연락처해킹, 통째로 넘어간 주소록은 어디까지 뿌려질까 — 악성앱 권한이 만드는 유포 범위의 상한

'연락처가 해킹당했다'는 말을 들으면 서버가 뚫린 큰 사건을 떠올리기 쉽습니다. 그러나 실체는 대개 서버 침입이 아니라, 내가 허용한 앱 권한으로 주소록이 조용히 복사돼 나간 것입니다. 이 글은 플랫폼과 무관한 그 기술적 경로와, 넘어간 데이터가 정하는 '누구에게까지 뿌릴 수 있나'의 실제 상한을 침착하게 짚어 드립니다.

연락처해킹은 정말 서버가 뚫린 '해킹'일까요?

많은 분들이 연락처해킹을 통신사나 플랫폼 서버가 침입당한 사건으로 떠올립니다. 그러나 몸캠피싱·스미싱 맥락에서 벌어지는 주소록 유출은 대부분 서버를 뚫은 침입이 아닙니다. 스마트폰에 설치된 앱 하나가 연락처 접근 권한을 받아, 저장된 주소록을 그대로 읽어 밖으로 내보낸 결과입니다.

기술적으로 보면 방어벽을 부순 것이 아니라, 운영체제가 정상적으로 내주는 열쇠를 건네받은 것에 가깝습니다. 그래서 이 현상은 특정 메신저나 특정 통신사만의 문제가 아닙니다. 카카오톡으로 들어오든 라인으로 들어오든 랜덤채팅으로 들어오든, 마지막 단계는 언제나 동일합니다. 공식 마켓을 거치지 않은 앱이 기기에 자리를 잡고 연락처 권한을 얻어내는 것이지요.

이 글이 플랫폼별 대응이 아니라 플랫폼과 무관한 일반 원리를 다루는 이유가 여기 있습니다. 경로가 무엇이든 데이터가 넘어가는 방식은 하나로 수렴하고, 넘어간 그 데이터가 곧 ‘어디까지 뿌려질 수 있는가’의 상한을 정하기 때문입니다.

주소록은 어느 순간, 어떻게 통째로 넘어가나요?

주소록이 넘어가는 과정은 짧고, 결정적 순간은 단 한 번의 ‘허용’입니다. 흐름을 나눠 보면 이렇습니다.

• 가짜 앱 미끼 — 문자·메신저·SNS로 ‘영상통화 전용 앱’, ‘고화질 재생기’, ‘택배 조회’ 같은 명목을 내세워 링크나 파일을 흘려보냅니다.
• 마켓 우회 설치 — 정식 스토어를 안 거친 파일을 직접 올리도록 ‘알 수 없는 출처 허용’을 켜게 유도합니다. 이때 스토어가 앱을 미리 걸러 주던 사전 점검이 건너뜁니다.
• 권한 허용 팝업 — 앱을 처음 켜면 ‘연락처에 접근하도록 허용하시겠습니까’를 묻는 시스템 창이 나타나고, 여기서 승인을 누르는 그 찰나가 실제 유출이 시작되는 지점입니다.
• 백그라운드 전송 — 허가가 떨어지면 앱은 사용자 눈에 띄지 않는 뒤편에서 저장된 연락처를 통째로 읽어 외부 서버로 실어 나릅니다.

여기서 ‘허용’을 누른 것은 부주의의 결과가 아니라 정교하게 설계된 속임수의 결과입니다. 대화하던 상대가 자연스러운 맥락에서 요청하기 때문에 누구라도 같은 상황에 놓일 수 있습니다. 그리고 이 한 번의 허용으로 넘어가는 것이 정확히 무엇이냐가, 이후 ‘유포 범위’를 좌우합니다.

왜 백신에도, 폰 점검에도 걸리지 않았을까요?

피해를 겪은 분들이 가장 혼란스러워하는 지점이 이것입니다. “백신을 돌렸는데 이상이 없다는데, 어떻게 연락처가 샜다는 거죠?”

핵심은 권한을 통한 접근이 운영체제가 정식으로 허가한 ‘규격 내 동작’이라는 데 있습니다. 앱이 주소록을 읽어 들이는 행위 자체는 기본 연락처 앱이나 메신저, 명함 관리 도구도 날마다 수행합니다. 악성앱은 바로 이 합법 통로에 올라타기 때문에, 알려진 악성코드 지문을 맞춰 보는 시그니처 백신의 그물을 쉽게 빠져나갑니다.

여기에 더해 이런 앱들은 코드를 패킹하고 난독화해 뜯어보기 어렵게 만들고, 데이터를 실어 보낼 목적지 주소는 구동되는 도중에만 잠깐 풀어 감춥니다. 화면만 보면 흔한 채팅 앱이나 유틸리티와 잘 구분되지 않지요. 그래서 ‘백신 통과’가 곧 ‘안전’을 뜻하지는 않습니다. 유출 여부를 확실히 알려면 겉모습이 아니라, 그 앱이 실제로 선언한 권한과 통신 기록을 들여다봐야 합니다.

넘어간 데이터는 정확히 무엇이고, 어디까지가 상한인가요?

공포를 줄이는 첫걸음은 실제로 넘어간 것의 범위를 정확히 아는 것입니다. 안드로이드에서 READ_CONTACTS라 부르는 연락처 권한이 앱에 열어 주는 대상은 기기에 저장된 주소록 데이터베이스이고, 그 안에는 여러분이 손수 저장해 둔 정보가 담겨 있습니다.

• 저장된 이름과 전화번호 — 핵심 대상입니다.
• 함께 저장했다면 이메일·메모·그룹 같은 부가 정보.

