[몸캠피싱 악성앱 사례 07] Telegram Images 텔레그램이미지, 영상으로해킹 악성앱 대응

“텔레그램에서 받은 사진을 볼 수 있는 앱이라고 했어요. 다운로드 수도 100만 회가 넘고 평점도 4.9라서 의심하지 않았습니다.”

몸캠피싱 피해자분들이 상대방의 안내를 따라 앱이나 링크를 실행한 뒤 자주 하시는 말입니다.

화면에는 텔레그램을 연상시키는 파란색 종이비행기 아이콘이 크게 보입니다. 그 아래에는 평점 4.9, 다운로드 100만 회 이상, 생산성 분야 1위라는 문구가 놓여 있고, ‘지금 무료로 시작하기’ 버튼까지 만들어져 있습니다.

처음 보는 사람이 이 화면만 확인한다면 이미 많은 이용자가 쓰는 정식 서비스처럼 받아들이기 쉽습니다. 하지만 화면에 표시된 숫자와 순위는 해당 페이지가 보여주는 홍보 문구일 뿐, 실제 앱마켓의 이용 실적이나 서비스 안전성이 검증됐다는 의미는 아닙니다. 

이번 글에서는 Telegrampro라는 링크 전달 받은 뒤 Expo Go를 거쳐 ‘Telegram Images’ 화면에 접속한 사례를 살펴보겠습니다.

텔레그램 사진을 볼 수 있다더니, Telegram Images 주의 

가해자는 피해자에게 Telegram pro 링크를 전달 합니다. 이링크에 접속 하게 되면, Telegram Images라는 이름이 나오게 됩니다. 

텔레그램에서 받은 사진을 더 선명하게 보거나, 열리지 않는 이미지를 확인하려면 필요한 부가 기능이라고 설명하기도 합니다. 피해자는 앱 이름에 ‘Telegram’이 들어 있다는 이유로 공식 텔레그램과 관련된 서비스라고 생각하기 쉽습니다.

그런데 실제로 링크를 실행하면 Telegram Images라는 이름이 표시되고, 악성앱이 설치 되게 됩니다.

상대방이 알려준 이름과 실행 화면의 이름이 서로 다른 것입니다.

이 차이는 대수롭지 않게 넘길 부분이 아닙니다. 링크이름과 실제 실행화면이 다르고, 이부분은 텔레그램이라는 부분만 명확히 인식하여, 추후 검색 할때도 피해자에게 혼란을 주게 됩니다.

• 가해자가 전달한 링크 : Telegrampro.xxxxx

• 실제 접속 화면에 표시된 이름: Telegram Images

앱 이름 하나만 찾는 것보다 상대방이 무엇이라고 설명했고, 실제로 어디에 연결됐는지 확인이 필요합니다.

“공식 앱이니까 괜찮다”며 Expo Go 설치를 먼저 요구합니다

이 유형에서는 Telegram Images가 일반 앱처럼 바로 설치되지 않습니다.

가해자는 먼저 Google Play나 앱스토어에서 Expo Go를 설치하라고 요구합니다. 공식 스토어에서 제공되는 앱이라는 점을 강조하면서 피해자의 의심을 낮춥니다.

여기에서 구분해야 할 부분이 있습니다.

Expo Go 자체는 몸캠피싱을 위해 만들어진 악성앱이 아닙니다.

Expo 공식 문서에 따르면 Expo Go는 React Native 프로젝트를 스마트폰에서 시험하고 학습하는 데 사용하는 개발용 도구입니다. 학생이나 개발 학습자가 프로젝트를 빠르게 확인할 수 있도록 제공되는 정상적인 앱입니다.

문제는 Expo Go를 설치한 다음입니다.

가해자는 “이제 내가 보내는 링크를 눌러라”, “링크를 열면 텔레그램 사진을 볼 수 있다”고 안내합니다. 피해자가 링크를 누르면 Expo Go 안에서 가해자가 준비한 별도의 화면이 실행됩니다.

즉, 공식 스토어에서 Expo Go를 설치했다는 사실이 그 안에서 연 모든 주소의 안전성을 보장하는 것은 아닙니다.

피해 사실을 설명할 때도 “Expo Go를 설치했다”는 말에서 끝내면 안 됩니다.

어떤 링크를 받았는지, 링크를 누른 뒤 어떤 화면이 나왔는지, 전화번호나 초대코드를 입력했는지, 연락처 접근 권한을 허용했는지까지 이어서 정리해야 합니다.

평점 4.9와 100만 다운로드, 믿을 수 있나요?

Telegram Images 첫 화면은 앱마켓 상세 페이지처럼 꾸며져 있습니다.

별점 다섯 개와 함께 4.9라는 숫자가 보이고, ‘100만+ 다운로드’, ‘#1 생산성’이라는 문구가 나열돼 있습니다. 이러한 숫자는 피해자가 화면을 빠르게 믿도록 만드는 역할을 합니다.

하지만 실제 앱마켓 페이지와 비슷하게 생겼다는 이유만으로 정식 등록 앱이라고 판단해서는 안 됩니다.

특히 피해자가 검색해서 찾은 앱이 아니라 가해자가 지정한 링크를 통해서만 화면이 나타났다면 더욱 주의해야 합니다.

‘지금 무료로 시작하기’ 버튼을 누른 뒤 나타나는 실행 화면은 앞선 소개 페이지와 전혀 다릅니다.

