백악관 앱이 드러낸 것: 네이티브 앱이 감시 파이프라인이 되는 방식

스마트폰에 앱을 하나 설치하는 일은 흔히 웹사이트를 즐겨찾기하는 것과 별 차이 없는 행위로 여겨진다. 그러나 기술적으로 두 방식은 전혀 다른 신뢰 모델 위에 서 있다. 브라우저는 명시적 권한, 화면에 드러나는 표시등, 백그라운드 무단 실행 차단이라는 경계 안에서 웹사이트를 가둬 둔다. 반면 네이티브 앱은 하드웨어와 센서, 백그라운드 프로세스에 접근하며, 그 경계 자체를 우회한다. 최근 공개된 미국 백악관 공식 앱 분석은 이 차이가 왜 실무자에게 중요한지 보여 주는 교과서적 사례가 됐다.

빈 배열 뒤에 숨은 열 개의 프레임워크

2026년 3월 27일 백악관은 iOS와 안드로이드용 공식 앱을 배포했고, 몇 시간 안에 두 명의 보안 연구자가 각각 앱을 디컴파일해 분석 결과를 공개했다. 애플은 앱이 수집하는 데이터를 프라이버시 매니페스트로 신고하도록 요구한다. 백악관 앱은 이 항목에 빈 배열, 즉 '수집 데이터 없음'을 선언했다. 그러나 실제 바이너리에는 위치 추적 전용 하위 프레임워크를 포함한 OneSignal SDK 등 열 개의 분석 프레임워크가 들어 있었다. GPS 파이프라인은 포그라운드에서 4.5분마다, 백그라운드에서 9.5분마다 정밀 좌표를 수집해 OneSignal의 상용 서버로 전송했다. 더 문제적인 것은 서버 응답에 담긴 불리언 값 하나로 앱 업데이트나 애플의 재심사 없이 원격에서 GPS 추적을 켜고 끌 수 있었다는 점이다.

별도로 Exodus Privacy의 자동 감사는 세 개의 임베디드 트래커를 확인했는데, 그중 하나는 화웨이 모바일 서비스 코어였다. 2025년 1월 20일에 마지막으로 갱신된 이 앱의 개인정보 처리방침에는 GPS 추적도, OneSignal도, 백그라운드 데이터 수집도 언급되지 않았다. 앱이 whitehouse.gov 웹사이트 대비 실제로 추가한 고유 기능은 푸시 알림, 대통령에게 보내는 사전 작성 문자, ICE 제보 버튼 정도였다. 그 대신 규모 있게 추가된 것은 감시 파이프라인이었다. 전체 네트워크 요청의 77%가 백악관이 아니라 제3자로 향했다.

권한은 앱이 아니라 수십 개의 패키지가 상속한다

대부분의 사람은 앱을 한 회사가 만든 단일 제품으로 생각한다. 실제로는 평균적인 앱이 수십 개의 서드파티 소프트웨어 패키지를 감싼 얇은 껍데기이며, 각 패키지는 자체 데이터 수집 경로와 상업적 동기를 가진다. 사용자가 앱에 위치 권한을 허용하는 순간, 그 안에 박힌 모든 패키지가 동일한 권한을 함께 물려받는다. 하나의 패키지가 수백 개 앱에 들어가 수백만 명의 위치를 단일 집계업체로 흘려보내는 구조다. 이것이 네이티브 모델의 핵심 위험이며, 개별 앱의 선의와 무관하게 작동한다.

그 결과는 이미 여러 사건으로 확인됐다. 2025년 1월 Gravy Analytics가 해킹당해 데이팅·피트니스·게임·건강 앱 등 3,455개 앱에서 수집된 약 3천만 건의 위치 기록이 유출됐다. 미국 FTC는 이후 이 업체의 미국인 위치 데이터 판매를 금지했지만, 데이터는 이미 사이버 범죄 포럼에서 유통된 뒤였다. 구글은 사용자가 위치 추적을 명시적으로 껐는데도 계속 수집한 혐의로 40개 주와 3억 9,150만 달러에 합의했다. 이런 데이터의 큰손 구매자에는 정부도 포함된다. 군과 정보기관은 기도 앱, 데이팅 앱, 피트니스 트래커에서 위치 데이터를 사들이고, 이민 단속과 경찰은 영장 요건을 우회해 용의자와 시위대를 추적한다. 로 대 웨이드 판결이 뒤집힌 뒤에는 낙태 클리닉 방문 경로를 추적하는 데 상업적으로 거래되는 위치 데이터가 쓰였다.

브라우저가 경계이고, 네이티브 앱은 그 경계를 넘는다

위험은 정부에 국한되지 않는다. 고용주는 직원 감시용으로, 스토커와 학대 파트너는 Life360 같은 가족 위치 공유 앱을 악용해 위치를 산다. 데이터 브로커는 중독 치료 클리닉 방문자, 특정 종교 시설 참석자, 총포상 방문자처럼 민감한 범주로 정렬된 정보를 판매한다. 낙태 클리닉으로 향하는 발걸음을 추적하는 데이터는 총기 판매점으로 향하는 발걸음도 똑같이 추적하며, 외국의 적성국이 미국인 위치 데이터를 같은 브로커에게서 사들이는 것을 막는 장치도 사실상 없다. 미국에는 포괄적인 연방 프라이버시법이 없고, 가까운 시일 안에 생길 전망도 밝지 않다.

대안은 단순하다. 웹의 능력과 네이티브의 격차는 상당 부분 좁혀졌지만, 웹이 그 격차를 메운 방식은 늘 명시적 사용자 허가와 눈에 보이는 표시, 그리고 조용한 백그라운드 동작의 부재였다. 브라우저 API 상당수를 설계한 Alex Russell과 그의 Project Fugu 작업이 이 균형을 유지하며 웹의 기능을 확장해 왔다는 점은 원문 저자도 수정 노트에서 인정한 대목이다. AR·VR, 실시간 게임, NFC나 블루투스 하드웨어 연동, 본격적인 오디오·영상 작업, 접근성 도구처럼 브라우저 샌드박스가 실제 한계로 작동하는 정당한 사례는 분명히 존재한다.

다만 그 밖의 거의 모든 것, 은행·여행·식료품점 서비스는 앱을 반드시 필요로 하지 않는다. 실무자 입장에서 이 사례가 주는 교훈은 앱의 프라이버시 신고 내용과 실제 바이너리가 얼마든지 어긋날 수 있고, 애플의 심사조차 원격 토글 앞에서는 무력하다는 점이다. 서드파티 SDK가 권한을 상속하는 구조 때문에 아무리 신뢰하는 브랜드의 앱이라도 데이터 흐름을 스스로 통제하기 어렵다. 결국 방어의 출발점은 데이터를 애초에 덜 흘리는 것, 즉 앱이 유일한 선택지가 아닐 때 웹을 택하고, 전용 앱 없이는 설정조차 안 되는 하드웨어를 기능이 아니라 결함으로 보는 판단에 있다.