美 정부 공식 앱, 체재 대상 화웨이 SDK도 탑재?

아무 생각 없이 앱을 설치했다가 예상보다 훨씬 많은 권한을 요구받아 당황한 경험이 있는 이들도 있을 것이다. 공개 정보에서 중요한 통찰을 도출하는 오신트(OSINT, Open Source Intelligence) 전문가가 미국 정부 공식 앱이 대량 권한을 취득해 데이터를 수집하고 있으며 제재 대상인 화웨이 SDK도 탑재되어 있다고 지적했다.

미국 정부가 제공하는 백악관 공식 앱은 보도자료, 라이브 방송, 정책 업데이트 정보 등을 제공한다고 밝히고 있다. 하지만 이 앱은 정확한 GPS 위치 정보, 생체 지문 인증 접근, 저장소 변경, 부팅 시 실행, 다른 앱 위에 화면 표시, 와이파이 연결 상태 확인, 배지 알림 읽기 등 다양한 권한을 요구하고 있다.

또 백악관 공식 앱에는 내장 트래커 3개가 탑재되어 있다. 그런데 그 중 하나는 화웨이가 제공하는 화웨이 모바일 서비스(HMS Core, Huawei Mobile Services)라는 트래커다. 미국 정부는 화웨이를 국가 안보상 위협으로 간주하고 국내에서의 화웨이 통신 장비 판매를 금지하고 있지만 공식 앱에는 화웨이 툴이 사용되고 있는 셈이다.

오신트 전문가는 앱에 어떤 트래커와 권한이 내장되어 있는지 분석·기록하는 툴인 엑소더스 프라이버시(Exodus Privacy)를 사용해 미국 정부가 제공하는 모든 공식 앱 권한 정보를 조사했다. 그 결과 일부 앱은 연방 정부와 악성 소프트웨어를 합친 페드웨어(Fedware)라고 부를 만한 수준이라고 지적했다.

예를 들어 FBI 뉴스 앱인 마이FBI 대시보드(myFBI Dashboard)는 저장소 변경, 와이파이 스캔, 계정 감지, 기기 상태 읽기, 부팅 시 실행 등 12개 권한을 요구한다. 또 트래커 4개가 포함되어 있으며 그 중 하나는 구글 광고 배포 SDK인 구글 애드몹(Google AdMob)이었다.

미국 연방재난관리청(FEMA, Federal Emergency Management Agency) 공식 앱은 정확한 위치 정보를 포함해 무려 28개 권한을 요구하고 있으며 전문가는 주요 기능이 기상 경보와 대피소 위치를 표시하는 앱인데 28개나 되는 권한을 요구한다며 비교하자면 AP통신 뉴스 앱은 이와 유사한 재난 보도를 훨씬 적은 권한으로 제공하고 있다고 지적했다.

미국 국세청(IRS, Internal Revenue Service) 공식 앱인 IRS2Go는 10개 권한과 트래커 3개가 포함되어 있지만 IRS는 필요한 개인정보 영향 평가에 서명하기 전에 이 앱을 일반 공개했으며 이는 미국 행정관리예산국(OMB, Office of Management and Budget) 지침을 위반한 것이라고 한다.

전문가가 그 중에서도 가장 문제로 삼은 건 미국 세관국경보호국(CBP, U.S. Customs and Border Protection)이 제공하는 모바일 패스포트 컨트롤(Mobile Passport Control)이라는 앱. 이 앱은 미국 입국 절차 간소화와 대기 시간 단축을 목적으로 하지만 요구하는 권한 14개 중 7개는 위험한 권한으로 분류되는 것이었다. 구체적으로는 백그라운드 위치 정보 추적, 카메라 접근, 생체 인증, 외부 저장소 전체 읽기·쓰기 기능 등 권한을 요구하고 있었다. 더불어 모바일 패스포트 컨트롤을 비롯한 CBP 앱 전체에서 사용자 얼굴 이미지를 최대 75년간 보존하며 국토안보부, 이민세관집행국, 연방수사국이 공유하는 네트워크에 데이터를 전송하고 있다고 한다.

이에 대해 전문가는 미국 정부 앱을 피한다고 해서 안전하다고는 할 수 없다고 지적했다. 실제로 FBI 국장 카시 파텔(Kash Patel)은 FBI가 대중 이동 및 위치 정보 이력을 추적하기 위해 위치 정보 데이터를 구매하고 있다고 인정한 바 있다. 또 2025년 4월에는 IRS가 납세자 정보를 ICE에 제공하는 협약에 합의했다는 사실이 보도됐다. 관련 내용은 이곳에서 확인할 수 있다.