By Paresh Dave, WIRED US

2023년 11월, 스마트폰을 16년간 사용하면서 경험한 가장 이상한 앱 업데이트가 진행되었다.

안드로이드13을 운영체제로 실행하던 필자의 갤럭시 S23에 삼성이 자사 기기에 구글 플레이스토어를 보완할 앱스토어로 기본 설치한 갤럭시 스토어에서 일부 업데이트 설치 준비가 완료되었다는 알림이 등장했다. 갤럭시 스토어가 간혹 보내는 푸시 알림은 보통 시계 앱이나 정체가 불확실한 게임 엔진 등 삼성 서비스 업데이트를 안내하는 내용이었다. 필자는 평소처럼 푸시 알림을 선택하고는 갤럭시 스토어가 실행되고, ‘모두 업데이트하기’ 버튼을 누를 수 있을 때까지 기다렸다. 업데이트가 시작된 직후 업데이트 앱에 필자의 ‘뱅크 오브 아메리카(Bank of America)’ 앱도 포함된 사실을 확인했다.

매우 당황스러웠다. 악성 해킹인지, 의문의 해커가 필자의 기기에서 뱅크 오브 아메리카 앱 통제 권한을 장악한 것인지 걱정되었다. 구글 플레이스토어가 아닌 삼성 갤럭시스토어가 갑자기 오랫동안 기기에 설치된 뱅크 오브 아메리카 앱을 업데이트한 이유는 무엇인가? 그동안 이와 같은 일을 접한 적이 없었다. 하지만 이내 필자만 겪은 일이 아니라는 사실을 알게 되었다. 지난 몇 년간 안드로이드 사용자는 레딧, 삼성 지원 온라인 포럼, 그 외 온라인 플랫폼 여러 곳에서 전혀 예상하지 못한 다른 앱스토어에서 앱 업데이트를 진행하는 상황과 관련하여 우려를 표했다.

필자가 뱅크 오브 아메리카 앱 업데이트와 관련하여 느낀 불안담은 안드로이드의 강력한 처벌 문제에 관심을 두는 계기가 되었다. 바로 구글이 조만간 미국 법원의 명령에 따라 안드로이드 장악력 상황 악화 가능성을 경고한 것이다. 법원 명령은 구글에 타사 앱스토어를 추가로 적용하도록 요구하는 방식으로 구글의 불법 플레이스토어 독점을 저지하는 것을 목표로 한다. 법원 명령이 의도한 바와 같은 효과를 보이면서 구글이 패소한다면, 앱 업데이트 과정에서 사용 중인 스마트폰 전체에서 지원하는 앱스토어 수가 증가하여 놀라는 안드로이드 사용자 수가 증가할 것이다.

앱스토어 경쟁은 구글 내부에서 처벌이라고 칭하며, 생활과 재정, 데이터의 여러 요소처럼 문제를 이끈다. 앱스토어 경쟁은 샌프란시스코 연방 배심원이 구글 플레이스토어를 불법 독점이라고 선언하는 결과로 이어졌다. 그 시작은 에픽 게임즈(Epic Games) 측에서 포트나이트를 구글 플레이스토어에 공유하지 않고 배포하고자 할 때 어려움을 겪어, 이를 구글의 심각한 불공정 판매라고 보면서 시작되었다.

에픽 게임즈가 개발한 자체 앱스토어를 포함한 대다수 앱스토어는 사용자에게 앱 내 결제로 더 많은 비용을 청구하고자 하면서 앱 내부와 여러 앱 간의 사용자 활동을 더 자세히 파악하고자 한다. 사용자의 앱스토어와의 상호작용이 많을수록 앱스토어 운영사의 소득과 심층 분석 정보를 얻을 기회가 증가한다.

