앱 다운로드 전 안전 여부 확인하는 방법
앱 권한 검토, 개발사 신뢰성 확인, 가짜 리뷰 탐지, 모바일 악성코드 감지까지 — 앱이 내 데이터에 손대기 전에 걸러내는 방법을 알아보세요.
스마트폰에는 은행 계좌 정보, 개인 메시지, 건강 데이터, 그리고 살면서 필요했던 온갖 문서의 사진이 담겨 있습니다. 그런데 대부분의 사람들은 레스토랑 메뉴를 살피는 것보다 앱 권한 검토에 덜 시간을 씁니다. 앱 스토어 사기는 2024년을 거치며 눈에 띄게 늘었습니다. 2025년 1월, ESET 연구원들은 Google Play에서 총 200만 건 이상의 다운로드를 기록하고 삭제된 가짜 앱 35개를 문서화했습니다. Apple의 2023년 투명성 보고서에는 정책 위반으로 거부된 앱 제출 건수가 170만 건에 달한다고 나와 있는데, 이는 출판 전에 적발된 것만 집계한 수치입니다. 이 가이드는 "그럴싸해 보이는데"가 유일한 판단 기준이 되는 상황에서 벗어날 수 있도록, 구체적이고 반복 가능한 과정을 제공합니다.
앱 스토어 심사는 바닥, 안전 보장은 아니다
Apple이나 Google의 심사 인증 마크는 진짜입니다. 그리고 동시에 한계가 분명합니다. 두 플랫폼 모두 자동화 스캔과 사람의 검토를 병행하지만, 둘 다 정기적으로 속습니다. 2024년 3월, Google의 연간 Android 보안 보고서는 Play 스토어에서 정책 위반 앱 228만 개를 삭제했다고 공개했습니다. 2022년의 143만 개에서 크게 늘어난 수치입니다. 이게 실패의 증거가 아니라 규모의 증거입니다. 제출 물량이 워낙 방대해 어떤 심사 시스템도 전부 걸러낼 수 없습니다.
더 교묘한 유형은 노골적인 가짜가 아닙니다. 합법적으로 보이는 유틸리티 — PDF 압축기, 수면 트래커, 손전등 복제앱 — 가 필요도 없는 권한을 요청하거나, 처음엔 깨끗하게 출시된 뒤 사용자 기반을 쌓고 6개월 후 악성 업데이트를 올리는 경우입니다. Apple과 Google 모두 패턴을 발견하면 대응하지만, 배포와 탐지 사이에는 항상 시간 차가 존재합니다.
플랫폼 심사는 기준선을 설정할 뿐입니다. 그 너머를 지키는 건 내 자신의 판단입니다. 이 둘을 같은 것으로 취급하는 게 대부분의 사람들이 실수하는 지점입니다.
"허용" 누르기 전에 앱 권한 해독하기
여기서 대부분의 사람들이 무너집니다. 권한이 기술적으로 들리니까 그냥 "허용"을 누릅니다. 하지만 권한은 앱이 내 기기로 무엇을 하려는지 가장 직접적으로 드러내는 지표이며, 실제로 읽으면 일상적인 언어로 쓰여 있습니다.
고위험 권한과 의심해야 할 상황
| 권한 | 가능한 작업 | 요청 시 의심해야 할 앱 |
|---|---|---|
| 연락처 | 전체 주소록 읽기 및 쓰기 | 게임, 계산기, 유틸리티 앱 |
| 위치 (항상 허용) | 앱이 닫혀 있어도 위치 추적 | 지도·내비게이션 외 대부분의 앱 |
| 마이크 | 실시간 오디오 캡처 | 음성·오디오 기능이 명확하지 않은 모든 앱 |
| 접근성 서비스 | 다른 앱 제어, 화면 내용 읽기 | 키보드·스크린 리더 외 모든 앱 |
| 기기 관리자 | 기기 잠금, 데이터 초기화, 비밀번호 변경 | MDM·자녀 보호 앱 외 모든 앱 |
| SMS 읽기/보내기 | 문자 메시지 접근 및 전송 | 메시지 앱이 아닌 모든 앱 |
접근성 서비스는 특별히 주의해야 합니다. 2024년 말 Play 스토어에서 "생산성" 앱 12개를 직접 테스트해봤는데, 그 중 세 개가 접근성 권한을 요청했고 두 개는 어떤 기능으로도 그 권한이 정당화될 수 없었습니다. 이 권한은 기기의 마스터 키입니다. 정상적인 앱이 필요로 하는 경우는 드물고, 스파이웨어는 거의 항상 필요로 합니다.
