공짜 안드로이드앱, 사용자 몰래 광고 URL로 도배

무료로 제공되는 안드로이드 애플리케이션(앱)이 사용자들의 동의를 받지 않고 수십만개 사용자 추적 및 광고 사이트로 연결되고 있다는 분석결과가 나왔다.

미국 지디넷, MIT 테크놀로지 리뷰 등 외신에 따르면 프랑스 소재 유로콤 소속 연구원들이 구글 플레이 스토어에서 25개 카테고리로 분류되는 2천개 무료앱을 다운로드해 분석한 결과, 해당 앱들을 실행하면 모두 합쳐 25만개 외부URL에 연결된다는 사실을 확인했다.

테스트를 위해 이들은 안드로이드4.1.2 젤리빈이 설치된 갤럭시S3 스마트폰을 활용했다. 먼저 광고 관련 사이트 정보를 알려주는 '이지리스트(EasyList)'와 사용자 정보 추적 사이트를 확인할 수 있는 '이지프라이버시(EasyPrivacy)'를 통해 확보한 데이터를 무료앱이 접속하는 사이트와 일치하는지 여부를 분석했다.

이들은 무료앱은 광고 네트워크의 지원을 받는 경우가 많다며 광고데이터를 수집할 수 있도록 돕기 위해 해당 앱은 웹으로 접속을 시도해야만 하며, 무료앱 중 열에 아홉은 구글 광고사이트에 방문하게 되는 것으로 나타났다고 밝혔다. 심지어 유로콤 연구원은 뮤직 볼륨 EQ(Music Volume EQ)라는 앱을 실행하면 거의 2천개 URL에 접속하게 된다고 설명했다. 해당 앱은 음악 재생시 필요한 볼륨조절, 이퀼라이저 기능을 제공할 뿐이라 별다른 권한이 필요없는데도 웹에 접속하고 있다는 것이다. 이 앱이 1천만~5천만 다운로드수를 기록했다는 점을 고려하면 수많은 안드로이드 기기들이 해당 앱을 쓰기 위해 광고 사이트에 접속해야하는 셈이다.

더 심각한 것은 사용자 추적 사이트다. 조사대상 중 약 30% 앱이 사용자 추적 사이트에 접속을 시도했다. 유로스포트 플레이어(Eurosport player)라는 앱의 경우 무려 810개 사이트로 접속을 시도해 사용자 데이터를 추적했다. 일련의 과정에서 사용자들은 웹에서 자신의 어떤 데이터가 제공되고 공유됐는지를 알 수 없다.

무료앱을 설치하기 전 어떤 사용자 권한을 확보하는지 확인할 수는 있지만 일단 네트워크에 접속되기만 하면 구글은 정책 상 악성 앱이 아닐 경우 구글 플레이 스토어에 올라오는 대부분의 앱을 사용할 수 있게 허가하고 있다.

그럼에도 불구하고 유로콤 연구원들은 사용자들이 자신들의 앱을 통제할 수 있는 권한을 가져야한다고 주장한다. 이를 위해 유로콤은 '노서치앱(NoSuchApp)'을 배포할 예정이다. 이 앱은 사용자가 무료앱을 쓸 때 어떤 사이트에 접속하는지를 모니터링할 수 있게 한다.