앱 다운로드 전 안전 여부 확인하는 방법
앱 권한 평가, 개발자 신뢰도 검증, 가짜 리뷰 식별, 모바일 악성코드 탐지까지 — 앱이 내 데이터에 접근하기 전에 미리 걸러내는 방법을 알아봅니다.
스마트폰에는 은행 로그인 정보, 개인 메시지, 건강 데이터, 그리고 그동안 필요했던 각종 서류 사진까지 담겨 있습니다. 그런데 대부분의 사람들은 앱이 요청하는 권한을 살펴보는 것보다 식당 메뉴 고르는 데 더 많은 시간을 씁니다. 앱스토어 사기는 2024년을 거치며 급격히 늘었습니다. 2025년 1월, ESET 연구팀은 구글 플레이에서 총 200만 건 이상 다운로드된 가짜 앱 35개를 발견했는데, 이 앱들은 삭제되기 전까지 아무 문제 없이 배포되고 있었습니다. 애플의 2023년 투명성 보고서에서도 정책 위반으로 170만 건의 앱 제출이 거부됐다고 밝혔는데, 이는 출시 전에 걸러진 것만 집계한 수치입니다. 이 가이드는 "그냥 괜찮아 보이는데"가 유일한 기준이 되지 않도록, 반복해서 쓸 수 있는 구체적인 검증 과정을 제공합니다.
앱스토어 승인은 최소 기준일 뿐, 안전 보장이 아닙니다
애플이나 구글의 심사 마크는 실제로 존재하는 기준입니다. 그러나 한계도 분명합니다. 두 플랫폼 모두 자동화 스캔과 사람의 심사를 병행하지만, 정기적으로 뚫립니다. 2024년 3월, 구글의 연간 안드로이드 보안 보고서는 플레이스토어에서 정책 위반 앱 228만 개를 삭제했다고 공개했는데, 이는 2022년의 143만 건에서 크게 증가한 수치입니다. 이것이 실패의 증거가 아니라 규모의 증거입니다. 제출 건수가 워낙 방대해 어떤 심사 체계도 전부 걸러낼 수 없습니다.
더 교묘한 유형은 노골적인 가짜 앱이 아닙니다. PDF 압축기, 수면 트래커, 손전등 클론처럼 정상적으로 보이는 유틸리티 앱이 전혀 필요 없는 권한을 요청하거나, 초반에는 문제없이 작동하다가 사용자 기반을 충분히 확보한 6개월 뒤에 악성 업데이트를 내보내는 방식입니다. 애플과 구글 모두 이런 패턴을 발견하면 대응하지만, 배포에서 탐지까지는 항상 시차가 존재합니다.
플랫폼 심사는 기본선을 잡아줍니다. 그 너머를 지키는 건 여러분 자신의 판단입니다. 이 둘을 같은 것으로 취급하는 것이 대부분의 사람들이 범하는 실수입니다.
"허용" 버튼 누르기 전에 앱 권한 해독하기
대부분의 사람들이 무너지는 지점이 바로 여기입니다. 권한 설명이 기술적으로 들리니까 그냥 "허용"을 누릅니다. 하지만 권한은 앱이 여러분의 기기로 무엇을 할 의도인지 보여주는 가장 직접적인 지표이며, 실제로 읽어보면 평범한 언어로 쓰여 있습니다.
고위험 권한과 의심해야 할 상황
| 권한 | 가능한 작업 | 의심스러운 요청 주체 |
|---|---|---|
| 연락처 | 전체 주소록 읽기 및 쓰기 | 게임, 계산기, 유틸리티 앱 |
| 위치 (항상 허용) | 앱이 닫혀 있어도 추적 가능 | 지도·내비게이션 외 대부분의 앱 |
| 마이크 | 실시간 오디오 녹음 | 음성·오디오 기능이 없는 앱 |
| 접근성 서비스 | 다른 앱 제어, 화면 내용 읽기 | 키보드·스크린 리더 외 앱 |
| 기기 관리자 | 기기 잠금, 데이터 삭제, 비밀번호 변경 | MDM·자녀 보호 앱 외 앱 |
| SMS 읽기/전송 | 문자 메시지 접근 및 전송 | 메시지 앱이 아닌 앱 |
접근성 서비스는 특히 주의해야 합니다. 2024년 말, 플레이스토어의 "생산성" 앱 묶음을 직접 테스트했을 때, 12개 중 3개가 접근성 권한을 요청했고 그중 2개는 해당 권한을 정당화할 만한 기능이 전혀 없었습니다. 이 권한은 사실상 기기의 마스터키입니다. 정상적인 앱은 거의 필요로 하지 않지만 스파이웨어는 거의 항상 요구합니다.