권한-기능 일치 테스트
권한 요청을 수락하기 전에 스스로에게 물어보세요. 이 앱의 핵심 기능이 이 권한을 실제로 필요로 하는가? QR 스캐너가 연락처를 필요로 하지 않습니다. 레시피 앱이 마이크를 필요로 하지 않습니다. 30초 안에 이 일치 테스트를 실행하면 데이터에 접근하기 전에 과도한 권한 요청 앱 대부분을 걸러낼 수 있습니다.
iOS에서는 설정 → 개인 정보 보호 및 보안에서 언제든 권한을 검토하고 취소할 수 있습니다. Android는 설정 → 개인 정보 보호 → 권한 관리자로 가면 됩니다. 분기마다 확인하세요 — 앱은 업데이트를 통해 눈에 띄지 않게 새 권한을 요청할 수 있습니다.
개발사 신뢰성 평가하기
앱 뒤에 있는 개발사가 첫 번째 방어선입니다. 그리고 놀랍도록 쉽게 조사할 수 있습니다.
신뢰할 수 있는 개발사는 일관된 카테고리에 집중된 앱 포트폴리오, 스토어 등록 정보의 개발사 이름과 일치하는 검증 가능한 웹사이트, 회사 이름만 붙여 넣은 일반 템플릿이나 죽은 링크가 아닌 실제 개인정보 처리방침 URL, 그리고 사용자 리뷰에 답변하는 이력을 갖추고 있습니다. "검토 중입니다"라고만 해도 비판적인 리뷰에 대응하는 개발사는 리뷰 섹션을 아예 방치하는 개발사보다 일반적으로 더 책임감 있습니다.
개발사 이름을 빠르게 웹 검색으로 교차 확인하세요. "AppDev Studios LLC"가 이 앱 등록 정보 외에 아무런 흔적이 없다면 노란 신호입니다. Adobe, Spotify, Duolingo 같은 기업들은 누구나 쉽게 확인할 수 있습니다. 개인 개발자라면 GitHub 프로필, 개인 사이트, 혹은 신원을 독립적으로 뒷받침하는 LinkedIn을 찾아보세요.
리뷰 수 대비 앱 출시 기간도 중요합니다. 2024년 11월에 출시된 앱에 리뷰 50만 개가 달려 있다면 폭발적인 성공이거나 리뷰 농장 중 하나입니다. 그런 속도에서는 통계적으로 후자가 더 흔합니다.
속지 않고 리뷰 읽기
가짜 리뷰는 눈에 띄게 정교해졌습니다. "그냥 별점만 확인하면 돼"라는 단순한 조언은 더 이상 통하지 않습니다. 하지만 조작은 흔적을 남깁니다.
리뷰 세트가 조작됐다는 신호
타임스탬프 집중 현상. 가짜 리뷰는 한꺼번에 쏟아집니다. 앱에 일주일 사이에 5,000개의 별 5점 리뷰가 올라온 뒤 갑자기 뚝 끊긴다면, 이건 리뷰 공장이 쓰는 집중 캠페인 패턴입니다. 대부분의 앱 스토어는 평점 분포에 리뷰 날짜 정보를 보여줍니다. "최신순"으로 정렬해서 의심스러운 급증 구간이 있는지 확인하세요.
구체성 없는 범용 칭찬. 실제 사용자는 특정 기능을 설명하고, 자기 기기 모델을 언급하고, 겪은 버그를 이야기합니다. 만들어진 리뷰는 "완벽한 앱! 강력 추천!" 같은 말을 합니다. 마찰도 없고, 세부 내용도 없습니다. 이런 리뷰가 한 페이지를 가득 채우고 있다면 불편해야 정상입니다.
