와이어드(WIRED)는 11월 2일 조사 보도를 내고, 서로 연관된 약 400개의 앱과 웹사이트가 겉으로는 반려동물 초상화, 어학 학습, AI 피트니스 코치 같은 도구인 척하다가 특정 조건에서 다른 화면을 불러온다고 전했다. 이 화면에서는 다른 사람의 사진을 올려 노골적인 이미지와 영상을 만들 수 있다. 이런 콘텐츠는 동의 없는 성적 딥페이크 학대에 해당하며, 일부는 폭력까지 포함한다.
단서는 페이스북과 인스타그램의 동영상 광고에서 시작됐다. 연구자들은 수천 건의 노골적인 광고를 추적해 애플과 구글 앱 마켓의 앱까지 도달했고, 결제는 Apple Pay와 Google Pay로 이뤄졌다.
심사를 통과한 뒤에 바뀐다
보도에 따르면 앱은 다운로드할 때마다 사용자의 유입 경로, 언어, 고유 식별자 등을 서버로 보내고, 서버가 일반 버전과 노골적인 버전 중 무엇을 보여줄지 정한다. 해당 메타 광고를 타고 들어와 내려받는 것이 발동 조건 중 하나로 보이지만, 구체적인 규칙은 알려지지 않았다.
애플은 이 수법을 "bait-and-switch"라고 부른다. 개발자가 심사 통과 뒤에 콘텐츠 출처를 바꿔치기하는 방식이다. 심사자에게는 반려동물 초상화 앱으로 보이지만, 돈을 낸 사용자에게는 전혀 다른 화면이 나올 수 있다.
보도가 든 사례를 보면, Viefur는 스스로를 "반려동물 초상" 앱이라고 소개하며 약 4달러에 코인 130개를 판다. DiffAI는 2025년 12월에 만들어졌고 구글 플레이 다운로드가 10만 건을 넘었다.
규모에 관한 수치는 여러 연구 기관에서 나왔다.
- AI Forensics: 9월 기준 구글 플레이에 관련 앱이 27개 남아 있었고 누적 다운로드는 35만 건이 넘었다. 상당수는 전 연령 이용가로 표시돼 있었다. 올해 관련 노골적 광고는 수만 건이고, 정점에는 매주 약 30개의 웹사이트가 등록됐다
- Infoblox: 연관 도메인 500개 가까이를 식별했다. 연구원은 이들이 "같은 코드를 돌리고 서로를 참조한다"고 말했다
AI Forensics의 연구원 Paul Bouchaud의 판단은 다음과 같다.
"This is an organized, commercially run operation: One operator behind hundreds of disposable apps and domains" (조직적이고 상업적으로 운영되는 활동이다. 수백 개의 일회용 앱과 도메인 뒤에 운영자 하나가 있다.)
플랫폼의 대응
애플은 와이어드가 제보한 뒤 앱 19개를 내렸고, 이런 도구를 더 제한하도록 규정을 갱신했다고 밝혔다. 구글은 논평 요청에 답하지 않았지만, 기자가 연락하기 전에 이미 해당 앱 대부분을 삭제한 상태였다.
메타는 도메인 목록을 받은 뒤 먼저 관련 광고 3000여 건을 확인했고 약 3분의 2가 삭제됐다. 이후 광고 계정 1만 1600개, 비즈니스 페이지 4700여 개, 사용자 5200명, 페이지 1만 5000개에 조치를 했고 209개 앱의 광고 게재를 막았다고 밝혔다. 보도에 따르면 이 광고들은 이미 여러 나라 규제 당국의 조사를 불러왔다. 미국 비영리단체 Tech Transparency Project도 앞서 미성년자를 묘사한 딥페이크 광고를 발견한 바 있다.
중국어권 개발자를 가리키는 단서
이 보도에서 중국어권 독자가 지나칠 수 없는 대목은 운영자의 정체다. 와이어드와 연구자들이 근거로 삼은 것은 정황 증거의 묶음이다. 코드에 중국어 주석이 많고, 호스팅이 중국 본토 안에만 있으며, 광고 영상에 중국 영상 편집 소프트웨어의 워터마크가 찍혀 있고, 처음 등록된 사이트의 연락처와 관리자 로그인 페이지, 일부 이메일이 홍콩에 등록된 회사 KeLing Technology Limited를 가리킨다.
이는 조사에 따른 판단이며 와이어드의 표현에도 여지가 남아 있다. 이 회사는 논평 요청에 답하지 않았고, 관련 공개 정보는 기자가 문의한 뒤 삭제·수정됐다. 메타는 이 회사가 2025년에 이미 광고 게재 금지 대상이었다고 밝혔다. 회사 이름은 콰이쇼우(Kuaishou) 산하 영상 모델 Kling과 영문 철자가 다르고 보도에도 둘 사이의 관계는 언급되지 않으므로 혼동하지 않아야 한다.
덴마크 매체 DR은 9월에 이 가운데 일부를 보도한 바 있다. 지금까지 보도에는 수사기관의 입건이나 마켓 차원의 체계적인 제재가 나오지 않으며, 이 네트워크에서 얼마나 많은 앱이 아직 올라 있는지 최신 수치를 내놓은 기관도 없다.
참고 출처: 와이어드, AI Forensics, CocoLoop, Infoblox. 플랫폼 조치 수치는 애플과 메타가 언론에 밝힌 기준을 따랐고, 운영자의 정체는 조사에 따른 판단이다.