구글은 안드로이드 업계가 사용자 활동이 악화된 상태로 두게 될 수도 있는 확고한 경계를 조율하면서 에픽 게임즈의 반독점 분쟁을 이어갔다. 예를 들어, 구글의 처벌은 특정 앱 실행 중단을 초래할 수도 있으며, 구글은 오류가 발생하는 앱이 증가할 가능성을 잠재적인 단점 중 하나로 지목했다. 제임스 도나토(James Donato) 미국 지방법원 판사가 소송 판결문 초안을 작성하면서 접하게 되는 난제는 사용자가 지금보다 더 불편한 앱 탐색 경험으로 분노할 수도 있는 새로운 혼란을 겪을 수밖에 없는 상황을 피한 상태에서 직접 사용하고자 하는 앱스토어를 자유롭게 선택하는 등 사용자의 통제 권한을 추가로 부여하는 방안을 찾는 것이다.

삼성과 뱅크 오브 아메리카는 와이어드의 의견 공개 요청에 즉시 답변하지 않았다. 구글과 에픽 게임즈는 의견 공개 요청을 거부했다.

여러 앱스토어에서 처리하는 앱 업데이트는 제법 개방적인 리눅스 플랫폼에 깊이 뿌리내린 안드로이드로 거슬러 올라간다. 이 부분에는 몇 가지 장점이 있다. 앱 업데이트 단계에서 보안 검토와 기타 스토어 특수 확인 작업을 처리하여 여러 앱스토어에서 여러 차례 다운로드가 진행될 수 있다. 보안 기업 비트디펜더(Bitdefender) 위협 연구 및 보고 책임자 보그단 보테자투(Bogdan Botezatu)는 스마트폰에 설치한 앱스토어 모두 앱 업데이트를 진행하도록 하면, 앱이 최대한 빨리 버그나 보안 취약점을 해결하도록 할 수 있다고 설명했다. 그는 “사용자가 업데이트를 걱정할 필요가 없다”라고 말했다.

와이어드가 보안 연구 기업 디펜시브 랩 에이전시(Defensive Lab Agency) 공동 창립자 에스더 온프로이(Esther Onfroy)에게 인기 앱 분석 의뢰 후 구글 플레이스토어와 갤럭시스토어에서 같은 앱 사본을 다운로드했을 때 차이점이 없다는 고무적인 분석 결과를 확인했다.

온프로이는 여러 앱스토어를 통한 업데이트에도 위험성이 있지만, 그 위험성은 고립되었다고 설명했다. 보안이 약한 앱스토어는 악성 업데이트 유포 목적으로 악용될 수 있다. 또, 기기에 더 많은 앱스토어를 추가하면, 한 가지 이상의 보안 침해가 발생할 가능성이 커진다. 앱스토어는 보안 침해를 유발하는 데이터 수집 형태를 실현하는 코드를 숨길 수도 있다.
 
사용자가 제 기능을 하지 못하는 일부 앱스토어가 배포하는 업데이트의 미묘한 차이를 접할 가능성이 커질 수도 있다. 구글 제품 관리소장 에드워드 커닝햄(Edward Cunningham)은 2022년, 소장을 통해 도나토 판사에게 스마트폰 제조사 오포의 앱스토어가 권한이 없는 오래된 구글 크롬 브라우저 업데이트를 배포한 사실을 언급했다. 해당 업데이트를 설치한 사용자는 크롬에서 웹 페이지를 실행할 수 없는 문제를 겪었다.

레딧에서는 아마존 앱스토어를 통해 설치한 앱을 구글 플레이스토어에서 업데이트하여 구독 기능 접근 권한이나 아마존 마켓플레이스 고유 가상화폐 결제가 어려워졌다는 불만을 토로하는 사용자를 어렵지 않게 찾아볼 수 있다. 2024년 6월, 구글 변호사는 소장을 통해 사용자가 앱 내 구매 기능과 구독 서비스 사용 권한을 잃을 수 있다는 사실을 인정했다. 앱스토어는 다양한 청구 시스템을 지원한다. 현재 앱 업데이트에서 지원하는 청구 시스템은 구글이 지원하는 여러 청구 시스템 중 하나에 해당한다. 따라서 에픽 게임즈의 스토어에서 설치한 앱을 구글 플레이스토어를 통해 업데이트한다면, 에픽 게임즈가 아닌 구글이 앱 내 구매 수수료를 받게 된다. 또, 업데이트 이전 구매한 상품이나 서비스는 초기 의도대로 실행하지 못할 수도 있다.
 
