열면 털리는 APK파일...디지털 청첩장으로 위장 > 정치∙사회

트위터@txtdarionlshop계정이 공유한 실제 APK 파일을 보낸 상대방과의 대화 내용 (꼼빠스닷컴/자카르타경제신문)

인도네시아에서 많이 사용되고 있는 인터넷 메신저 왓츠앱(WhatsApp)을 통해 APK 파일을 보내 데이터를 훔치려는 시도가 또 다시 고개를 들고 있다고 28일 꼼빠스닷컴이 보도했다.

송신자는 자신을 밝히지 않은 채 왓츠앱을 통해 ‘디지털 청첩장.apk’(Surat Undangan Pernikahan Digital.apk)라는 제목의 APK 파일을 잠재적 피해자들에게 전송하여 클릭을 유도하는 방식이다.

왓츠앱을 수신한 사람이 송신자에게 누구냐고 물으면 그는 파일을 열어보면 안다는 식으로 APK 파일 클릭을 요구한다는 것이다.@txtdarionlshop계정을 사용하는 트위터 사용자가 지난 21일(금)이러한 범행이 시도되고 있다는 사실을 다른 트위터리안들과 공유했다.

물론 이런 시도는 처음이 아니다. 예전에는 물품 수령 확인을 요청하는 택배 기사를 사칭해 물품 내역으로 위장한 APK 파일에 클릭을 유도하는 방식이 유행한 적도 있다.

때로는 왓츠앱으로 보낸 APK 파일을 전력공사(PLN)가 보낸 전기세 고지서라고 속여 파일을 열어 금액을 확인하라며 클릭을 유도하기도 했다.

이런 방식으로 APK 파일을 보내는 이들은 받은 파일의 정체를 제대로 파악하지 않고 일단 열어보는 부주의한 수신자들을 주요 범행 대상으로 삼는다.

해당 APK 파일은 클릭하는 순간 수신자의 해당 기기 안에 있는 데이터들, 특히 은행거래 정보를 훔치도록 프로그램 되어 있는 경우가 대부분이다.

APK 파일을 사용한 데이터 절도

파일은 안드로이드 환경에서 애플리케이션을 설치할 때 다양한 구성요소들을 서로 연결하여 조합하는 용도로 사용되는 파일 형식으로 파일 이름 끝에 APK 또는 .apk라는 확장자가 표시된다.

아주 단순하게 말하자면 APK 파일은 .rar나 .zip 파일처럼 데이터를 압축하거나 추출하여 하나의 파일로 만들어 보관하는 기능을 하는 파일 형식이다. 단지 다른 점은 APK 파일이 안드로이드 애플리케이션을 설치하는 데에 사용된다는 점이다.

APK 파일을 이용해 데이터를 훔쳐가는 범죄 행위가 유행처럼 번지고 있다.

예를 들어 택배 기사를 가장한 범인이 물품 수령 확인을 위한 물품 내역 또는 영수증이라며 보낸 APK 파일을 클릭하면 영수증이 표시되는 대신 클릭한 핸드폰 기기에 데이터를 몰래 빼내는 프로그램이 설치되는 식이다. 

범인은 수신자가 파일 형식을 확인하지 않고 부주의하게 또는 아무 생각없이 클릭하는 방심한 틈을 노린다.

수라까르따 소재 스블라스마렛 대학교(UNS) 컴퓨터공학과 로시한 아리 유아나(Rosihan Ari Yuana) 교수는 이렇게 왓츠앱을 통해 클릭을 유도하는 APK 파일이 대개 피해자 핸드폰에 저장된 정보들을 빼낼 목적으로 만들어지는데 문자 메시지나 전화번호부의 내용을 훔쳐보는 것은 물론 피해자가 핸드폰 키보드에 무슨 내용을 치는지도 실시간으로 확인할 수 있다고 말한다.

하지만 대개의 경우 피해자로서는 자신이 사용하는 핸드폰에 이런 스파이웨어가 설치되었는지 알지 못하는 경우가 대부분이다. 아무런 표시도 나타나지 않기 때문이다. 

반면 범인은 그렇게해서 피해자 핸드폰에 설치된 파일을 통해 빼낸 개인정보로 피해자의 M-뱅킹 구좌 잔액을 전부 인출하거나 전자지갑을 거덜내기도 한다.

모바일 뱅킹 ID와 비밀번호는 자판을 치는 내용을 읽어 알아낼 수 있고 핸드폰 문자 메시지를 통해 오가는 OTP 정보를 확인할 수 있기 때문이다.

결국 APK 파일을 사용한 온라인 사기를 피하는 첫 단계는 첨부 파일의 형식을 확인하는 것이다.파일의 확장자가 .apk가 아닌지 우선적으로 확인하는 것이 중요하다.

인터넷 해킹과 스파이웨어가 일상화된 오늘날 모르는 사람이 보내온 .apk 확장자의 파일은 열지 않는 것이 상식이다.[꼼빠스닷컴/자카르타경제신문]