.

스스로 검색한 사이트라고 해서 안전성이 보장되는 것은 아닙니다. 검색 결과에 노출되는 것과 해당 서비스의 운영 주체·데이터 처리 방식이 검증됐다는 것은 다른 의미입니다.

7. 이름보다 ‘Expo Go → 링크 → 입력 요구’의 순서가 중요

문버드, 마이네스트, 로얄골드스웨디시, 비디오플레이어, 텔레그램이미지, 바이브레이터메신저는 이름과 디자인만 보면 연결점을 찾기 어렵습니다.

하지만 피해 발생 과정을 순서대로 정리하면 다음과 같은 공통 구조가 확인됩니다.

정상 앱인 Expo Go 설치 → 상대방이 보낸 외부 링크 접속 → 다른 이름의 프로젝트 실행 → 전화번호·초대코드·권한 입력 요구

바로 이 순서가 이번 10월 동향에서 가장 중요하게 살펴볼 부분입니다.

외부 화면에 ‘다운로드’라는 버튼이 표시돼 있더라도 반드시 새로운 APK가 기기에 설치됐다는 의미는 아닙니다. Expo Go 내부에서 프로젝트를 불러오거나 업데이트하는 과정을 앱 다운로드처럼 표현했을 가능성도 확인해야 합니다.

따라서 피해 상담에서는 이름만 묻는 것으로 충분하지 않습니다.

어디에서 처음 상대방을 만났는지, Expo Go를 어떤 경로로 설치했는지, 이후 어떤 링크를 눌렀는지, 전화번호나 초대코드를 입력했는지, 어떤 권한을 허용했는지를 함께 살펴봐야 합니다.

8. 이미 링크를 실행했다면 무엇부터 해야 할까요?

먼저 가해자가 보낸 링크를 다시 열지 마세요.

같은 화면을 확인하기 위해 Expo Go에서 프로젝트를 반복 실행하거나 권한을 다시 허용해서도 안 됩니다.

상대방과의 대화 내용, 링크가 포함된 메시지, Expo Go 설치 기록, 실행한 화면, 전화번호와 초대코드 입력 여부를 시간순으로 정리해 두는 것이 좋습니다. 링크 주소는 전체가 보이도록 캡처하되 다른 사람에게 전달하거나 직접 재접속하지 않아야 합니다.

연락처 등 민감한 권한을 허용했고 정보 전송이 의심된다면 기기의 와이파이와 모바일 데이터를 차단한 뒤 안전한 다른 기기로 도움을 요청할 수 있습니다.

휴대전화를 급하게 초기화하면 대화, 접속 기록, 실행 화면 등 필요한 자료가 사라질 수 있으므로 먼저 증거를 보존해야 합니다. 다만 악성 동작이 의심되는 기기를 계속 사용하는 것도 피해야 합니다.

가해자가 이미 연락처를 보여주며 금전을 요구하고 있다면 추가 송금을 중단하고 협박 메시지와 계좌정보를 확보해야 합니다.

이번 사례들은 가해조직들이 다양하고 여러 악성앱을 사용하고 있다는 점을 보여줍니다.

사진을 보여준다는 명분에는 Telegram Images나 Video Player를, 비공개 미디어 서비스에는 Mynest를, 진동 기능에는 Moonbird와 Vibrator Massager를, 실제 만남에는 로얄골드스웨디시를 내세웠습니다.

피해자의 관심사와 대화 흐름에 맞춰 화면만 바꾼 것입니다.

그렇기 때문에 “내가 실행한 앱 이름을 검색했는데 피해 사례가 없다”는 이유로 안전하다고 판단해서는 안 됩니다. 앱의 이름보다 그 화면에 도착한 과정과 요구받은 행동이 더 중요합니다.

라바웨이브는 축적된 악성 링크와 실행 화면, 피해 시점, 접근 플랫폼, 정보 입력 과정 등을 대조해 사건의 연결점을 확인합니다. 정확한 프로젝트 이름을 기억하지 못하더라도 남아 있는 링크와 캡처, 대화 기록을 바탕으로 확인을 시작할 수 있습니다.

Expo Go 설치 이후 낯선 링크를 실행했고 연락처나 전화번호 입력을 요구받았다면, 혼자 앱 이름만 검색하며 판단하기보다 사례 대조와 실행 경로 분석을 함께 진행하는 라바웨이브의 상담·대응을 권합니다.

※ 본문에 사용된 앱 명칭은 이번에 제공된 캡처 화면에 표시된 이름을 기준으로 분류했습니다. 동일하거나 유사한 이름을 사용하는 모든 앱을 의미하지는 않습니다.