여러 앱스토어를 통해 앱 업데이트를 설치한다면, 앱 충돌이 증가할 수도 있다. 간혹 앱 개발자가 최근 전 세계 전산 장애를 일으킨 크라우드스트라이크(CrowdStrike) 사태처럼 심각한 재앙을 피하고자 배포 전 버그 해결 목적으로 사용하는 시차를 둔 출시를 앱스토어가 방해하는 문제가 발생할 수 있다는 점이 그 부분적인 원인이다. 

처벌 문제와 관련한 혼란이 추가된 탓에 앱 개발자는 인증이나 버전 숫자가 다른 각각의 앱스토어에 업데이트를 배포하는 방식으로 여러 앱스토어의 업데이트를 제한할 수 있다. 그러나 사용자가 앱 업데이트를 진행할 앱스토어를 변경한다면, 선호하는 앱스토어에서 신규 버전 앱을 다시 설치해야 할 수도 있다. 이 과정에서 데이터 일부가 사라질 수도 있다. 사용자는 현재 사용 중인 앱 버전을 선호하여 현재 버전을 유지할 수 있다. 하지만 이때 특정 앱스토어에서 업데이트 배포를 비활성화하면서 다른 앱스토어에서도 업데이트 비활성화를 적용해야 한다는 사실을 인지하지 못한다면, 실망할 수도 있다.

예일대학교 법학대학원 사이버 보안 교수 겸 예일 프라이버시 연구소(Yale Privacy Lab) 창립자 션 오브라이언(Sean O’Brien)은 사용자에게 안드로이드 처벌 전망을 더 자세히 알려야 하며, 안드로이드 통제 권한을 추가로 부여해야 한다고 주장한다. 그는 “보안 문제를 인지한 상태에서 스마트폰에서 앱 업데이트를 설치하는 사용자가 단 한 명이라도 존재해서는 안 된다”라고 말했다.

삼성 갤럭시스토어에서 구글 플레이스토어를 통해 설치한 앱 업데이트를 진행할 때 삼성을 통해 처리 중인 업그레이드 사항의 장점을 명시하지 않는다. 필자는 삼성이 스마트폰에 설치된 뱅크 오브 아메리카 앱 업데이트를 진행하는 이유를 알 수 없었다. 또, 플레이스토어에서 처음 설치한 뱅크 오브 아메리카 앱을 갤럭시스토어를 통해 업데이트할 때 얻을 수 있는 바와 잃게 되는 바도 전혀 알지 못했다.

2023년, 필자의 문의에 답변한 삼성 고객서비스 관계자는 “앱 개발자가 기기나 플랫폼마다 최적화되도록 앱의 특정 버전을 생성할 수 있다”라고 안내했다. 또, 갤럭시스토어의 뱅크 오브 아메리카 앱이 추가 기능이나 개선 사항을 제공한다고 답변했으나 구체적인 사항을 언급하지는 않았다.

사용자 불만이 끊이지 않았으나 안드로이드 처벌은 안드로이드의 15년 역사 동안 널리 주목받지 못했다. 2023년 말, 구글이 갑자기 안드로이드 14를 배포하면서 문제를 해결하고자 했다. 이때까지 삼성 갤럭시스토어처럼 안드로이드 기기에 사전 설치된 앱스토어는 사용자의 명확한 허락이나 눈에 띄는 알림이 없어도 어떤 앱이든 업데이트 설치가 가능했다. 사용자가 다운로드한 앱스토어는 과거, 다른 앱스토어에서 설치한 앱 업데이트를 사용자 동의 없이도 배포할 수 있었다. 하지만 지금도 같은 문제가 발생하고 있다.

안드로이드 14는 구글을 제외한 타사의 앱스토어를 특정 앱의 단독 업데이트 출처로 선언하는 것을 허용하기 시작했다. 사용자는 여러 앱스토어에서 업데이트 설치 시 앱 기능에 지장을 줄 수 있다는 메시지 알림을 받아들였을 때만 어떤 앱스토어에서든 업데이트를 진행할 수 있다. 2024년 2월, 구글 대변인은 IT 매체 안드로이드폴리스와의 인터뷰에서 “외부 앱스토어를 통한 앱 업데이트 허용은 사용자가 다른 스토어에서 설치한 앱에 예상치 못한 업데이트가 적용될 일이 없다는 사실을 보장한다”라고 말했다.