흰색 배경에 Telegram Images라는 이름이 표시되고, 가운데에는 전화번호를 입력하는 칸과 확인 버튼만 놓여 있습니다.

피해자는 사진을 보기 위한 본인 인증 절차라고 생각할 수 있습니다.

그러나 사진 확인 서비스가 왜 휴대전화 번호를 요구하는지, 입력한 번호를 어디에 사용하는지는 설명되지 않습니다. 사진 보기 기능과 전화번호 입력 사이의 관계가 분명하지 않다면 진행을 멈춰야 합니다.

이때 피해자는 화면이 정상적으로 열리지 않았으니 아무 일도 발생하지 않았다고 생각할 수 있습니다. 하지만 오류나 안내창이 떴다는 사실만으로 그전에 입력한 정보가 전송되지 않았다고 판단할 수는 없습니다. 화면만 보고 정보 전송 시점과 범위를 확인하기는 어렵기 때문입니다. 

연락처 권한을 허용했다면 상황은 더 면밀히 확인해야 합니다.

안드로이드의 READ_CONTACTS 권한은 앱이 사용자의 연락처 데이터를 읽도록 허용하는 권한입니다. 따라서 사진을 보는 기능이라고 안내받았는데 연락처 접근을 요구했다면, 해당 권한이 왜 필요한지부터 의심해야 합니다. 

“오류가 떴으니 괜찮겠지”라고 기다리는 사이 협박이 시작됩니다

피해자는 화면이 제대로 작동하지 않으면 가해자에게 다시 연락합니다.

“전화번호를 입력했는데 아무것도 나오지 않아요.”

“홈으로 이동하라는 안내만 떠요.”

가해자는 이를 단순 오류라고 설명하거나, 휴대전화를 다시 확인하라고 말하면서 영상통화를 이어갑니다. 피해자는 원래 보려던 사진이나 영상을 확인하지 못했지만, 이미 상대방의 안내를 여러 차례 따랐기 때문에 대화를 중단하지 못합니다.

이후 영상통화에서 신체가 노출되면 가해자의 태도가 달라집니다.

“네 영상 가지고 있다.”

“가족이랑 친구 번호도 전부 확인했다.”

“돈을 보내지 않으면 지금 바로 전송한다.”

가해자가 가족과 지인의 이름, 전화번호를 보여준다면 Telegram Images 접속 과정과의 연관성을 확인할 필요가 있습니다.

다만 전화번호를 입력했다는 사실, 연락처 권한을 허용했다는 사실, 실제 연락처가 외부로 전송됐다는 사실은 각각 구분해야 합니다. 가해자가 보여준 자료가 휴대전화 주소록과 같은 형태인지, 공개된 SNS에서 찾을 수 있는 정보인지도 함께 살펴봐야 합니다.

중요한 것은 가해자의 말만으로 피해 범위를 확정하는 것이 아니라, 남아 있는 자료를 통해 가능한 경로를 좁혀가는 것입니다.

피해 직후에는 증거를 확보하세요

악성앱 관련 피해가 의심된다면 같은 화면을 다시 확인하려고 링크를 재실행하지 마세요.

1. 상대방을 처음 만난 플랫폼

2. 가해자와 대화한 모든 채팅

3. Expo Go 설치를 요구한 메시지

4. 가해자가 전달한 링크

5. 전화번호 입력 여부

6. 요청받거나 허용한 접근 권한

7. 지인 연락처가 등장한 협박 화면

8. 송금 요구 내용과 계좌정보

또한 불안하다는 이유로 대화방을 나가거나 휴대전화를 바로 초기화해서는 안 됩니다. 초기화를 먼저 하면 링크, 설치 기록, 권한 설정, 협박 메시지처럼 사건을 확인하는 데 필요한 자료가 함께 사라질 수 있습니다.

그렇다고 의심되는 화면을 계속 실행하라는 의미는 아닙니다.

추가 링크 실행과 전화번호 입력, 권한 허용은 멈추고, 필요한 자료를 보존한 뒤 안전한 다른 기기로 도움을 요청해야 합니다.

이미 금전을 보냈다면 더 이상 송금하지 말고 계좌번호와 예금주, 이체확인증, 가해자의 추가 요구를 함께 보관하세요. 경찰청 사이버범죄 신고시스템을 통해 신고 절차도 확인할 수 있습니다. 

최초 대화, 링크 구조, 실행 화면, 입력 요구, 협박 방식까지 나란히 비교하면 기존 사례와의 연결점을 확인할 수 있습니다.

라바웨이브는 피해자가 보유한 링크와 실행 화면, 가해자 계정, 지인 정보 제시 방식 등을 함께 확인해 사건의 유형과 대응 가능 범위를 점검합니다. 정확한 앱 이름을 기억하지 못하더라도 화면 캡처나 대화 기록, 접속 주소가 남아 있다면 그 자료부터 확인할 수 있습니다. 

Telegrampro 또는 Telegram Images 화면을 실행한 뒤 연락처 유출과 영상 협박이 걱정된다면, 혼자 같은 링크를 반복해서 열어보지 마세요.

가해자가 알려준 이름보다 실제로 연결된 주소와 입력한 정보, 남아 있는 협박 자료를 기준으로 상황을 확인하는 것이 몸캠피싱 대응의 출발점입니다.