카카오톡연락처해킹, 카톡이 아니라 폰이 뚫렸습니다 — 악성 앱 권한으로 주소록이 새는 경로와 확인법

협박범이 가족과 직장 동료의 이름을 정확히 나열하면 "카카오톡이 해킹당했다"는 생각부터 들기 마련입니다. 그러나 실제 사건 대부분에서 뚫린 것은 카카오톡이 아니라 스마트폰, 정확히는 직접 설치한 악성 앱에 내어준 연락처 권한이었습니다. 무엇이 어디서 새어 나갔는지 경로를 알면, 협박 문구 중 무엇이 허풍인지도 가려낼 수 있습니다.

카카오톡연락처해킹, 뚫린 곳이 정말 카카오톡일까요?

협박 메시지에 가족과 직장 동료의 이름, 전화번호가 정확히 등장하면 누구든 “내 카카오톡이 뚫렸구나”라고 결론 내리기 쉽습니다. 그런데 몸캠피싱 사건에서 이 결론은 대부분 방향이 틀렸습니다. 침해당한 것은 카카오톡 계정이 아니라 스마트폰 그 자체인 경우가 훨씬 많기 때문입니다.

범인이 손에 넣은 것은 카카오톡 대화방이나 친구 목록이 아니라 폰 안에 저장된 주소록 사본입니다. 그 사본을 밖으로 실어 나른 주체는 피해자가 스스로 설치한 정체불명의 앱, 즉 악성 APK입니다.

이 구분은 말장난이 아닙니다. 무엇이 뚫렸느냐에 따라 지금 해야 할 일이 완전히 달라집니다.

• 카카오톡 계정의 문제라면 로그인 보안 점검이 우선순위가 됩니다.
• 기기에 설치된 앱의 문제라면 그 앱의 정체와 전송 내역 확인이 우선순위가 됩니다.

이 글은 실제 사건 대부분이 속하는 후자, 즉 악성 앱 경로를 처음부터 끝까지 따라갑니다.

범인은 왜 내 지인 관계까지 아는 것처럼 보일까요?

피해자들이 가장 섬뜩하게 느끼는 대목은 범인이 번호만이 아니라 관계까지 아는 듯 말한다는 점입니다. “어머니께 먼저 보내겠다”, “회사 사람들이 알면 어떻게 되겠느냐” 같은 문구가 대표적입니다.

비밀은 주소록의 저장 습관에 있습니다. 우리는 연락처를 ‘엄마’, ‘아빠’, ‘김 팀장님’처럼 관계가 그대로 드러나는 이름으로 저장합니다. 주소록 파일 하나만 손에 넣어도 범인은 별도의 뒷조사 없이 누가 가족이고 누가 상사인지를 그대로 읽어낼 수 있는 셈입니다.

여기에 착시가 하나 더 얹어집니다. 카카오톡 친구 목록은 설정에 따라 차이는 있지만 기본적으로 휴대폰 주소록을 바탕으로 만들어지기 때문에, 주소록이 넘어가면 “카톡 친구까지 전부 알고 있다”는 인상이 생깁니다. 범인이 카카오톡 내부를 들여다본 것이 아니라, 주소록 하나로 카카오톡까지 아는 척할 수 있는 구조입니다. “카카오톡연락처해킹”이라는 검색어는 바로 이 착시에서 태어났습니다.

악성 APK는 어떤 순간에 내 폰으로 들어오나요?

연락처를 빼가는 앱은 저절로 폰에 들어오지 못합니다. 반드시 설치를 유도하는 대화가 먼저 있고, 몸캠피싱에서 그 장면은 놀라울 만큼 비슷하게 반복됩니다.

• 영상통화 직전 “페이스톡(카카오톡 영상통화)은 화질이 깨진다”, “소리가 안 들린다”며 다른 통화 앱으로 옮기자고 제안합니다.
• “내 사진을 볼 수 있는 앱이야”라며 apk 확장자 파일이나 다운로드 링크를 건넵니다.
• 정식 앱마켓 검색이 아니라 받은 링크를 눌러 설치하게 만듭니다. 마켓의 검수를 거치지 않기 위한 선택입니다.

이렇게 설치된 앱의 겉모습은 실제 채팅·통화 앱과 거의 같아 화면만으로는 구별하기 어렵습니다. 판별 기준은 생김새가 아니라 설치 경로입니다. 대화 상대가 건넨 파일로 깔았다면 그 순간이 사건의 출발점이었을 가능성이 높습니다. 이 시나리오에서 카카오톡은 해킹의 대상이 아니라 미끼가 배달된 통로였을 뿐입니다.

'허용' 버튼 한 번에 주소록 전체가 넘어가는 원리는 무엇인가요?

안드로이드에서 앱이 연락처를 읽으려면 사용자로부터 연락처 접근 권한(READ_CONTACTS) 승인을 받아야 합니다. 낯선 앱을 처음 열 때 연락처 접근을 묻는 확인 창이 나타나는 것이 바로 이 절차입니다. 문제는 이 승인이 부분 선택이 아니라는 데 있습니다. 한 번 허용하면 앱은 특정 연락처 몇 개가 아니라 주소록 전부를 읽을 수 있게 됩니다.

