가짜 앱(위장 악성앱) 설치 피해 예방법과 확인법
‘택배 조회’, ‘공공기관 알림’, ‘청첩장’ 같은 메시지 속 링크를 눌렀다가 정상 앱처럼 보이는 악성 앱이 설치되는 사례가 꾸준히 보고된다. 이런 앱은 통화·문자·금융 정보를 몰래 빼가거나 화면을 원격으로 조작하기도 한다. 설치 전 가짜 앱을 알아보는 법과, 이미 설치했을 때 대응하는 법을 정리했다.
가짜 앱은 어떻게 침투하나
사진: freestocks (Unsplash)
가장 흔한 경로는 문자·메신저 링크다. 스미싱 문자 구분법에서 다룬 것처럼 택배 조회, 공공기관 알림, 청첩장·부고장처럼 누구나 누를 법한 일상적인 주제로 위장해 링크를 보내고, 누르면 공식 앱스토어가 아니라 외부 사이트에서 APK 파일을 직접 내려받게(사이드로딩) 유도한다. 안드로이드는 기본적으로 출처를 알 수 없는 앱 설치를 막아두지만, 설치 안내를 그대로 따라가면 이 제한을 사용자가 직접 해제하게 되는 구조다.
일단 설치되면 앱은 접근성 권한, 기기 관리자 권한, 통화·문자 권한 등을 요청한다. 이 권한들을 허용하면 문자와 통화를 가로채거나 화면을 원격으로 조작할 수 있는 수준까지 넘어간다. 보이스피싱 조직이 실제 은행·금융감독원 앱을 흉내 낸 가짜 앱으로 피해자의 정상적인 신고·확인 절차 자체를 가로막는 사례도 이런 방식이다.
설치 전에 확인할 것
앱을 내려받기 전에 몇 가지만 확인해도 상당수 피해를 막을 수 있다.
- 출처: 공식 앱스토어(구글 플레이스토어, 애플 앱스토어)가 아닌 문자·카카오톡 링크로 안내된 설치 파일은 일단 의심한다.
- 개발자 정보: 앱 상세 페이지에서 개발자명이 실제 기관·회사명과 일치하는지 확인한다. 은행 앱인데 개발자명이 낯선 개인 계정이면 가짜일 가능성이 크다.
- 다운로드 수와 리뷰: 다운로드 수가 지나치게 적거나, 반대로 리뷰가 전부 비슷한 문구로 획일적으로 긍정적이면 조작된 리뷰일 수 있다. 평점이 낮고 특정 불만(강제 종료, 이상한 권한 요청)이 반복되는 리뷰도 위험 신호다.
- 요청 권한: 손전등 앱이 연락처 접근을, 계산기 앱이 문자 읽기 권한을 요청하는 식으로 기능과 무관한 권한을 요구하면 설치를 멈춘다.
안드로이드는 구글 플레이 프로텍트가 플레이스토어 설치 앱은 물론, 다른 경로로 들어온 앱까지 주기적으로 검사해 위험한 동작을 감지한다. 설정에서 이 기능이 켜져 있는지 확인해두면 추가 방어선이 된다.
이미 설치했다면
의심스러운 앱을 이미 설치하고 실행까지 했다면 다음 순서로 대응한다.
- 네트워크 차단: 와이파이를 끄고 비행기 모드로 전환해 앱이 데이터를 외부로 보내는 것을 우선 막는다.
- 권한 확인 및 앱 삭제: Android 15 기준 설정 → 애플리케이션 → 해당 앱 → 권한에서 어떤 권한을 갖고 있었는지 캡처해두고, 앱 정보 화면에서 삭제한다. 기종·제조사(삼성·구글 픽셀 등)에 따라 메뉴 이름이 ‘앱 정보’, ‘애플리케이션 관리자’ 등으로 다를 수 있다. 삭제가 안 되면 접근성 권한이나 기기 관리자 권한을 먼저 해제해야 지워지는 경우가 많다.
- 금융 정보 보호: 통화·문자·접근성 권한을 허용한 적이 있다면 연결된 은행·카드 앱 비밀번호와 공동인증서를 바꾸고, 필요하면 은행에 지급정지를 요청한다.
- 초기화 검토: 접근성 권한까지 넘겨준 경우 앱 삭제만으로 완전히 제거됐는지 확신하기 어려우므로, 중요한 데이터를 백업한 뒤 공장 초기화를 하는 게 더 안전할 수 있다.
의심스러운 앱을 구글 플레이스토어에서 발견했다면 앱 상세 페이지에서 신고 기능으로 정책 위반을 접수할 수 있다. 링크 자체가 QR코드로 왔다면 QR코드 피싱(큐싱)과 스미싱의 차이도 함께 확인해두면 도움이 된다.
사진: Pathum Danthanarayana (Unsplash)
자주 묻는 질문
아이폰도 이런 방식으로 피해를 볼 수 있나요?
iOS는 공식 앱스토어 외 경로의 일반 사용자 사이드로딩을 기본적으로 막고 있어 안드로이드보다 위험도가 낮은 편이다. 다만 피싱 사이트에서 개인정보를 직접 입력하게 유도하는 방식의 피해는 기종과 무관하게 발생할 수 있다.
링크만 누르고 앱을 설치하지 않았다면 안전한가요?
링크를 눌러 브라우저가 열린 것만으로 앱이 자동 설치되지는 않는다. 다만 설치 여부를 묻는 안내가 뜨면 절대 진행하지 말고, 이미 개인정보를 입력했다면 해당 정보(비밀번호 등)는 바꿔두는 게 안전하다.
백신 앱을 깔면 이런 피해를 막을 수 있나요?
백신 앱이 알려진 악성코드 패턴을 탐지하는 데 도움을 줄 수 있지만, 새로 제작된 위장 앱은 탐지를 피해갈 수 있어 백신 하나로 완전히 막긴 어렵다. 출처 확인과 권한 검토 같은 설치 전 습관이 더 근본적인 예방책이다.
마무리
가짜 앱 피해는 링크를 누르는 순간이 아니라 출처가 불분명한 설치 파일을 직접 실행하는 순간 시작된다. 문자·메신저로 온 설치 안내는 일단 의심하고, 공식 앱스토어에서 개발자 정보와 권한 요청 내역을 확인하는 습관을 들이는 게 가장 확실한 예방법이다.
