수백만 다운로드를 기록하며 최근 인기 상승세를 타고 있던 채팅앱 '투톡(ToTok)'이 대규모 감시용도로 사용됐다는 사실이 드러나 충격을 주고 있다.
뉴욕타임스가 22일 아랍에미리트(UAE) 기반의 인기 채팅앱 '투톡'이 위장된 비밀 스파이 도구라는 보도를 내놓은 직후 구글과 애플은 자사 구글플레이와 앱스토어에서 해당 앱을 제거한 것으로 확인됐다. 토톡이 스파이 앱이라는 사실을 정부 관계자가 확인해주면서다.
불과 몇달 전 등장한 투톡은 UAE에서 가장 많이 사용되는 채팅앱으로 뜬 뒤 미국에서도 큰 인기를 끌며 세계 각국에서 플랫폼 별로 수백만 다운로드를 기록했다. 하지만 이 앱 소유회사인 브리제이 홀딩(Breej Holding)은 UAE 아부다비 기반 해킹 회사인 '다크매터(DarkMatter)'와 밀접한 관련이 있는 것으로 드러났다. 다크매터에는 UAE 정보 관리들과 전직 미 국가안보국(NSA) 직원, 전직 이스라엘 군사정보요원들이 일하고 있다.
중국 최대 통신 및 제조사인 화웨이도 최근 투톡 앱 심사를 승인했던 것으로 확인돼 잠정 피해자는 더 늘어날 전망이다.
투톡 앱은 고화질 비디오 및 오디오 채팅 앱이지만 실제는 사용자간 대화, 동선, 관계, 스케줄, 공유 사진 등을 수집하고 분석하는데 사용된 위장 스파이 앱으로 현재 미국 연방수사국(FBI)의 사이버범죄 혐의로 조사를 받고 있는 것으로 알려졌다.
사용자의 대부분은 UAE 거주자이지만, 큰 인기를 얻으며 다른 중동과 유럽, 아프리카, 북미지역에서도 다운로드 됐다. 앱 분석업체 앱 애니에 따르면 투톡은 지난 한 주 미국에서 가장 많이 다운로드 한 메시징 앱으로 꼽혔다.
UAE에서는 왓츠앱, 스카이프와 같은 메시징 앱 사용이 차단되고 있지만 투톡은 UAE 정부의 엄격한 규제를 피하려는 사용자들에게 큰 인기를 끌었다.
글로벌 양대 앱마켓인 구글과 애플은 보도직후 투톡 앱을 퇴출했다. 구글은 투톡이 자사 정책을 위반했다며 자세한 내용을 공개하기 어렵다는 입장인 반면, 애플은 확인 중에 있다고 전했다.
구글은 비즈니스 인사이더에 "보안 및 개인정보 침해에 대한 보고를 심각하게 보고 있다"며 "정책을 위반하는 행동을 발견하면 즉시 조치를 취하고 있다"고 밝혔다.
NYT는 투톡 앱이 특정 회사의 스파이 도구가 아니라 UAE 정부가 사용자 감시에 사용할 수 있는 도구라고 지적했다.
전문가들은 시민 감시를 강화해온 사우디아라비아, 아랍에미리트, 카타르 등 페르시아만 국가들이 그간 이스라엘과 미국 해킹 업체들에 의존해왔지만 투톡의 사례는 이 같은 중개업체에서 벗어나 독자적으로 목표물을 감시하려는 적극적인 행동으로 표출된 사례라고 평가했다.
미 정보당국은 '팍스AI'도 투톡과 관계가 있다고 보고소 있다. 팍스 AI는 다크매터와 관련있는 아부다비의 데이터분석 회사로 UAE 신호정보국과 같은 건물을 사용한다.
투톡 앱의 설계는 비교적 간단했다. 전 NSA 해커 출신 패트릭 워드가 해당 앱을 분석한 결과 무료 화상통화 YeeCall을 제공하는 중국어 메시징 앱을 사실상 복제해 만든 것으로 보인다고 전했다.