그러나 전 세계 안드로이드 기기 중 안드로이드 14를 실행하는 기기는 약 1/4로 추산된다. 또, 앱스토어가 특정 앱의 단독 업데이트 권한을 주장했는지도 확실하지 않다.

에픽 게임즈는 구글 플레이스토어 독점 상태를 해결할 방안으로 구글이 안드로이드14 기능을 변경하는 방향을 원했다. 에픽 게임즈 측은 도나토 판사에게 구글이 같은 앱스토어에서 모든 앱 업데이트를 1~2회 클릭만으로 설정할 수 있도록 요구할 것을 촉구했다. 그러나 커닝햄 소장은 도나토 판사에게 앱스토어 한 곳에서 여러 앱을 대거 업데이트한다면, 사용자가 중요한 업데이트 사항을 놓칠 수 있다는 점에서 결국에는 구글이 해결하고자 한 안드로이드 14의 해결책의 문제가 다시 발생할 것이라고 주장했다. 또한, 사용자가 앱에서 한 번 클릭하여 기기에 설치된 모든 앱스토어의 업데이트를 실행할 수 있는 기존 설정 유지를 선호한다고 덧붙였다.

에픽 게임즈는 모든 앱에서 업데이트가 필요하다면, 현재 업데이트 과정으로 구글 플레이스토어의 개입을 절대로 배제할 수 없다는 점을 우려한다. 에픽 게임즈 담당 변호사는 도나토 판사에게 보낸 소장에 “안드로이드 처벌을 지속하는 구글의 제안은 플레이스토어에서 벗어나 외부 앱스토어로 업데이트 소유권을 전환할 때 불이익을 가한다”라며, “플레이스토어는 사용자가 다른 앱스토어의 업데이트를 선호해도 계속 업데이트를 적용한다”라고 작성했다.

전반적으로 에픽 게임즈는 구글 플레이스토어의 다른 앱스토어 다운로드 허용을 촉구한 것이다. 구글을 제외한 타사 앱스토어가 구글 플레이스토어에 등록된 여러 앱을 추가하여 사용자에게 설치하도록 제공하는 일은 사용자가 앱스토어 목록을 검색할 만한 가치를 부여한다. 구글은 경쟁사 앱스토어로 직접 연결되지 않는 앱 다운로드와 업데이트를 관리하고자 한다. 구글은 소장을 통해 에픽 게임즈의 제안을 적용하려면, 거액의 개발 비용을 부담해야 한다고 반박했다.

도나토 판사 앞에서 진행된 청문회에서 양측 변호사와 기술 전문가 모두 구글이 제안된 요구사항을 수개월 혹은 1년 이상 준수해야 하는지, 혹은 실질적으로 변경 사항의 적용 효과가 남는지 주장했다. 커닝햄 소장은 도나토 판사에게 “구글이 다루는 해결책에는 복잡한 요소가 꽤 많다. 모든 해결책이 실제로 적용하기 어렵다는 뜻은 아니지만, 시간이 걸릴 것이라는 의미이다”라고 말했다.

도나토 판사는 최종 판결 선고까지 최소 2주가 걸릴 수 있다고 밝히며, 3인으로 구성된 위원회를 확립하여 구글의 규정 준수 여부를 감독할 것이라고 말했다. 에픽 게임즈와 구글 측에는 각자 기술 전문가와 최소 1회 면담할 것을 제안했다. 양측 모두 사건 담당에 개입할 앱 개발 업계 관계자를 선정했다. 도나토 판사의 심문은 사용자 이익을 조사할 예정이라는 사실을 시사했다. 도나토 판사는 “배심원단의 잘못된 결론을 해결하는 데 전념할 것이다”라고 말했다. 도나토 판사가 문제가 없다는 결론을 내린다면, 사용자가 앱 업데이트 문제를 두고 씨름하면서 화를 낼 일이 없을 것이다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
Why Did Samsung Take Control of My Banking App? Inside Android’s ‘Clobbering’ Dilemma