구글이 안드로이드 17에서 "고급 보호(Advanced Protection)" 기능을 켜면, '접근성 서비스(AccessibilityService)' API를 인증된 접근성 도구 앱에만 사용할 수 있도록 제한한다고 발표했습니다. 접근성 서비스는 원래 시각장애인 등을 돕기 위한 기능이지만, 화면 읽기와 조작 권한이 막강해서 뱅킹 악성코드나 스파이웨어가 이를 악용해 금융 앱에서 몰래 돈을 빼가거나 키보드 입력을 가로채고, 가짜 로그인 화면을 띄우는 등의 공격에 자주 이용돼 왔습니다. 이번 조치로 검증되지 않은 앱은 이 기능을 쓸 수 없게 되어 주요 공격 경로 하나가 막히게 됩니다. 이 외에도 안드로이드 17에는 포렌식 로그 기능, USB 침입 방지, 위험한 웹 기술 차단, 인증 실패 시 기기 잠금 등 여러 보안 강화 기능이 함께 추가됐습니다.
구글이 안드로이드 17에서 고급 보호 모드를 켤 경우, 접근성 서비스 API 사용을 인증된 접근성 도구 앱으로만 제한하는 보안 조치를 발표했다.
뱅킹 악성코드와 스파이웨어가 접근성 서비스를 악용해 금융 앱에서 부정 이체를 하거나 키로깅, 가짜 로그인 화면 표시 등을 해온 공격 경로가 차단된다.
접근성 서비스 API가 화면 정보를 읽고 다른 앱과 상호작용할 수 있는 강력한 권한을 가지고 있어, 사용자를 속여 활성화시키면 악성코드가 이를 무기로 악용할 수 있었다.
구글은 사이드로드 앱의 접근성 서비스 활성화 차단, 통화 중 보호, accessibilityDataSensitive 플래그, 고급 보호 모드(AAPM) 등 여러 조치를 단계적으로 적용했고, 이번 안드로이드 17 업데이트로 추가 강화했다.
기업은 임직원 단말에 안드로이드 17 고급 보호 모드와 침입 로깅(Intrusion Logging) 등 신규 기능을 활성화하도록 안내하는 것이 좋다.
본문
Ravie Lakshmanan 2026년 10월 2일 모바일 보안 / Android
구글은 Advanced Protection(고급 보호)이 활성화된 경우, 안드로이드의 접근성 서비스(accessibility services)에 대한 접근을 Accessibility Tools(접근성 도구)로 분류된 검증된 애플리케이션으로만 제한하는 새로운 보안 조치를 발표했다.
악성 안드로이드 애플리케이션이 이 API를 악성코드와 금융 사기의 주요 통로로 악용하고 있는 상황에서, 이 거대 기술기업은 이번 조치가 주요 공격 경로를 차단할 것이라고 밝혔다. Advanced Protection은 잠재적 위협으로부터 기기를 보호하기 위해 안드로이드의 모든 보안 기능을 켜는 보안 설정이다.
"Android 17에서 Advanced Protection을 활성화하면 AccessibilityService 접근이 Accessibility Tools로 분류된 검증된 애플리케이션으로만 자동 제한되어, 필수적인 보조 기술(assistive technology)을 유지하면서도 주요 공격 경로를 차단합니다,"라고 구글은 목요일 밝혔다.
안드로이드 AccessibilityService API는 애플리케이션이 백그라운드에서 실행되고, 사용자 인터페이스 이벤트를 가로채며, 사용자를 대신해 다른 애플리케이션과 상호작용할 수 있게 해주는 강력한 프레임워크다.
이 API의 주된 목적은 화면 읽기 프로그램(screen reader)이나 음성 제어 시스템 등을 통해 장애가 있는 사용자를 돕는 것이지만, 이 특권적 접근 권한은 루트 권한 없이도 민감한 데이터를 빼내고 악의적인 행동을 수행하기 위해 뱅킹 트로이목마와 스파이웨어에 의해 악용되어 왔다.
다시 말해, 사용자가 사회공학적(social engineering) 구실에 속아 서비스를 활성화하면, 악성코드는 정상적인 보조 기능을 강력한 사이버 무기로 전환하여 설치된 금융 앱에서 프로그램적으로 부정 자금 이체를 시작하거나, 키 입력을 기록하거나, 정상 앱 위에 가짜 로그인 화면을 그리거나, 스스로에게 추가적인 민감한 권한을 부여할 수 있다.
"접근성 서비스는 화면과 직접 상호작용하도록 설계되어 있기 때문에, 악의적인 행위자는 이를 악용해 민감한 데이터를 읽거나, 악성코드를 설치하거나, 제거(삭제)를 막을 수 있습니다,"라고 구글은 밝혔다.
최근 몇 년간 구글은 이러한 악용에 대응하기 위해 다음과 같은 여러 조치를 취해왔다 -
- 사이드로드된(sideloaded) 앱이 접근성 서비스를 활성화하는 것을 차단
- 사용자가 Google Play Protect를 끄거나, 앱을 사이드로드하거나, 접근성 권한을 부여하는 것을 막는 통화 중 보호 기능
- 개발자가 뷰(view)나 컴포저블(composable)에 민감한 데이터가 포함되어 있음을 표시해, 악성 앱이 민감한 뷰 데이터에 접근하거나 상호작용하는 것을 막을 수 있게 하는 accessibilityDataSensitive 플래그 설정
- Android Advanced Protection Mode(AAPM)를 사용해 특정 종류의 앱이 접근성 서비스 API를 사용하지 못하도록 방지
접근성 보호 외에도, Android 17은 다음과 같은 여러 다른 보안 개선 사항도 함께 제공한다 -
- Intrusion Logging(침입 로깅) - 정교한 스파이웨어 공격을 조사하기 위한 지속적이고 개인정보를 보호하는 포렌식 로깅 기능을 활성화
- USB Protection(USB 보호) - 공격자가 물리적 USB 연결을 통해 기기에 무단으로 접근하는 것을 방지
- Disable WebGPU(WebGPU 비활성화) - 정교한 브라우저 기반 취약점 공격에 대한 노출을 줄임
- Failed Authentication Lock(인증 실패 잠금) - 추가 탐색을 막기 위해 기기를 완전히 잠금으로써 물리적 변조와 무차별 대입 공격(brute-force) 시도로부터 보호
- View Supporting Apps(지원 앱 보기) - 설치된 앱 중 어떤 앱이 Advanced Protection 상태를 확인했는지 사용자가 볼 수 있게 함
"개발자는 Advanced Protection이 활성화되었을 때 이를 알림받을 수 있어, 이 사용자군을 위해 가지고 있는 모든 기능을 자동으로 활성화할 수 있습니다,"라고 구글은 밝혔다. "이미 Advanced Protection을 사용하고 있다면, 이러한 새로운 기능이 기기에 도착하면 알림을 보게 될 것입니다. 새로운 포렌식 기능을 활용하려면, Advanced Protection 설정 페이지로 이동해 Intrusion Logging을 수동으로 활성화하세요."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