권한-기능 일치 테스트
권한 요청을 수락하기 전에 스스로 물어보세요. 이 앱의 핵심 기능에 이 권한이 실제로 필요한가? QR 스캐너에 연락처가 필요 없습니다. 레시피 앱에 마이크가 필요 없습니다. 30초만 이 테스트를 해도 과도한 권한을 요청하는 앱 대부분을 데이터 접근 전에 걸러낼 수 있습니다.
iOS에서는 설정 → 개인 정보 보호 및 보안에서 언제든지 권한을 확인하고 취소할 수 있습니다. 안드로이드는 설정 → 개인 정보 보호 → 권한 관리자로 이동하세요. 분기마다 한 번씩 확인하세요. 앱은 업데이트를 통해 눈에 띄지 않게 새 권한을 요청할 수 있습니다.
개발자 신뢰도 평가하기
앱 뒤에 있는 개발자가 첫 번째 방어선입니다. 그리고 생각보다 조사하기 쉽습니다.
신뢰할 수 있는 개발자는 일관된 앱 포트폴리오와 명확한 카테고리 집중도를 갖고 있으며, 스토어 등록 정보의 개발자 이름과 일치하는 검증 가능한 웹사이트가 있습니다. 회사 이름만 붙여넣은 죽은 링크나 일반 템플릿이 아닌 실제 개인정보처리방침 URL이 있고, 사용자 리뷰에 눈에 띄게 응답한 이력도 있습니다. 비판적인 피드백에 "개선 중입니다"라고라도 답하는 개발자는, 리뷰란을 완전히 방치하는 개발자보다 대체로 책임감이 있습니다.
개발자 이름을 간단히 웹 검색으로 확인해보세요. "AppDev Studios LLC"가 이 앱 등록 정보 외에 아무 흔적이 없다면 주의 신호입니다. Adobe, Spotify, Duolingo 같은 기성 기업은 trivially 확인됩니다. 개인 개발자라면 독립적으로 신원을 뒷받침하는 GitHub 프로필, 개인 사이트, 또는 LinkedIn을 찾아보세요.
리뷰 수 대비 앱 출시 시기도 중요합니다. 2024년 11월에 출시됐는데 리뷰가 50만 개라면, 폭발적 성공이거나 리뷰 농장이거나 둘 중 하나입니다. 통계적으로는 그 속도에서 후자가 더 흔합니다.
속지 않고 리뷰 읽는 법
가짜 리뷰는 진짜 정교해졌습니다. "별점만 확인하면 된다"는 막연한 조언은 더 이상 통하지 않습니다. 그래도 조작에는 패턴이 남습니다.
리뷰가 조작됐다는 신호들
타임스탬프 집중 현상. 가짜 리뷰는 묶음으로 쏟아집니다. 앱에 일주일 동안 별점 5점 리뷰 3,000개가 달렸다가 뚝 끊긴다면, 이는 리뷰 공장이 쓰는 집중 캠페인 패턴입니다. 대부분의 앱스토어는 평점 분포 아래에 날짜별 분포를 표시합니다. "최신순" 정렬로 의심스러운 급등 구간을 찾아보세요.
구체성 없는 칭찬. 실제 사용자는 특정 기능을 묘사하고, 자신의 폰 모델을 언급하고, 겪은 버그를 이야기합니다. 조작된 리뷰는 "완전 좋아요! 완벽하게 작동해요! 강력 추천합니다!" 같은 말만 합니다. 마찰이 없고 디테일도 없습니다. 이런 내용이 페이지를 가득 채우고 있다면 불편함을 느껴야 맞습니다.
