또 다른 스파이웨어 제작자가 가짜 Android 스파이 앱 배포 적발

(techcrunch.com)

TechCrunch2026년 4월 24일정책·규제

이탈리아 보안 기업 IPS가 제작한 것으로 추정되는 새로운 안드로이드 스파이웨어 'Morpheus'가 발견되었습니다. 이 스파이웨어는 사용자를 속여 가짜 업데이트 앱을 설치하게 하는 사회공학적 기법을 통해 안드로이드의 접근성 기능을 악용하고 개인 데이터를 탈취합니다.

이 글의 핵심 포인트

1새로운 안드로이드 스파이웨어 'Morpheus' 발견: 가짜 업데이트 앱을 통한 감염 유도
2안드로이드 접근성(Accessibility) 기능을 악용하여 화면 데이터 및 앱 상호작용 탈취
3WhatsApp 생체 인증(Biometrics) 프로세스를 위조하여 계정 권한을 탈취하는 고도화된 수법 사용
4이탈리아 보안 기업 IPS의 인프라 및 코드(이탈리아어 포함)와 직접적인 연관성 확인
5NSO Group의 Zero-click 방식보다 비용은 낮지만 사회공학적 기법을 활용한 강력한 침투력 보유

이 글에 대한 공공지능 분석

왜 중요한가

고도의 기술력이 필요한 'Zero-click' 공격이 아니더라도, 사용자의 심리를 이용한 'Low-cost' 방식의 스파이웨어가 매우 효과적으로 작동할 수 있음을 보여줍니다. 이는 보안의 경계가 기술적 취약점뿐만 아니라 사용자 인터페이스(UI)와 사용자 경험(UX)의 신뢰 영역까지 확장되어야 함을 의미합니다.

배경과 맥락

과거 Hacking Team과 같은 대형 스파이웨어 기업이 사라진 자리를 이탈리아의 여러 중소 규모 기업들이 채우며 스파이웨어 시장이 파편화되고 있습니다. 이번에 발견된 Morpheus는 전통적인 도청 기술을 제공하던 IPS사의 인프라와 연관된 것으로 밝혀졌습니다.

업계 영향

안드로이드의 접근성(Accessibility) 기능을 악용하는 공격 방식은 앱 개발자와 OS 제조사에게 큰 과제를 던집니다. 특히 생체 인증(Biometrics)을 위조하여 권한을 탈취하는 수법은 기존의 보안 인증 체계에 대한 근본적인 재검토를 요구합니다.

한국 시장 시사점

금융 및 보안 솔루션을 개발하는 한국 스타트업들은 단순한 권한 제어를 넘어, 앱 설치 과정에서의 비정상적인 SMS 유도나 접근성 기능의 오남용을 탐지하는 행동 기반 보안 기술을 강화해야 합니다.

이 글에 대한 큐레이터 의견

스타트업 창업자들에게 이번 사건은 '보안은 기술의 문제가 아니라 신뢰의 문제'라는 점을 시사합니다. 공격자는 값비싼 제로데이 취약점을 찾는 대신, 사용자가 가장 신뢰하는 '시스템 업데이트'나 'WhatsApp 인증'이라는 UX 흐름을 공격 경로로 활용했습니다. 이는 보안 솔루션을 개발하는 기업에 있어, 코드 레벨의 방어만큼이나 사용자 인터페이스의 무결성을 검증하는 것이 중요하다는 것을 의미합니다.

따라서 보안 스타트업은 'Zero Trust' 모델을 앱 서비스에 어떻게 구현할 것인가에 집중해야 합니다. 사용자의 생체 인증이나 권한 부여가 비정상적인 컨텍스트(예: 의심스러운 SMS를 통한 앱 설치 직후)에서 발생할 경우 이를 차단할 수 있는 지능형 탐지 엔진 개발은 향후 큰 시장 기회가 될 것입니다. 위협이 저비용화(Low-cost)되고 있다는 점은 역설적으로 방어 기술의 진입 장벽 또한 낮아질 수 있음을 뜻합니다.

원문 보기 →