반대로 넘어가지 않는 것도 분명합니다. 저장해 둔 적 없는 번호, 통화만 하고 연락처에 등록하지 않은 사람은 이 데이터에 없습니다. 또 연락처 권한만 허용했다면 통화 내용·실시간 위치·카메라 같은 다른 영역은 그 한 번의 허용만으로 넘어가지 않습니다. 유출 범위는 ‘허용한 권한의 범위’로 상한이 정해지기 때문입니다.

그리고 넘어간 것은 대개 특정 시점의 주소록 사본입니다. 공격자가 손에 쥔 것은 여러분의 폰 전체가 아니라 허용 시점의 연락처 목록이지요. 이 사실 하나만으로도 ‘무엇을 걱정해야 하는지’의 경계가 또렷해집니다.

그래서 '누구에게까지' 뿌릴 수 있는 건가요?

이 글의 핵심 질문입니다. 주소록이 통째로 넘어갔다면, 협박범이 닿을 수 있는 사람의 범위는 복사된 그 목록 안으로 한정됩니다. 목록에 없던 사람, 저장하지 않았던 번호는 이 데이터만으로는 닿지 못합니다. 즉 ‘누구에게 뿌릴 수 있나’의 상한은 여러분의 주소록 그 자체이며, 그 범위는 스스로 헤아려 볼 수 있습니다.

여기서 한 가지 구분이 중요합니다. 이 상한은 어디까지나 기술적으로 도달이 가능한 최대 범위일 뿐, 실제로 어디까지 발송이 이뤄졌는지나 협박에 어떻게 대응할지는 결이 다른 문제입니다. 이 글은 넘어간 데이터가 그 최대 범위를 어떻게 규정하는지에 초점을 두고, 실제 유포 정황을 읽고 대응하는 방법은 연락처 유포 협박 대응을 다루는 글에서 따로 짚겠습니다.

다만 앱이 문자 발송 같은 추가 권한까지 얻었다면 도달 방식이 넓어질 수 있습니다. 그래서 ‘어디까지 가능한가’를 가르는 최종 기준은 결국 어떤 권한이 허용됐는가이고, 이는 앱을 분석하면 사실로 확정할 수 있습니다.

"네 휴대폰을 통째로 장악했다"는 협박, 사실일까요?

가해자는 대개 ‘너는 이미 해킹당했다’, ‘휴대폰을 전부 손에 넣었다’는 식으로 위협합니다. 그러나 앞선 원리를 알고 나면 이런 말의 상당수가 부풀린 엄포임을 알아챌 수 있습니다. 그들이 실제로 손에 쥔 것은 허가받은 권한으로 복사해 간 주소록 한 부일 뿐입니다. 휴대폰 전부도, 하물며 통신사 서버도 아닙니다.

이런 부풀리기는 피해자가 스스로 아무것도 할 수 없다고 느끼게 만들어 냉정한 판단을 방해하려는 계산에서 나옵니다. 실제로 가진 것은 목록 하나뿐인데도 ‘전부’를 쥔 것처럼 말하는 것이지요. 무엇이 실제로 넘어갔는지 그 경계를 알고 나면, 협박이 주는 압박의 상당 부분은 근거를 잃습니다.

마지막으로 분명히 해 둘 것이 있습니다. 송금은 해결책이 되지 못합니다. 경찰청도 한 번 돈을 부치면 협박이 멈추기는커녕 손에 쥔 명단을 빌미로 요구가 되풀이되는 경우가 대부분이라고 안내합니다. 돈을 보내는 쪽이 아니라, 무엇이 어디로 빠져나갔는지 사실부터 확정하는 쪽으로 움직이는 편이 낫습니다.

지금 권한을 어떻게 통제하고, 삭제 전에 무엇을 확인해야 하나요?

원인이 권한에 있으니, 대응의 중심축도 결국 권한 관리입니다. 지금 곧바로 할 수 있는 조치는 이렇습니다.

• 출처 불명 앱 설치 막기 — 설정에서 ‘알 수 없는 출처 허용’을 꺼, 스토어 밖 파일이 깔리지 못하게 합니다. 곁길 설치를 원천에서 봉쇄하는 가장 확실한 한 수입니다.
• 연락처 접근 앱 솎아내기 — 연락처 접근이 켜져 있는 앱 목록을 열어, 정체가 불분명한 앱은 권한을 거둬들입니다. (설정 메뉴 이름·경로는 기기·버전마다 다릅니다.)
• 최근 깔린 앱 되짚기 — 이상 증상 며칠 전에 새로 깐 앱을 가장 먼저 의심합니다.

다만 의심스러운 앱이라도 곧바로 지우지는 마세요. 지우는 순간, 그 앱이 쥔 권한과 데이터를 어디로 실어 보냈는지 되짚을 흔적까지 사라집니다. 유포된 범위를 못박아야 한다면, 먼저 비행기 모드로 통신을 끊고 원본을 보존한 뒤 전문 분석으로 전송 여부와 도착지 서버를 짚어내는 게 낫습니다. 아크링크는 연락처가 실제로 빠져나갔는지와 도착지를 판별하고, 유포 탐지·합법 삭제·재유포 추적까지 지원합니다(자체 분석 DeepScan·24시간 대응·1차 상담 무료·1666-5706). 범죄 신고는 경찰 112, 촬영물이 함께 퍼졌다면 디지털성범죄피해자지원센터 02-735-8994가 삭제를 돕습니다.

최종 업데이트: 2026년 07월 13일