EXPOGO [엑스포고] - 몸캠피싱, 어떤 연관성이 있을까?

“구글 플레이스토어에서 받은 앱인데도 해킹될 수 있나요?”

몸캠피싱 피해자가 Expo Go 설치 과정을 설명할 때 자주 묻는 말입니다.

공식 앱스토어에서 내려받은 앱이니 안전하다고 생각하기 쉽지만, 여기서는 앱 자체와 그 안에서 실행한 링크를 구분해야 합니다.

Expo Go는 개발자가 제작 중인 프로젝트를 휴대전화에서 테스트하기 위해 사용하는 정상적인 개발 도구입니다.

따라서 Expo Go가 설치돼 있다는 사실만으로 휴대전화가 감염됐거나 연락처가 유출됐다고 단정할 수는 없습니다.

문제는 가해자가 보내준 URL이나 QR코드를 Expo Go 안에서 실행했을 때 시작됩니다.

정상 앱 안에 위험한 프로젝트를 불러올 수 있습니다

Expo Go는 개발자가 만든 프로젝트를 주소나 QR코드로 불러와 실행하는 구조입니다.

크롬이 정상 앱이어도 그 안에서 피싱 사이트를 열 수 있는 것처럼, Expo Go 역시 정상적인 도구이지만 불러온 프로젝트까지 모두 안전한 것은 아닙니다.

몸캠피싱 가해자는 이 점을 이용합니다.

피해자에게 Expo Go를 공식 앱스토어에서 설치하게 한 뒤, 자신들이 준비한 링크를 입력하거나 QR코드를 스캔하라고 안내합니다.

그러면 Mynest, Moonbird처럼 별도의 이름이 붙은 영상 재생 화면이나 로그인 화면이 나타날 수 있습니다.

겉으로는 운동 영상, 성향 영상, 개인 사진을 보는 서비스처럼 보이지만 실제로는 전화번호나 초대코드를 입력하게 하고 연락처 권한을 요구하는 구조일 수 있습니다.

연락처 권한과 외부 서버 연결이 핵심입니다

Expo 프로젝트는 사용자가 허용한 범위 안에서 연락처나 사진, 위치정보 등에 접근하도록 구성할 수 있습니다.

외부 서버와 데이터를 주고받는 기능도 만들 수 있습니다.

가해자가 만든 프로젝트가 연락처 권한을 요청하고, 피해자가 이를 허용했다면 주소록을 읽은 뒤 가해자 측 서버로 전송하도록 설계됐을 가능성을 살펴야 합니다.

어떤 정보가 해킹되었을까?

링크를 한 번 눌렀다는 이유만으로 모든 연락처가 넘어갔다고 확정해서는 안 됩니다.

실제로 어떤 프로젝트가 실행됐는지, 어떤 권한을 허용했는지, 전화번호나 초대코드를 입력했는지, 외부 통신이 발생했는지를 함께 확인해야 합니다.

몸캠피싱에서는 ‘정상 앱’이라는 점이 미끼가 됩니다.

가해자는 트위터, 랜덤채팅 등에서 접근한 뒤 라인이나 텔레그램으로 대화를 옮깁니다.

혹은 카카오톡 추천친구를 통하여 접근해서 카카오톡에서 대화를 이어나가기도 합니다.

이후 “내 영상을 봐달라”, “이 앱으로 열어야 한다” 며 Expo Go 설치와 링크 실행을 유도합니다.

피해자가 링크를 열면 로딩 게이지가 멈추거나 오류가 발생했다는 화면이 나올 수 있습니다.

가해자는 서버 점검 중이라고 둘러대며 “그냥 영상통화 바로 하자”고 대화를 이어갑니다.

이후 영상통화에서 얼굴과 신체가 함께 보이도록 각도를 요구하고 영상을 녹화합니다.

얼마 지나지 않아 피해자의 휴대전화에 저장된 것으로 보이는 지인 이름과 전화번호를 제시하며 돈을 보내지 않으면 영상을 유포하겠다고 협박합니다.

정리하자면 순서는 아래와 같습니다.

이 과정에서 Expo Go는 영상을 녹화하는 앱이 아니라, 가해자가 만든 프로젝트를 실행하고 연락처 접근을 유도하는 매개로 악용된 것입니다.

오류 화면이 떴다고 안전한 것은 아닙니다.

“영상이 안 열렸으니 정보도 안 넘어간 것 아닌가요?”

반드시 그렇지는 않습니다.

화면에 오류가 표시되는 시점과 내부에서 연락처를 읽거나 서버로 데이터를 보내는 시점은 다를 수 있습니다.

전화번호와 초대코드를 입력하고 권한까지 허용한 뒤 오류가 나타났다면, 영상 재생 실패만으로 정보 전송도 실패했다고 판단하기 어렵습니다.

삭제보다 먼저 설치 과정을 남겨두세요

의심스러운 프로젝트를 실행했다면 가해자가 보낸 링크나 QR코드를 다시 열지 마세요.

새 초대코드를 받아 재접속하거나 오류를 확인하려고 반복 실행하는 것도 피해야 합니다.

라인이나 카카오톡에 남아 있는 URL, QR코드, 초대코드, 전화번호 입력 화면, 권한 요청과 오류 화면을 정리하세요.

Expo Go에 허용된 연락처·사진·위치 권한도 확인할 필요가 있습니다.

가해자가 간혹 증거를 없애기 위해 채팅을 삭제하는 경우도 있으니 증거는 확보할 수 있을 만큼 미리 해두는 것이 좋습니다.

Expo Go를 삭제한다고 이미 외부로 전송된 정보까지 회수되는 것도 아닙니다.

기기의 추가 접근을 막는 일과 탈취 가능성이 있는 연락처를 이용한 유포 협박에 대응하는 일은 따로 진행해야 합니다.

Expo Go는 정상적인 개발자 앱입니다.

그러나 그 안에 입력한 링크까지 정상이라는 뜻은 아닙니다.

몸캠피싱에서 경계해야 할 것은 앱스토어의 Expo Go 아이콘이 아니라, 가해자가 그 안에서 열도록 지시한 주소와 권한 요청입니다.