악성 앱은 이 순간부터 화면 뒤에서 움직입니다. 앞에서는 정상 앱처럼 보이는 화면을 띄워 두고, 뒤에서는 주소록을 읽어 범인이 관리하는 외부 서버로 올려보내는 방식입니다. 저장소 권한까지 함께 허용했다면 갤러리 속 사진도 같은 길로 나갈 수 있습니다.

기억해 둘 사실은 두 가지입니다.

• 전송은 설치·승인 직후에 이뤄지는 경우가 많아, 나중에 앱을 지워도 이미 나간 데이터는 돌아오지 않습니다.
• 반대로 앱을 설치한 적도 권한을 허용한 적도 없다면, “연락처를 전부 확보했다”는 협박은 근거가 없을 가능성이 큽니다.

내 연락처가 실제로 넘어갔는지 어떻게 확인할 수 있나요?

협박 문구는 실제보다 부풀려지기 마련입니다. 판단의 근거는 상대의 말이 아니라 내 폰에 남은 사실이어야 합니다. 스스로 점검할 질문은 세 가지입니다.

• 상대가 보낸 파일이나 링크로 앱을 설치한 적이 있습니까?
• 그 과정에서 연락처나 저장소 권한을 허용한 기억이 있습니까?
• 설정의 애플리케이션 목록에 설치한 기억이 없는 앱이 남아 있습니까? 메뉴 위치와 명칭은 기기·버전에 따라 다를 수 있습니다.

세 질문 모두 “아니오”라면 주소록이 통째로 유출됐을 가능성은 상대적으로 낮고, 협박은 심리전일 확률이 높아집니다. 하나라도 “예”라면 유출을 전제로 대응 순서를 밟는 편이 안전합니다.

더 정확한 판별은 앱 자체를 들여다봐야 가능합니다. 그 앱이 연락처를 수집하도록 만들어졌는지, 어떤 서버와 통신했는지는 악성 앱 분석의 영역이며, 이 분석 결과야말로 협박이 실행 가능한 위협인지 허세인지를 가르는 가장 객관적인 근거가 됩니다.

지금 폰에서 해야 할 일과 하지 말아야 할 일은 무엇인가요?

첫 번째 할 일은 삭제가 아니라 기록입니다. 당황해서 흔적부터 지우면, 무엇이 어디로 나갔는지 확인할 수단도 함께 사라집니다.

• 증거 보존 — 협박 대화, 상대 프로필, 주고받은 파일, 요구받은 계좌 정보를 화면 캡처로 남깁니다.
• 의심 앱 정보 확보 — 앱 이름과 설치 시점을 메모하고, 가능하면 설치 파일을 지우지 말고 보관합니다. 이후 분석의 원본 자료가 됩니다.
• 권한 회수와 앱 정리 — 기록을 마친 뒤 연락처·저장소 권한을 되돌리거나 앱을 제거합니다.
• 재발 차단 점검 — 정식 마켓 밖 설치를 허용하지 않도록 보안 설정을 확인하고, 낯선 접근이 시작된 곳이 오픈채팅이라면 프로필 노출 설정도 함께 살핍니다. 메뉴 구성은 앱과 기기 버전에 따라 다를 수 있습니다.

하지 말아야 할 일은 분명합니다. 송금입니다. 경찰청이 안내해 온 대로 돈을 보내도 협박이 멈추기보다 이어지는 경우가 대부분이며, 지불 의사를 확인한 범인은 요구를 반복하기 쉽습니다.

신고·삭제지원·기술 분석은 각각 어디에 맡겨야 하나요?

대응 창구는 역할이 나뉘어 있습니다. 한 곳이 모든 일을 처리해 주는 구조가 아니므로, 필요한 일을 맞는 곳에 병행 요청하는 것이 가장 빠릅니다.

• 수사 신고 — 경찰 112, 온라인은 경찰청 사이버범죄 신고시스템(ECRM)으로 접수합니다. 형사 절차의 출발점입니다.
• 피해촬영물 삭제지원 — 디지털성범죄피해자지원센터(02-735-8994)가 무료로 삭제지원을 제공합니다. 여성긴급전화 1366에서도 초기 상담이 가능합니다.
• 불법정보 신고 — 방송통신심의위원회 1377을 통해 불법정보를 신고할 수 있습니다.
• 기술 분석과 유포 대응 — 아크링크는 설치된 악성 앱을 분석해 연락처가 실제로 탈취됐는지 판별하고, DeepScan(deep-scan.ai)으로 유포 탐지·합법 삭제·재유포 추적을 수행합니다. 24시간 대응하며 1차 상담은 무료입니다(1666-5706).

정리하면 신고는 경찰, 공공 삭제지원은 디지털성범죄피해자지원센터, 그리고 “내 폰에서 무엇이 나갔는가”라는 기술적 질문은 전문 분석의 몫입니다. 세 갈래를 동시에 움직일 때 대응의 공백이 가장 작아집니다.

최종 업데이트: 2026년 07월 13일