신호 슈퍼앱 아키텍처의 구조적 신뢰 남용 가능성 — 러시아 MAX 사례 연구

요약

한 연구가 제3자 미니앱을 하나의 앱 안에 호스팅하는 슈퍼앱을 신뢰할 수 있는 중개자로 전제해 온 지난 10년간의 보안 연구 관행에 반박했다. 저자들은 모기업이 온라인 발언에 대한 국가 기소와 깊이 연루된 것으로 알려진 러시아의 MAX를 사례로 삼아, 슈퍼앱이 미니앱의 화면을 무단으로 캡처하고 로컬 저장소를 읽고 쓰며 임의의 자바스크립트를 실행 환경에 주입할 수 있음을 실증했다. 또한 네트워크 트래픽을 가로채고 인증 컨텍스트를 탈취해 흔적을 남기지 않고 사용자를 사칭할 수 있다는 점도 보였다. 중국의 위챗과 이란의 Bale도 비교 사례로 제시됐는데, 위챗은 미니앱 전반의 사용자 활동을 대규모로 추적한 사실이 확인된 바 있고 Bale은 세계 최장 인터넷 차단에 국가 지원 형태로 연루된 것으로 보도됐다. 연구는 이런 감시 능력이 우연이 아니라 슈퍼앱 아키텍처 설계 자체가 부여하는 특권에서 비롯된 구조적 문제라고 결론짓고, 모바일 운영체제와 앱스토어 차원의 시급한 개입을 촉구했다.