내 폰 속 앱은 생각보다 많은 걸 보고 있다 — Loupe가 보여주는 진실

'권한 허용'을 누르지 않았는데도

스마트폰에 앱을 깔 때 우리는 "사진 접근을 허용하시겠습니까?", "위치 정보를 사용하시겠습니까?" 같은 팝업을 보고 허용/거부를 누르죠. 그래서 막연히 "내가 허락한 것만 앱이 볼 수 있겠지"라고 믿게 되는데요. 그런데 실상은 좀 달라요. 우리가 명시적으로 허락하지 않아도, 앱이 그냥 깔려 있다는 사실만으로 조용히 알아낼 수 있는 정보가 의외로 많거든요.

이번에 소개할 Loupe는 바로 이 점을 눈으로 똑똑히 보여주려고 만든 iOS 앱이에요. 보안 연구팀(mysk)이 만든 오픈소스 프로젝트인데, 이름처럼 '돋보기(loupe)'로 평소엔 안 보이던 것들을 확대해서 보여줘요. "네이티브 앱이 권한 팝업 없이 도대체 뭘 볼 수 있나"를 실제로 수집해서 화면에 쫙 펼쳐주는 거죠. 보안에 관심 없던 사람도 한 번 보면 "어, 이런 것까지?" 하고 놀라게 되는 그런 앱이에요.

권한 없이도 새어 나가는 정보들

그럼 구체적으로 뭘 볼 수 있느냐가 궁금하실 텐데요. 우선 기기 자체에 대한 정보가 있어요. 기기 모델, iOS 버전, 화면 크기와 밝기, 배터리 잔량과 충전 상태, 저장 공간 용량, 현재 설정된 언어와 시간대, 볼륨 같은 것들이요. 이게 별것 아닌 것 같죠? 그런데 이런 자잘한 값들을 여러 개 조합하면 '핑거프린팅(fingerprinting)' 이라는 게 가능해져요. 이게 뭐냐면, 사람마다 지문이 다르듯 기기마다 설정 조합이 미묘하게 달라서, 이 조합을 일종의 ID처럼 써서 "이 사람 그때 그 사람"이라고 추적하는 기법이에요. 쿠키를 지워도, 광고 ID를 초기화해도 이 핑거프린트로는 다시 알아볼 수 있어서 프라이버시 측면에서 꽤 골치 아픈 기술이죠.

여기에 더해 센서 데이터도 별도 권한 없이 접근되는 경우가 있어요. 가속도계나 자이로스코프(기기의 기울기와 움직임을 재는 센서)가 대표적인데, 이 움직임 패턴만으로도 사용자가 걷는지 앉아 있는지, 심지어 어떤 비밀번호를 입력하는지까지 추정하려는 연구가 있을 정도예요. 또 같은 와이파이에 연결된 다른 기기들, 즉 로컬 네트워크 상황을 엿보거나, 클립보드(복사해둔 내용)에 무엇이 들어 있는지를 슬쩍 읽어가는 동작도 문제로 자주 지적돼요. 우리가 비밀번호나 인증번호를 복사해두면 그게 고스란히 노출될 수 있는 거죠. Loupe는 이런 항목들을 하나하나 직접 읽어서 "봐, 이게 다 권한 팝업 없이 가져온 거야"라고 보여줘요.

왜 이런 일이 가능한 걸까

여기서 "애플이 프라이버시 엄청 챙긴다더니?"라는 의문이 들 거예요. 사실 애플은 사진, 연락처, 위치, 마이크, 카메라처럼 명백히 민감한 정보엔 권한 팝업이라는 문을 달아놨어요. 문제는 위에서 말한 기기 정보나 일부 센서 값처럼, '민감하다고 분류되지 않은' 데이터는 앱이 기본적으로 그냥 읽을 수 있다는 거예요. 운영체제 입장에서 모든 API 호출마다 팝업을 띄우면 앱을 쓸 수가 없으니, 어쩔 수 없이 어떤 건 자유롭게 열어둘 수밖에 없거든요. 결국 '편의'와 '프라이버시' 사이의 선을 어디에 긋느냐의 문제인데, 그 선 바깥에 있는 정보들이 생각보다 많고 또 강력하다는 게 핵심이에요. Loupe는 그 보이지 않는 선을 시각적으로 드러내 주는 도구인 셈이죠.

업계 흐름 속에서

이런 '투명성 도구'는 mysk 팀만의 시도는 아니에요. 안드로이드 진영에는 어떤 앱이 어떤 권한을 쓰는지 추적해주는 도구들이 있고, 애플도 iOS에 앱 프라이버시 리포트를 넣어서 앱이 언제 위치·카메라 등에 접근했는지 보여주기 시작했어요. 데이터 추적을 막는 앱 추적 투명성(ATT) 정책도 같은 맥락이고요. 다만 이런 공식 기능들은 '허락이 필요한 민감 정보'에 초점이 맞춰져 있어요. Loupe가 의미 있는 건, 바로 그 공식 보고서에는 잘 안 잡히는, 권한조차 필요 없는 회색지대를 정조준한다는 점이에요. 규제와 정책이 큰 구멍은 막아가는 중이지만, 핑거프린팅 같은 '작은 구멍들'은 여전히 열려 있다는 걸 일깨워주는 거죠.

한국 개발자에게 주는 시사점

앱 개발자라면 이 프로젝트가 두 가지 교훈을 줘요. 첫째, 만들 때. 내가 만드는 앱이 정말 필요한 정보만 최소한으로 수집하고 있는지 돌아봐야 해요. 광고 SDK나 분석 도구를 별생각 없이 붙였다가, 나도 모르게 이런 데이터를 줄줄 빨아들이고 있을 수 있거든요. 한국도 개인정보보호법이 점점 깐깐해지고 있어서, '권한 팝업 안 띄웠으니 괜찮다'는 더 이상 통하지 않아요. 데이터 최소 수집은 이제 윤리를 넘어 법적 리스크 관리예요.

둘째, 쓸 때. 우리도 결국 다른 앱을 쓰는 사용자잖아요. Loupe 같은 도구로 '앱이 실제로 뭘 볼 수 있는지'를 한 번 체감해두면, 무심코 클립보드에 비밀번호를 복사해두는 습관이나, 출처가 불분명한 앱을 덥석 까는 행동을 다시 보게 돼요. 오픈소스라 코드를 직접 뜯어보며 "이 정보를 어떤 API로 가져오는구나"를 학습하기에도 좋은 교재고요.

핵심을 한 줄로 정리하면, '권한을 허락하지 않았다'가 '아무것도 보여주지 않았다'를 뜻하지는 않는다는 거예요. 여러분은 평소 앱 권한을 얼마나 꼼꼼히 챙기시나요? 그리고 개발자로서, 편리한 기능과 사용자 프라이버시가 충돌할 때 어디까지를 '꼭 필요한 수집'이라고 선을 그으시겠어요?