금융보안원 참여 연구, 안드로이드 앱 50개서 메모리 정보 노출 17건 찾아

금융보안원이 12일 소개한 ISSTA 2026 연구에서 인기 안드로이드 앱 50개를 분석해 메모리에 남은 민감정보의 의도치 않은 노출 17건을 찾았다. 연구진은 운영체제 수준에서 앱 실행 중 정보의 흐름을 추적했다.

금융보안원은 12일 송성현 AI보안총괄부 팀장이 제1저자로 참여한 모바일 앱 보안 연구를 발표했다. 논문은 지난 6월 국제 소프트웨어 테스팅·분석 학술대회 ISSTA 2026의 정규 논문으로 채택됐고, 연구진은 9일 미국 캘리포니아 학회에서 발표했다. 12일은 기관 보도자료 공개일이지 논문 채택일이 아니다.

실행 중 메모리를 따라간 분석

학회가 공개한 논문 초록에 따르면 연구 도구 ‘ANDROID-MRI’는 안드로이드 운영체제 커널에 추적 기능을 넣어 앱 메모리 속 민감정보의 흐름을 살폈다. 기존 도구는 앱의 분석 방해 기능에 막히거나 짧은 순간 남는 데이터를 놓칠 수 있는데, 연구진은 이런 한계를 겨냥했다.

연구 대상은 설치 횟수가 100만 건 이상인 앱 50개다. 초록은 이전에 알려지지 않았던 메모리 정보 노출 17건을 발견했다고 밝혔다. 프로필 PIN, 유료 구독 콘텐츠, 암호화 키가 사례로 제시됐다. 이 수치는 17개 앱에서 실제 개인정보 유출 사고가 발생했다거나 공격에 악용됐다는 뜻은 아니다.

연구진은 학회 초록에서 업체 12곳이 문제를 확인했고 4곳은 수정했다고 설명했다. 다만 해당 집계는 연구 발표 자료의 시점에 해당한다. 12일 현재 나머지 문제의 수정 여부와 영향을 받는 앱의 전체 목록은 별도로 확인되지 않았다.

금융권 적용은 앞으로

금융보안원은 이번 성과를 토대로 금융권 모바일 앱 점검에 쓸 프레임워크를 개발할 계획이라고 밝혔다. 연구에서 취약점을 찾은 것과 금융회사 앱에 새 점검 체계를 실제로 적용한 것은 구분해야 한다.

금융보안원 보도자료는 이 기술을 ‘AI 기반’으로 소개했다. 반면 학회 초록이 구체적으로 설명한 분석 방식은 운영체제 커널에서의 정보 추적이다. 공개된 초록만으로 AI가 어느 단계에 사용됐는지 또는 AI가 탐지 성능에 얼마나 기여했는지는 확인하기 어렵다.

대표 이미지: AI 생성 이미지 / 데이마크

자료: 금융보안원 2026년 10월 12일 보도자료 https://www.fsec.or.kr/bbs/detail?menuNo=69&bbsNo=12123

ISSTA 2026 연구 발표·초록 https://conf.researchr.org/details/issta-2026/issta-2026-research-papers/107/Ghosts-in-the-Memory-Detecting-Unintended-Sensitive-Data-in-Android-Apps