텅 빈 리뷰어 프로필. 구글 플레이에서 리뷰어 이름을 탭하면 이력을 볼 수 있습니다. 같은 주에 서로 다른 40개 앱에 모두 별점 5점을 남긴 프로필은 봇이거나 유료 리뷰어입니다. 한두 개는 노이즈입니다. 스무 개면 의도적인 캠페인입니다.
중간 대역의 부재. 전체 평점 분포를 확인하세요. 정상적인 앱은 긍정 쪽으로 치우친 대략 정규 분포를 보이는 경향이 있습니다. 대부분의 사람은 아주 만족하거나 아주 화날 때만 리뷰를 씁니다. 별점 5점이 87%, 1점이 10%, 2~4점이 거의 없는 앱은 인위적으로 부풀려진 겁니다. 중간 대역의 부재가 증거입니다.
별점 1점 리뷰에 대한 역발상
솔직한 별점 1점 리뷰 묶음이 보인다는 건 사실 진짜 앱이라는 긍정 신호입니다. 부정 리뷰가 하나도 없이 4.9 평점을 유지하는 앱이 오히려 정제된 가능성이 높습니다. 진짜 소프트웨어에는 진짜 버그가 있습니다. 1점짜리 리뷰들이 "안드로이드 14에서 계속 꺼짐", "구독 해지가 너무 어려움", "마지막 업데이트 이후 알림 안 옴" 같은 일관되고 납득 가능한 문제를 묘사하고 있다면, 그건 정직한 피드백을 받는 실제 앱입니다. 진짜 사용자 커뮤니티의 모습이 바로 그겁니다.
모바일 악성코드 탐지: 실제로 효과 있는 것들
한계를 솔직하게 인정해야 합니다. 모바일의 전통적인 백신은 데스크톱보다 효과가 떨어집니다. iOS는 샌드박스 구조상 앱이 다른 앱을 스캔하는 것 자체를 허용하지 않습니다. 안드로이드는 공략 면이 더 넓지만, 현대 모바일 악성코드는 시그니처 기반 탐지를 능숙하게 우회합니다.
| 도구 / 방법 | 플랫폼 | 탐지 가능한 것 | 한계 |
|---|---|---|---|
| Google Play Protect | 안드로이드 | 알려진 악성코드, 정책 위반 앱 | 신규·제로데이 위협은 놓침 |
| iOS 앱스토어 심사 | iOS | 출시 전 위협 검사 | 출시 후 업데이트로 악성 코드 삽입 가능 |
| Bitdefender Mobile | 안드로이드 / iOS | 악성 URL, 피싱, 위험 권한 | iOS 버전은 샌드박싱으로 기능 제한 |
| Malwarebytes Mobile | 안드로이드 / iOS | 안드로이드의 애드웨어·스파이웨어 | iOS 버전은 대부분 VPN 및 브라우저 보호 기능에 한정 |
| VirusTotal (APK 업로드) | 안드로이드 전용 | 설치 파일 다중 엔진 스캔 | 플레이스토어 앱이 아닌 사이드로드 APK에만 적용 |
| 수동 권한 감사 | 양쪽 모두 | 과도한 권한 요청 | 사용자의 지식과 주의력 필요 |
플레이스토어 외부에서 APK를 설치하는 안드로이드 사용자라면 — 기술적으로 자신 있는 경우가 아니면 일반적으로 비추천하지만 — VirusTotal에 APK를 업로드해 70개 이상의 백신 엔진으로 동시에 스캔할 수 있습니다. 무료이고 2분이면 됩니다.
솔직히 말하면, 모바일에서 가장 신뢰할 수 있는 악성코드 탐지는 행동 기반입니다. 앱 설치 후 배터리가 예상보다 빨리 닳나요? 이상한 시간대에 데이터 사용량이 급증하나요? 주소록 접근을 허용한 직후부터 연락처에 스팸이 가기 시작했나요? 이런 행동 신호들이 자동화 스캔이 놓치는 문제를 꾸준히 잡아냅니다.
다운로드 전 체크리스트: 5분 안에 열 가지 확인
순서대로 진행하세요. 일반적인 앱이라면 전 과정이 5분도 걸리지 않으며, 대부분의 위험한 설치를 사전에 막을 수 있습니다.