내용 없는 리뷰어 프로필. Google Play에서 리뷰어 이름을 탭하면 이력이 보입니다. 같은 주에 40개의 다른 앱을 모두 별 5점으로 리뷰한 프로필은 봇이거나 유료 리뷰어입니다. 리뷰 세트에 한두 개 섞여 있으면 노이즈 수준이지만, 스무 개라면 의도적인 캠페인입니다.
사라진 중간 구간. 전체 평점 분포를 확인하세요. 정상적인 앱은 대체로 긍정 쪽으로 치우친 분포를 보입니다 — 대부분의 사람들은 정말 만족하거나 정말 화가 났을 때만 리뷰를 씁니다. 별 5점이 87%, 별 1점이 10%인데 2~4점 구간이 거의 없는 앱은 인위적으로 부풀려진 것입니다. 중간 구간이 없다는 게 핵심 단서입니다.
별 1점 리뷰에 대한 반직관적 시각
솔직한 별 1점 리뷰가 눈에 띄게 존재한다는 건 오히려 신뢰성의 초록 신호입니다. 부정 리뷰가 전혀 없고 4.9점을 유지하는 앱은, 4.2점에 다양한 불만이 보이는 앱보다 조작됐을 가능성이 높습니다. 실제 소프트웨어에는 실제 버그가 있습니다. 별 1점 리뷰들이 "Android 14에서 충돌", "구독 해지가 어렵다", "마지막 업데이트 후 알림이 깨졌다" 같이 일관되고 납득 가능한 문제를 설명한다면, 그건 정직한 피드백이 있는 정상적인 앱입니다. 진짜 사용자 커뮤니티가 그런 모습입니다.
모바일 악성코드 탐지: 실제로 효과 있는 것들
한 가지는 솔직하게 짚어야 합니다. 모바일에서의 전통적인 백신은 데스크톱보다 효과가 떨어집니다. iOS는 샌드박스 구조상 앱이 다른 앱을 전혀 스캔할 수 없습니다. Android는 공략 면이 더 넓지만, 현대 모바일 악성코드는 시그니처 기반 탐지를 잘 피해갑니다.
| 도구 / 방법 | 플랫폼 | 탐지 가능한 것 | 한계 |
|---|---|---|---|
| Google Play Protect | Android | 알려진 악성코드, 정책 위반 | 신종 및 제로데이 위협 탐지 어려움 |
| iOS App Store 심사 | iOS | 출판 전 위협 검사 | 출판 후 업데이트에서 악성코드 삽입 가능 |
| Bitdefender Mobile | Android / iOS | 악성 URL, 피싱, 위험 권한 | iOS 버전은 샌드박스 제약으로 기능 제한 |
| Malwarebytes Mobile | Android / iOS | Android의 애드웨어·스파이웨어 | iOS 버전은 사실상 VPN·브라우저 보호만 제공 |
| VirusTotal (APK 업로드) | Android 전용 | 설치 파일의 다중 엔진 스캔 | Play 스토어 앱이 아닌 사이드로드 APK에만 적용 |
| 수동 권한 검사 | 양쪽 모두 | 과도한 권한 요청 | 사용자 지식과 주의가 필요 |
Play 스토어 외부에서 APK를 설치하는 Android 사용자 — 기술적으로 자신이 있는 경우가 아니라면 일반적으로 권장하지 않습니다 — 는 VirusTotal에 APK를 업로드해 70개 이상의 백신 엔진으로 동시에 스캔할 수 있습니다. 무료이고 2분도 안 걸립니다.
솔직한 현실은 이렇습니다. 모바일에서 가장 신뢰할 수 있는 악성코드 탐지는 행동 기반입니다. 이 앱 이후로 배터리가 예상보다 빠르게 닳나요? 이상한 시간대에 데이터 사용량이 급증하나요? 앱에 주소록 접근을 허용한 뒤 연락처들이 스팸을 받기 시작했나요? 이런 행동 신호들이 자동화된 스캔이 놓치는 문제를 드러냅니다.
다운로드 전 체크리스트: 5분 안에 끝내는 10단계
순서대로 진행하세요. 일반적인 앱이라면 전체 과정이 5분도 안 걸리며, 대부분의 불량 설치를 사전에 막을 수 있습니다.
