1,470만 건 설치된 안드로이드 정신건강 앱, 심각한 보안 취약점 드러나
Photo by Dan Nelson on Pexels | Source
수천만 명이 일상적으로 사용하는 안드로이드 기반 정신건강 애플리케이션에서 심각한 보안 취약점이 무더기로 발견되면서 디지털 헬스케어 업계에 큰 충격을 주고 있다. 사이버 보안 연구진이 최근 공개한 분석 결과에 따르면, 구글 플레이스토어에서 합산 1,470만 건 이상 설치된 여러 정신건강 앱들이 사용자의 극도로 민감한 심리 및 정서 데이터를 외부 공격자에게 노출시킬 수 있는 구조적 결함을 내포하고 있는 것으로 나타났다.
어떤 취약점이 발견됐나
연구팀이 분석한 정신건강 앱들에서는 크게 세 가지 범주의 보안 결함이 확인됐다. 첫째, 데이터 전송 과정에서의 암호화 미비 또는 부적절한 구현 문제다. 일부 앱은 사용자가 입력한 심리 상태, 우울증 자가 진단 내용, 수면 패턴 등의 데이터를 서버로 전송할 때 표준 암호화 프로토콜을 제대로 적용하지 않은 것으로 밝혀졌다. 이는 공공 와이파이 환경 등에서 중간자 공격(Man-in-the-Middle Attack)에 의해 데이터가 탈취될 수 있는 심각한 위험을 내포한다.
둘째, 앱 내부 저장소의 접근 권한 문제다. 연구진은 다수의 앱이 사용자 일기, 감정 기록, 상담 내용 등을 기기 내부에 저장할 때 적절한 접근 제한 없이 평문 형태로 보관하고 있음을 확인했다. 이 경우 기기를 분실하거나 다른 악성 앱이 설치될 경우 데이터가 고스란히 유출될 수 있다.
셋째, API 인증 체계의 허점이다. 일부 앱의 백엔드 서버와 통신하는 API 엔드포인트가 적절한 인증 없이 외부에서 접근 가능한 상태였으며, 이를 통해 특정 사용자의 계정 정보 및 건강 기록에 무단으로 접근할 수 있는 가능성이 제기됐다.
Photo by Markus Winkler on Pexels | Source
왜 정신건강 데이터가 특히 위험한가
정신건강 앱이 수집하는 데이터는 일반적인 개인정보보다 훨씬 민감한 성격을 띤다. 우울증, 불안장애, 외상 후 스트레스 장애(PTSD) 등 정신건강 관련 기록은 고용, 보험 가입, 사회적 관계 등 다양한 영역에서 당사자에게 불이익을 줄 수 있는 잠재력을 가지고 있다.
예를 들어, 사용자가 특정 정신질환 진단을 받았거나 관련 치료를 받고 있다는 사실이 유출될 경우, 이는 보험사의 가입 거절이나 보험료 인상, 직장 내 차별, 또는 개인 신용 평가에도 영향을 미칠 수 있다. 사이버 범죄자들은 이러한 민감 정보를 이용한 표적 피싱 공격이나 협박 수단으로 악용할 가능성이 높다.
실제로 글로벌 사이버 보안 분야의 여러 전문가들은 헬스케어 데이터가 다크웹에서 일반 금융 정보보다 훨씬 높은 가격에 거래된다는 점을 수차례 지적해 왔다. 정신건강 데이터는 그중에서도 가장 가치 있는 정보로 분류된다.
디지털 헬스 앱 시장의 급성장과 보안 사각지대
코로나19 팬데믹 이후 정신건강에 대한 사회적 관심이 높아지면서 관련 앱 시장은 폭발적으로 성장했다. 스트레스 관리, 명상, 감정 일기, 심리 상담 연결 등 다양한 기능을 제공하는 앱들이 쏟아졌고, 접근성과 비용 면에서 기존 오프라인 상담보다 유리한 조건을 앞세워 수백만 명의 사용자를 끌어모았다.
