美 백악관 앱, 4.5분마다 정확한 사용자 위치 정보 추적?

한 소프트웨어 개발자가 도널드 트럼프 행정부가 공개한 백악관(White House) 공식 앱에 대해 정확한 사용자 위치 정보를 4분 30초마다 확인해 제3자 서버에 동기화하는 코드가 삽입되어 있다고 지적했다.

백악관 공식 앱은 정부가 발신하는 뉴스와 기자회견을 미디어를 거치지 않고 직접 열람할 수 있는 앱. 또 이민관세집행국 ICE(Immigration and Customs Enforcement) 신고 페이지로 리다이렉트하는 신고 버튼도 탑재되어 있다.

소프트웨어 개발자 떼레알로(Thereallo)는 이 앱을 분석한 결과 원시그널(OneSignal)이라는 툴을 통해 사용자 위치 정보가 수집되고 있다고 지적했다. 원시그널은 푸시 알림 발송에 널리 사용되는 툴이다. 떼레알로는 백악관 공식 앱이 사용자가 앱을 열고 있을 때는 4분 30초마다 열고 있지 않을 때는 10분마다 위치 정보를 수집해 원시그널 등 외부 서버로 전송하고 있다고 주장했다.

다만 보도에선 별도 개발자로부터 위치 정보 추적 관련 코드는 원시그널 SDK 내에 존재하지만 앱 자체는 해당 기능을 호출하지 않으며 설치 시 사용자에게 위치 정보 허용을 요청하는 프롬프트도 표시되지 않았다는 의견을 소개했다. 원시그널 문서에서도 개발자가 명시적으로 기능을 활성화하지 않는 한 위치 정보는 수집되지 않는다고 명시되어 있다.

The White House App has OneSignal’s full GPS pipeline compiled in, polling your location every 4.5 minutes, syncing your exact coordinates to a third party server. https://t.co/0HuNiSitA0 pic.twitter.com/UjLO9VdyVZ

— Thereallo (@Thereallo1026) March 28, 2026

그 밖에도 앱에는 여러 의문점이 있다는 지적이 나오고 있다. 예를 들어 앱이 개인 개발자 깃허브 페이지(GitHub Pages) 사이트에서 동영상 삽입용 코드를 불러오고 있다는 점이다. 만일 해당 깃허브 계정이 침해될 경우 모든 앱 사용자에게 임의 코드를 배포할 수 있는 취약점이 존재한다.

아울러 앱은 내장 브라우저를 통해 열리는 모든 웹사이트에 자바스크립트를 삽입해 쿠키 동의 배너, GDPR 동의 다이얼로그, 로그인 화면, 회원가입 화면, 페이월을 제거한다. 이런 화면은 웹사이트가 법규를 준수하기 위해 필요한 것임에도 이를 의도적으로 숨기는 동작에 법적 근거가 있는지 의문이 제기되고 있다.

또 앱이 공유 스토리지 내용 변경 또는 삭제, 지문 및 생체 인증 하드웨어 사용, 네트워크 및 와이파이 연결, 기기 절전 모드 방지, 부팅 시 실행 등 다양한 권한을 요구하고 있어 중국 수준 감시 권한이 부여되어 있다는 지적도 나온다.

아울러 로컬호스트 URL이 운영 환경에 섞여 있는 등 개발 허술함도 드러났다. 한 변호사는 연방 정부 프라이버시법은 정부 앱이 미국 시민의 위치 정보 데이터를 수집·이용하는 방식을 규정하고 있지 않아 사용자는 어떤 정보가 수집되는지 알 방법이 없다고 지적했다. 관련 내용은 이곳에서 확인할 수 있다.