- 앱 이름과 별도로 개발자 이름을 검색하세요. 스토어 등록 정보 외에 실제 웹 활동이 있는지 확인하세요.
- 출시일과 업데이트 이력을 확인하세요. 최근 출시됐는데 리뷰 수가 비현실적으로 많으면 의심스럽습니다. 18개월 이상 업데이트가 없는 앱은 패치되지 않은 취약점이 있을 수 있습니다.
- 개인정보처리방침을 읽으세요. 최소한 "판매", "공유", "제3자", "광고"라는 단어를 검색해보세요. 무료 앱의 방침에 광고 네트워크와의 광범위한 데이터 공유가 기재되어 있다면, 데이터 수집이 바로 그 제품입니다.
- 다운로드 전에 명시된 권한으로 권한-기능 일치 테스트를 진행하세요. 안드로이드는 설치 전 스토어 페이지에서 권한 목록을 확인할 수 있습니다.
- 리뷰를 "최신순"으로 정렬해 타임스탬프 집중 현상을 찾아보세요. 리뷰어 프로필 두세 개를 탭해 텅 비어 있는지 확인하세요.
- "[앱 이름] 악성코드"와 "[앱 이름] 사기"를 설치 전에 검색하세요. 보안 연구자들은 조사 결과를 공개적으로 기록합니다. 문제가 있는 앱은 보통 몇 주 안에 검색 결과에 나타납니다.
- 설치 후 48시간이 지나면 배터리와 데이터 사용량을 확인하세요. 앱을 신뢰하기 전에 행동 기준선을 잡아두세요.
- 앱이 요청했지만 사용하지 않은 권한은 취소하세요. iOS와 안드로이드 모두 오랫동안 사용되지 않은 권한을 알려주지만, 그 알림을 기다릴 필요는 없습니다.
- 안드로이드에서는 플레이 프로텍트가 켜져 있는지 확인하세요. 플레이스토어 → 프로필 아이콘 → 플레이 프로텍트에서 확인할 수 있습니다. 기본으로 켜져 있지만 직접 확인하세요.
- 불편함을 신뢰하세요. 앱이 필요 이상의 권한을 요구하거나, 개발자를 검증할 수 없거나, 리뷰가 작위적으로 느껴진다면 — 설치하지 않는 데 드는 비용은 정확히 0입니다.
출처 및 추가 자료
Google Android Security & Privacy Year in Review — 구글의 연간 보고서로 플레이스토어 집행 통계, 위협 트렌드, 삭제된 앱을 다룹니다. 2023년판에는 이 글에서 인용한 228만 건 삭제 수치와 연도별 추세 데이터가 포함되어 있습니다.
Apple Platform Security Guide — 앱스토어 심사 구조, iOS 샌드박싱, 개인정보 보호 권한 모델에 관한 애플의 기술 문서입니다. 주요 OS 출시마다 업데이트되며, 2024년판은 iOS 17 개인정보 보호 기능과 적용 방식을 다룹니다.
ESET Threat Report (분기별) — 모바일 특화 악성코드 사고에 관해 공개적으로 이용 가능한 가장 상세한 자료 중 하나입니다. ESET 연구팀은 이 글에서 인용한 2025년 1월 가짜 앱 캠페인을 문서화했으며, 기술 지표를 포함한 앱 수준의 사례 연구를 정기적으로 게재합니다.
Electronic Frontier Foundation — Surveillance Self-Defense (모바일) — EFF의 앱 권한 및 데이터 권리 가이드는 일반 독자를 위해 작성됐으며 현재 OS 동작을 반영해 지속적으로 업데이트됩니다. 앱이 권한을 남용할 경우 법적 구제 수단을 이해하는 데 특히 유용합니다.
Kaspersky SecureList Blog — 안드로이드를 타깃으로 한 스파이웨어, 애드웨어, 금융 트로이 목마를 포함한 활성 모바일 악성코드 캠페인의 기술적 분석을 다룹니다. 깊이 있는 사례 연구는 기술에 익숙한 독자에게 더 적합하지만, 그 결과물은 주류 보안 보도에서 광범위하게 인용됩니다.