그러나 이러한 빠른 성장 과정에서 보안은 우선순위에서 밀려났다는 것이 전문가들의 공통된 지적이다. 스타트업을 포함한 많은 앱 개발사들이 신속한 출시와 기능 개발에 집중하면서 보안 코드 리뷰나 외부 침투 테스트 등의 과정을 생략하거나 축소한 것으로 알려졌다.
특히 구글 플레이스토어는 앱 등록 심사 과정에서 기능적 문제를 중심으로 검토하며, 세부적인 데이터 보안 아키텍처를 전수 검증하는 데는 구조적 한계가 있다. 이로 인해 취약한 보안 구조를 가진 앱들이 수백만 건의 설치 수를 기록하면서도 문제없이 운영되고 있는 실정이다.
Photo by Stefan Coders on Pexels | Source
연구진의 권고 사항과 향후 과제
이번 취약점을 발견한 연구진은 해당 앱 개발사들에 사전 통보 후 일정 기간 보완을 요구하는 책임 공개(Responsible Disclosure) 원칙에 따라 연구 결과를 발표했다. 연구진은 발표와 함께 사용자와 개발사 양측에 대한 구체적인 권고 사항을 제시했다.
사용자에게는 ▲앱 설치 전 개인정보 처리방침을 면밀히 검토할 것 ▲앱에 요청된 권한이 기능에 비해 과도하지 않은지 확인할 것 ▲공공 와이파이 환경에서 민감한 정신건강 앱 사용을 자제할 것 ▲앱을 통해 입력하는 정보의 범위를 최소화할 것 등을 권고했다.
개발사에 대해서는 ▲업계 표준 암호화 프로토콜(TLS 1.3 이상) 전면 적용 ▲저장 데이터 암호화 의무화 ▲정기적인 외부 보안 감사 실시 ▲최소 권한 원칙에 따른 API 접근 제어 강화 등을 요구했다.
정책적 차원에서도 변화가 필요하다는 목소리가 높다. 유럽연합의 일반개인정보보호규정(GDPR)은 건강 관련 데이터를 특수 범주로 분류해 더욱 엄격한 처리 기준을 적용하고 있으나, 각국의 디지털 헬스 앱 전용 보안 인증 또는 규제 체계는 아직 미흡한 수준이다. 한국의 경우도 개인정보보호법 및 의료법 체계 내에서 관련 규정이 존재하지만, 급변하는 앱 생태계를 실효성 있게 관리하기에는 법제 정비가 뒤따르지 못하고 있다는 지적이 있다.
사용자가 지금 당장 할 수 있는 일
전문가들은 현재 정신건강 앱을 사용 중인 이들에게 즉각적인 조치를 권고하고 있다. 우선 사용 중인 앱이 최신 버전으로 업데이트되어 있는지 확인하는 것이 기본이다. 개발사가 이번 취약점 관련 패치를 배포했을 경우, 업데이트를 통해 일부 문제가 해소될 수 있다.
또한 앱에서 불필요한 알림 접근, 연락처 접근, 위치 정보 접근 등의 권한을 부여했다면 이를 재검토하고 불필요한 권한은 즉시 해제할 것을 권장한다. 장기적으로는 강력한 보안 인증을 받았거나 의료기관과 연계된 신뢰할 수 있는 플랫폼을 선택하는 것이 바람직하다.
디지털 시대에 정신건강을 관리하는 것은 더 이상 선택이 아닌 필요가 되고 있다. 그러나 편의성을 위해 자신의 가장 내밀한 심리 정보를 검증되지 않은 앱에 맡기는 것은 스스로를 새로운 위험에 노출시키는 일일 수 있다. 이번 연구 결과는 디지털 헬스 생태계 전반이 기술 혁신만큼이나 보안과 프라이버시 보호에 진지하게 투자해야 한다는 점을 다시 한번 상기시켜 준다.
