아이폰은 APK 파일을 설치할 수 없어 안드로이드보다 연락처 탈취가 어렵지만, 구성 프로파일 설치, 테스트플라이트 배포 앱, 연락처 권한을 요구하는 웹 서비스를 통해 아이폰 몸캠피싱 피해가 발생합니다. 무엇을 허용했는지 확인하면 유출 범위를 좁힐 수 있습니다.
"아이폰이라 안전하다"는 말의 범위
안드로이드 몸캠피싱의 핵심은 영상통화 중 설치를 요구하는 APK 파일입니다. 이 파일이 연락처를 통째로 서버에 올립니다. 아이폰은 앱스토어 밖의 앱 설치를 막기 때문에 같은 수법이 통하지 않습니다. 여기까지는 맞습니다.
그러나 상담에는 아이폰 사용자가 꾸준히 들어옵니다. 가해자도 아이폰 사용자를 위한 각본을 따로 가지고 있기 때문입니다.
아이폰에서 연락처가 넘어가는 세 가지 경로
구성 프로파일 설치
"영상통화 화질 개선", "보안 인증"이라며 링크를 보내고, 열면 프로파일 설치 화면이 뜹니다. 프로파일은 기기 관리 권한을 넓힐 수 있어, 설치를 허용하면 생각보다 많은 정보가 노출됩니다. 설정 > 일반 > VPN 및 기기 관리에서 낯선 항목이 있는지 확인합니다.
테스트플라이트 앱
애플의 베타 테스트 배포 도구인 테스트플라이트를 통해 심사를 거치지 않은 앱을 설치하게 하는 수법입니다. 앱스토어처럼 보이지만 정식 심사를 통과한 앱이 아니고, 연락처 권한을 요구하면 그대로 넘어갑니다.
연락처 접근을 요구하는 웹 서비스
"친구 찾기", "영상통화 앱 가입"을 이유로 웹 페이지에서 연락처 접근이나 로그인을 요구합니다. 앱 설치 없이도 사용자가 권한을 허용하면 연락처가 전송됩니다.
아이폰 피해자가 지금 확인할 것
- 설정 > 일반 > VPN 및 기기 관리: 모르는 프로파일이 있는지
- 설정 > 개인정보 보호 및 보안 > 연락처: 접근을 허용한 앱 목록
- 테스트플라이트 앱이 설치되어 있다면 그 안의 앱 목록
- 사파리 방문 기록 중 상대가 보낸 링크
지우기 전에 화면을 캡처해 두면 유출 경로 분석에 쓰입니다.
연락처를 안 넘겼는데도 지인을 아는 경우
영상통화 중 화면에 비친 정보, 상대가 대화 중 자연스럽게 물어본 직장과 학교, 공개된 SNS 팔로워 목록으로도 일부 지인은 특정할 수 있습니다. 이 경우 유출 범위는 전체 연락처가 아니라 몇 명에 그치므로 대응 범위도 달라집니다. 가해자가 말하는 이름이 어디서 나왔는지 추정하는 것이 상담의 첫 단계입니다.
아이폰 피해 대응은 어떻게 다른가
경로가 다를 뿐 순서는 같습니다. 송금하지 않고, 캡처하고, 프로파일이나 앱을 지우기 전에 상담을 받습니다. 팀카시아는 아이폰에서 어떤 권한이 어디로 연결됐는지 확인한 뒤, 유포 시도를 감지하고 차단하는 솔루션을 적용합니다. 유출 경로가 좁다면 그만큼 조치도 간단해집니다. 확인은 1899-8705에서 365일 24시간 가능합니다.
자주 묻는 질문
아이폰인데 상대가 제 지인 이름을 말합니다. 어떻게 안 걸까요?
프로파일 설치나 테스트플라이트 앱, 연락처 권한을 요구한 웹 페이지, 또는 영상통화 중 화면에 노출된 정보를 통해 일부를 확보했을 수 있습니다. 어느 경로였는지에 따라 유출 범위가 다르므로 설정 기록을 함께 확인합니다.
아이폰은 그냥 무시해도 되나요?
연락처를 넘기지 않았다면 무대응으로 끝나는 경우가 많습니다. 그러나 가해자가 지인 이름과 번호를 구체적으로 말한다면 어떤 경로든 데이터가 넘어간 것이므로 확인이 필요합니다.
아이폰에서 지금 당장 확인할 설정은요?
설정 > 일반 > VPN 및 기기 관리에서 낯선 프로파일이 있는지, 설정 > 개인정보 보호 > 연락처에서 연락처 접근을 허용한 앱이 무엇인지 확인합니다. 삭제하기 전에 화면을 캡처해 두는 것이 좋습니다.