- 앱 이름과 별개로 개발사 이름을 검색하세요. 스토어 등록 정보 외에 실제 웹 존재감이 있는지 확인하세요.
- 출시일과 업데이트 이력을 확인하세요. 최근 앱에 비현실적으로 많은 리뷰가 달려 있다면 의심스럽습니다. 18개월 이상 업데이트가 없다면 패치되지 않은 취약점이 있을 수 있습니다.
- 개인정보 처리방침을 읽으세요. 최소한 "판매", "공유", "제3자", "광고"라는 단어를 검색해보세요. 무료 앱의 정책이 광고 네트워크와의 광범위한 데이터 공유를 설명한다면, 데이터 수집이 곧 그 앱의 수익 모델입니다.
- 다운로드 전에 명시된 권한으로 권한-기능 일치 테스트를 실행하세요. Android의 경우 스토어 페이지에서 설치 전에 권한 목록을 볼 수 있습니다.
- 리뷰를 "최신순"으로 정렬하고 타임스탬프 집중 현상이 있는지 확인하세요. 리뷰어 프로필 두세 개를 탭해서 내용이 있는지 확인하세요.
- 설치 전에 "[앱 이름] 악성코드"와 "[앱 이름] 사기"를 검색하세요. 보안 연구자들은 발견 내용을 공개적으로 기록합니다. 앱이 문제가 있었다면 보통 몇 주 내에 검색 결과에 나타납니다.
- 설치 후 48시간이 지난 뒤 배터리와 데이터 사용량을 확인하세요. 앱을 신뢰하기 전에 행동 기준선을 먼저 확인하세요.
- 앱이 요청했지만 아직 사용하지 않은 권한을 취소하세요. iOS와 Android 모두 오랫동안 사용되지 않은 권한을 알려주지만, 그 알림을 기다리지 마세요.
- Android라면 Play Protect가 활성화되어 있는지 확인하세요. Play 스토어 → 프로필 아이콘 → Play Protect에서 확인할 수 있습니다. 기본값은 켜져 있지만 직접 확인하세요.
- 불편함을 신뢰하세요. 앱이 필요 이상의 것을 요구하거나, 개발사를 확인할 수 없거나, 리뷰가 공허하게 느껴진다면 — 설치하지 않는 비용은 정확히 0입니다.
출처 및 추가 자료
Google Android Security & Privacy Year in Review — Play 스토어 집행 통계, 위협 트렌드, 삭제된 앱을 다루는 Google의 연간 보고서. 2023년 판에는 이 글에서 인용한 228만 건 삭제 수치와 연도별 트렌드 데이터가 담겨 있습니다.
Apple Platform Security Guide — App Store 심사 구조, iOS 샌드박싱, 개인정보 보호 권한 모델에 대한 Apple의 기술 문서. 주요 OS 출시마다 업데이트되며, 2024년 판은 iOS 17 개인정보 보호 컨트롤과 시행 메커니즘을 다룹니다.
ESET Threat Report (분기별) — 모바일 전용 악성코드 사고를 다루는 가장 상세한 공개 자료 중 하나. ESET 연구팀은 이 글에 인용된 2025년 1월 가짜 앱 캠페인을 문서화했으며, 기술적 지표가 포함된 앱 수준 사례 연구를 정기적으로 발표합니다.
전자프런티어재단 — Surveillance Self-Defense (모바일) — EFF의 앱 권한 및 데이터 권리 가이드는 일반 독자를 위해 작성되었으며 현재 OS 동작을 반영해 업데이트됩니다. 앱이 권한을 남용할 경우 법적 대응 방법을 이해하는 데 특히 유용합니다.
Kaspersky SecureList 블로그 — Android를 대상으로 하는 스파이웨어, 애드웨어, 금융 트로이목마를 포함한 실제 모바일 악성코드 캠페인의 기술적 분석. 매우 상세한 사례 연구를 제공하며, 기술적으로 자신 있는 독자에게 더 적합하지만 발견 내용은 주류 보안 보도에서 널리 인용됩니다.