은행 앱이 설치 목록을 훑는다 — '미니스' 탐지 연락을 받았다는 이용자

오후 2시 32분, 에르메스단 채팅방에 스크린샷 한 장이 올라왔다. 한 참여자가 방금 하나은행에서 온 연락이라며 화면을 공유했다 — 자신의 안드로이드 스마트폰에 설치된 '미니스'라는 애플리케이션이 악성 앱으로 탐지됐다는 내용이었다.

"오 여러분 방금 하나은행에서 연락이 왔는데 미니스가 악성 어플로 탐지된다고. 요렇게 연락이 왔네요"

이어진 설명은 더 구체적이었다. 해당 참여자는 하나원큐 앱을 오랜만에 열었더니 28일 새벽 1시에 설치한 미니스가 탐지 목록에 올라와 있었다고 전했다. 미니스는 스마트폰 안에서 직접 작동하는 온디바이스 AI 에이전트로, 방 안에서는 며칠 전부터 화제였던 제품이다. 문제는 탐지 알림에서 그치지 않았다 — 다른 참여자들도 은행 거래까지 실제로 차단된다는 소식에 놀라움을 감추지 못했다.

이 사례가 방을 술렁이게 한 지점은 단순한 오탐 여부가 아니었다. 참여자들이 곧바로 궁금해한 건 '은행이 어떻게 내 스마트폰에 무엇이 설치됐는지를 알았는가'였다. 국내 은행 앱은 대개 보안 SDK를 통해 기기에 설치된 애플리케이션 목록을 스캔하는 권한을 요구해왔고, 이 권한은 원래 피싱·원격제어 악성코드를 걸러내기 위한 장치였다.

그런데 그 스캔 범위가 정식 마켓 밖에서 배포되는 온디바이스 AI 에이전트까지 포섭하면서, 사용자 동의 여부와 별개로 설치 목록 자체가 금융권 탐지 시스템에 그대로 노출되는 구조가 도마에 올랐다. 은행 입장에서는 출처가 불분명한 앱을 위험 신호로 분류하는 게 방어적 조치겠지만, 사용자 입장에서는 자신이 무슨 앱을 깔았는지가 계좌 거래 가능 여부를 좌우한다는 사실이 낯설게 다가온 셈이다.

플랫폼별 차이도 눈에 띄었다. 다른 참여자는 아이폰에서는 하나은행 앱이 같은 방식으로 탐지하지 않는 것 같다고 전하며, 안드로이드에서만 이런 검사가 작동하는 듯하다고 덧붙였다. iOS의 폐쇄적 배포 구조가 애초에 정식 마켓 밖 설치 자체를 까다롭게 만들어 탐지할 대상이 적은 반면, 안드로이드는 설치 자유도가 높은 만큼 은행 쪽 감시망도 그만큼 촘촘하게 걸려 있는 것으로 보인다.

"보안에 최악입니다 ㅜㅜ"

이 한마디는 두 갈래로 읽힌다. 은행의 감시가 지나치다는 반응일 수도 있고, 검증 안 된 경로로 깔리는 AI 에이전트 앱 자체의 위험성에 대한 경고일 수도 있다. 어느 쪽으로 읽든, 온디바이스 AI 도구를 쓰는 사람이 늘어날수록 이런 금융권 보안 시스템과의 충돌은 비슷한 형태로 반복될 여지가 있다. 이날 이 화제는 15명이 55건의 메시지를 주고받을 정도로 방 안의 관심을 오래 붙들었고, 정식 배포 전 단계의 AI 앱을 먼저 써 보는 이들 사이에서 은행 보안 정책이 새로운 변수로 떠올랐다는 인상을 남겼다.