[해외보안뉴스] 안드로이드 17, 고급 보호 모드서 검증된 앱에만 접근성 서비스 허용
· 2026-10-02 09:00
· 조회 9
· 원문 ↗
구글이 안드로이드 17(Android 17)의 '고급 보호 모드(Advanced Protection)'에서 접근성 서비스(Accessibility Services) 권한을 검증된 '접근성 도구' 앱으로만 제한하는 새로운 보안 기능을 발표했습니다. 그동안 악성 안드로이드 애플리케이션들이 접근성 API를 악용해 악성코드를 유포하고 금융 사기를 저지르는 사례가 빈번하게 발생함에 따라, 구글은 이를 주요 공격 통로로 판단하고 근본적인 차단책을 마련했습니다.
이번 조치는 안드로이드 생태계 전반의 보안성을 향상시키지만, 특히 고위험군 사용자(기자, 인권 운동가, 기업 임원 등) 및 고급 보호 모드를 활성화한 일반 사용자에게 직접적인 영향을 미칩니다. 접근성 권한은 기기의 화면 제어, 키보드 입력 탈취, 타 앱의 권한 강제 승인 등 강력한 제어가 가능하여 뱅킹 트로이목마나 스파이웨어의 주요 악용 대상이 되어 왔으며, 이번 제한을 통해 이러한 공격 시도가 대폭 줄어들 것으로 예상됩니다.
앱 개발자는 자사 애플리케이션이 정당한 접근성 기능을 수행하는 경우 구글의 심사 및 검증 기준을 준수하여 공식적인 '접근성 도구'로 분류받아야 합니다. 또한 일반 사용자는 금융 피해 및 개인정보 유출 예방을 위해 안드로이드 17 업데이트 이후 고급 보호 모드를 활성화하고, 불필요한 접근성 권한을 요구하는 앱의 설치 및 권한 승인을 자제해야 합니다.
♥ 추천 0
그동안 Accessibility API는 화면 캡처나 권한 우회 등 오남용으로 인한 악성코드의 주요 공격 경로였습니다. 이번 검증 정책 강화는 악성 앱의 시스템 제어권 획득을 아키텍처 수준에서 효과적으로 차단하는 반가운 변화입니다. 개발자 입장에서는 편의 기능 구현을 위해 접근성 서비스에 우회적으로 의존하던 기존 코드를 재검토하고, 구글의 공식 대체 API로 신속히 마이그레이션해야 할 것입니다.
접근성 API는 뱅킹 트로이목마와 악성 드로퍼(Dropper)의 핵심 권한 탈취 경로였던 만큼, 이번 조치는 기존 안드로이드 악성코드의 자동화된 권한 승인 및 오버레이 공격을 상당 부분 무력화할 것입니다.
이에 따라 공격자들은 검증된 접근성 앱 자체의 공급망을 공격하거나, 사용자를 교묘히 속여 '고도화된 보호' 모드를 직접 해제하도록 유도하는 사회공학적 피싱 기법으로 빠르게 선회할 것으로 보입니다.
결국 공격의 축은 API 오남용에서 사용자 심리 허점 공략 및 대체 권한(알림 접근, 미디어 프로젝션 등)의 악용으로 이동할 가능성이 높습니다.
안드로이드 접근성 API 남용은 모바일 엔드포인트를 위협하는 대표적인 공격 경로였던 만큼, 구글의 이번 강제 제한 조치는 금융 사기 및 악성코드 리스크를 대폭 낮출 것입니다.
보안 거버넌스 관점에서 임직원 업무용 및 BYOD 기기 대상의 MDM/EMM 보안 정책에 '고급 보호 모드' 준수를 반영하는 방안을 조속히 검토해야 합니다.
아울러 사내에서 활용 중인 모바일 앱들의 서비스 차질이 없는지 사전 점검을 병행하여 보안과 업무 연속성의 균형을 맞추겠습니다.