러시아가 슈퍼앱 'Max'로 시민을 감시하는 방법 — 수천만 명에게 강제 설치된 사실상 '백도어'
미시간대학교(University of Michigan) 연구진의 포렌식 분석 결과, 러시아에서 사실상 강제로 보급된 슈퍼앱 Max가 기기 스크린샷 촬영, 미니앱 데이터 접근, 사용자 사칭, 코드 주입까지 가능한 '백도어'인 것으로 드러났습니다. 공무원·교사·학생에게까지 설치가 강요되는 이 앱은 권위주의 국가가 따라 할 수 있는 디지털 감시의 '청사진'이라고 연구진은 경고합니다.
본문
지난 18개월 동안 수천만 명의 러시아인이 Max라는 새 앱을 휴대폰에 설치하도록 사실상 강요받아 왔습니다. 보라색-파란색 버튼 아이콘의 이 앱은 메시징과 결제를 겸하며, 당국은 Telegram과 WhatsApp을 대체하는 '애국적 대안'으로 홍보해 왔습니다. 올여름에는 러시아에서 가장 많이 쓰이는 메신저가 됐습니다. 개발사는 국가와 깊게 얽힌 소셜미디어 기업 VKontakte(VK)이며, 블라디미르 푸틴(Vladimir Putin) 대통령이 Max에 간접 지분을 보유하고 있다는 보도도 있습니다.
슈퍼앱 구조와 강제 확산
Max는 여러 서비스를 하나의 플랫폼에 통합한 러시아판 '슈퍼앱(super-app)'입니다. 은행 앱, Telegram을 대체하려는 메시징 서비스, 필수 정부 서비스 앱 등 일상에 필요한 '미니앱(mini-app)'들의 컨테이너 역할을 합니다. 세계에서 가장 유명한 슈퍼앱은 국가의 사회 통제를 뒷받침하는 중국의 WeChat이지만, WeChat이 수십 년에 걸쳐 중국의 다른 인터넷 통제와 함께 발전한 것과 달리 Max는 한때 대체로 자유로운 인터넷을 누리던 인구에게 위에서부터 강제됐다는 차이가 있습니다. 국가기관 종사자와 공공부문 직원, 대학생, 교사, 심지어 학령 아동까지 커뮤니케이션을 Max로 옮기라는 압박을 받아 왔습니다. 모스크바의 한 교사는 시 당국의 지시로 학부모 상담과 숙제 전달 등 모든 학교 소통이 Max로 전환됐다고 증언했고, 상트페테르부르크의 대학생 Daniil은 앱으로 생성한 QR 코드가 없으면 교내 건물과 기숙사 출입이 거부된다는 안내를 받고 마지못해 설치했다고 말합니다.
포렌식 연구가 밝혀낸 감시 능력
미시간대 컴퓨터과학 부교수 Roya Ensafi의 팀은 러시아에서 사용되는 버전의 앱을 직접 다운로드해 분석했습니다. 그 결과 Max는 사용자 모르게 기기 화면과 미니앱 내부까지 스크린샷으로 캡처할 수 있고, 미니앱에 저장된 모든 정보와 메시지·결제 내역에 접근할 수 있으며, 사용자를 사칭할 수도 있는 것으로 나타났습니다. 심지어 미니앱에 코드를 주입할 수 있어, 러시아 정부가 Max를 사이버공격 수단으로 활용하는 것도 이론적으로 가능하다고 Ensafi는 지적합니다. 그녀는 이를 기기에 심어진 전체 미니앱 생태계에 대한 '백도어'이자, 지난 10년간 관찰한 러시아 인터넷 통제 중 '가장 영리하면서도 가장 무서운 전술'이라고 평가합니다. 다만 사용자가 Telegram이나 WhatsApp을 설치해 두었다면 그 앱들까지 뚫지는 못하지만, 러시아는 이미 두 서비스를 금지한 상태입니다.
엘리트의 이중 행동과 남은 격차
권력층의 Max 사용은 대체로 보여주기용이라는 증언이 나옵니다. 크렘린 내부 인사라는 한 인물은 지인들과 함께 오로지 Max를 설치할 세컨드 폰을 샀을 뿐, 실제 소통은 기존 메신저로 계속한다고 말했습니다. 뉴스 유통 채널로서도 Max는 아직 Telegram에 크게 미치지 못하며, 대형 공개 채널은 소수에 그칩니다. 모스크바의 34세 컨설턴트 Nikolai는 "누가 보고 있는지 늘 알 수 없는 느낌"이라며, 대안이 점점 접근하기 어려워져 점점 더 쓰게 되지만 불쾌함은 남는다고 말합니다.
'청사진'이라는 경고
Ensafi는 Max를 "모든 정부가 따라 할 수 있는 청사진"이라 부르며, 이란·카자흐스탄·인도 같은 국가가 곧 노릴 수 있는 디지털 권위주의의 최첨단이라고 말합니다. 중국이 지금의 통제 수준에 이르기까지 35년이 걸린 반면 러시아는 단 10년 만에 국가 통제 인터넷으로 인구를 몰아넣었기에, Max의 빠른 확산은 세계에 대한 '경각심을 울리는 사건'이라고 그녀는 강조합니다. Guardian은 Max와 VKontakte에 논평을 요청했습니다.
Reddit 반응
- @u/tu_tu_tu — "그건… 늦은 폭로네요. 이 메신저는 출시 때부터 스파이웨어라는 평판이 있었습니다."
- @u/Eponymous-Username — "그들(러시아)은 우리에게도 — 미국이든 영국이든 문명화된 유럽이든 — 똑같은 걸 하려 합니다. 우리는 러시아를 비판하고 그들이 끔찍하고 비자유주의적이며 비민주적이라는 데 동의하면서, 몇 년 뒤에는 정확히 같은 정책을 도입합니다. 때로는 아이들을 구하기 위해, 때로는 중국을 따라잡기 위해, 가끔은 러시아 위협에서 우리를 지키기 위해요. 우리 모두 러시아처럼 살고 싶지 않다는 데 동의한다면, 여기서 그걸 짓는 걸 멈춥시다."
- @u/rndig — "댓글에서 딴소리하며 상업적 메신저와 비교하는 사람들이 있네요. 이 앱은 정부 서비스를 이용하려면 사실상 필수인 앱인데 말입니다. 제발."
- @u/Ok_Relation7695 — "저쪽은 그런 앱이 하나뿐인가요? 우리와 달리 — 우리는 선택지가 있죠. 페이스북, 왓츠앱, 스냅챗, 스마트폰 자체까지."
- @u/sixto_dave — "EU에 사는 우리도 곧 반짝이는 디지털 지갑과 연령 인증 앱을 받게 될 테니 저 지점까지는 얼마 안 남았죠… 알다시피 '아이들을 위해서!'라면서요."
원문: The Guardian / 번역·요약: Trawling