새로운 앱을 설치할 때, 휴대폰의 특정 기능이나 하드웨어에 대한 접근 권한을 요청하는 일련의 메시지를 자주 접하게 됩니다. 대부분의 권한은 무해하며, 휴대폰 설정에서 언제든지 철회할 수 있습니다. 하지만 확인하지 않고 방치할 경우 큰 문제를 일으킬 수 있는 매우 위험한 권한이 하나 있습니다. 이것이 바로 앱을 설치하기 전에 항상 앱 권한을 확인해야 하는 이유입니다.
제가 말씀드리는 것은 Android의 ‘접근성 서비스(Accessibility Services)’입니다. 이는 앱이 위치를 확인하거나 카메라를 사용하도록 허용하는 것과는 차원이 다릅니다. 만약 앱이 이 기능을 사용하도록 허용하고 잊어버렸다면, 은행 계좌 정보, 비밀번호, 개인 데이터, 심지어 화면에 표시되는 모든 내용이 위험에 처할 수 있습니다.
관련 기사
새로운 Android 앱이 당신을 감시하지 못하도록 이 설정들을 변경하세요
새로 설치된 앱은 제어하기 전까지 사용자가 원하는 것보다 훨씬 더 많은 일을 할 수 있습니다.
이 권한은 휴대폰 전체를 제어할 수 있습니다
접근성 서비스가 앱에 허용하는 실제 기능
Android의 접근성 서비스는 원래 장애가 있는 사용자가 사용자 경험을 저해하지 않으면서 휴대폰을 원활하게 사용할 수 있도록 돕기 위해 설계되었습니다. 화면 읽기 도구, 스위치 제어, 음성 내비게이션 도구 등은 모두 이 API를 기반으로 작동합니다. 하지만 문제는 접근성 권한을 가진 앱이라면 무엇이든 화면의 모든 내용을 읽고, 탭과 스와이프를 시뮬레이션하며, 입력하는 텍스트를 가로채고, 심지어 사용자 몰래 스스로 권한 요청을 승인할 수도 있다는 점입니다.
Android 앱은 서로를 감시하지 못하도록 샌드박스(격리) 환경에서 실행되어야 하지만, 접근성 API는 이 규칙을 무력화합니다. 악성 앱이 이 권한을 획득하면 그 결과는 치명적일 수 있습니다. 앱은 합법적인 앱 위에 가짜 인터페이스를 덧씌워 자격 증명을 탈취하거나, 기기를 잠그고, 활동을 모니터링하는 등 훨씬 더 많은 악행을 저지를 수 있습니다.
이는 이론적인 위협이 아닙니다. 접근성 서비스를 악용하는 뱅킹 트로이 목마는 수년간 점점 더 큰 문제가 되어 왔습니다. Kaspersky에 따르면, 2025년 1분기 전체 Android 악성코드 감염 중 트로이 목마가 차지하는 비중은 40%에 달했습니다. 또 다른 2023년 Kaspersky 보고서에 따르면, 탐지된 모든 악성 Android 앱의 약 12%가 접근성 API를 악용하는 뱅킹 트로이 목마로 분류되었습니다. 이는 인터넷상에 약 154,000개의 악성 앱이 퍼져 있다는 것을 의미합니다.
이러한 악성 앱은 외부 소스에서만 유입되는 것도 아닙니다. Anatsa 뱅킹 트로이 목마(TeaBot으로도 알려짐)와 같은 트로이 목마는 2025년 7월 공식 Google Play 스토어에서 문서 뷰어 앱의 PDF 업데이트로 위장한 채 발견되었습니다. 이 앱은 Google이 삭제하기 전까지 90,000번이나 다운로드되었습니다.
지금 바로 이 설정을 확인하세요
어디를 확인하고 무엇을 즉시 꺼야 할까요?
다행히 이 권한을 확인하는 데는 1분도 채 걸리지 않습니다. Android 설정 메뉴로 이동하여 ‘접근성’을 찾기만 하면, 다운로드된 앱 목록과 각 앱의 접근성 서비스 사용 상태를 확인할 수 있습니다.
사용자가 직접 활성화하지 않은 앱이나, 화면의 모든 내용을 읽고 제어할 필요가 없는 앱이 보인다면 접근 권한을 비활성화하거나 앱을 완전히 삭제하십시오. 접근성 서비스가 합법적으로 필요한 경우는 매우 제한적이므로, 이 목록에 있을 필요가 없는 앱을 찾아내기가 훨씬 쉽습니다.
화면 읽기 도구, 확대 도구, 일부 비밀번호 관리자, Tasker와 같은 자동화 앱 등 합법적인 도구는 괜찮습니다. 하지만 출처를 알 수 없는 게임, 거의 사용하지 않는 유틸리티 앱, 또는 즉시 알아볼 수 없는 앱이 있다면 목록에서 제거하십시오.
또한 휴대폰의 각 앱에 대한 ‘특별한 앱 접근 권한’을 확인하는 것도 좋습니다. 이 권한은 앱이 Play 스토어 외부에서 소프트웨어를 설치할 수 있는지 여부를 제어하며, 특별히 필요한 경우가 아니라면 어떤 앱에도 허용해서는 안 됩니다. 이는 악성 앱이 Google Play 스토어를 통해 깨끗한 버전으로 잠입한 후 추가 페이로드를 다운로드할 수 있는 쉬운 진입로가 됩니다.
Google의 단속 시작
새로운 제한 사항하지만 모든 것을 해결할 수는 없습니다
뱅킹 트로이 목마와 접근성 API 악용의 규모가 커지자 Google도 드디어 대응에 나섰습니다. Android 개발사는 접근성 서비스와 해당 서비스에 접근하는 방식을 개선하기 위해 작지만 꾸준한 노력을 기울여 왔으며, Android 17에서는 이를 한 단계 더 발전시켰습니다.
현재 테스트 중인 최신 Android 버전은 ‘고급 보호 모드(Advanced Protection Mode)’ 기능을 도입하여 접근성 관련 앱이 아닌 경우 접근성 API를 전혀 사용할 수 없도록 차단합니다. 화면 읽기 도구, 음성 입력 앱, 점자 인터페이스 등 검증된 도구만 접근할 수 있게 됩니다.
그럼에도 불구하고, Android 17이 대부분의 휴대폰에 적용되기까지는 몇 달이 걸릴 것이며, 그마저도 업데이트가 지원되는 기기에 한정됩니다. 그때까지 이전 버전을 실행하는 수십억 대의 Android 기기는 이러한 앱에 노출되어 있으며, 보호를 보장하는 유일한 방법은 이 권한이 비활성화되어 있는지 확인하는 것뿐입니다.
Google의 보호에만 의존하지 마세요
왜 스스로 제어해야 할까요?
Google이 향후 해결책을 마련할 수도 있지만, 안타까운 현실은 운영 체제 업데이트만으로는 이미 부여한 권한으로부터 사용자를 보호할 수 없다는 것입니다. 많은 경우, 악성 앱은 사용자가 권한을 한 번만 승인하면 휴대폰의 필요한 모든 리소스에 접근할 수 있습니다. 숨겨진 Android 권한이 배터리 수명을 단축시키는 것도 문제지만, 접근성 권한은 훨씬 더 심각합니다.
관련 기사
정문을 활짝 열어두면 악성코드가 취약점을 뚫고 들어올 필요조차 없습니다. 그러니 오늘 잠시 시간을 내어 접근성 설정을 열고, 그곳에 있어서는 안 될 모든 것을 제거하십시오. 만약 아무것도 발견되지 않는다면, 앞으로도 계속 그렇게 유지되도록 관리하십시오.