삼성, WANA 지역 스마트폰에 ironSource AppCloud 강제 탑재 논란

• 서아시아·북아프리카(WANA) 지역의 Samsung A·M 시리즈 기기에 AppCloud가 기본 설치되며, 동의·삭제·데이터 처리 투명성이 핵심 쟁점이 됨
• AppCloud는 이스라엘 설립 회사 ironSource가 개발했고 현재 Unity가 소유하며, 2022년 Samsung과의 파트너십 확대 이후 WANA 지역 신규 A·M 기기에 포함됨
• 운영체제에 깊게 통합된 구조 때문에 일반 사용자는 삭제가 어렵고, 루트 접근은 보증 무효와 보안 위험을 동반하며, 비활성화 후에도 업데이트 뒤 다시 나타날 수 있음
• 공개서한은 AppCloud가 생체정보, IP 주소, 기기 지문 같은 민감 데이터를 수집하면서도 접근 가능한 개인정보처리방침과 명확한 옵트아웃 수단을 제공하지 않는다고 비판함
• Samsung에는 데이터 처리 공개, 제거·옵트아웃 제공, WANA 지역 사전 설치 이유 설명, 향후 탑재 재검토, 관련 팀과의 회의가 요구됨

---

WANA 지역 Samsung 기기에 기본 탑재된 AppCloud

• 서아시아·북아프리카(WANA) 지역 사용자들은 Samsung A·M 시리즈 스마트폰에 사전 설치된 AppCloud 관련 문제를 보고함
• AppCloud는 사용자 지식이나 동의 없이 설치되고, 민감한 개인정보를 수집하며, 기기 보안을 해치지 않고는 제거하기 어렵다는 우려를 낳음
• Samsung은 AppCloud의 작동 방식, 수집 데이터, 사용자가 옵트아웃할 수 없는 이유를 투명하게 공개하지 않았다는 비판을 받음

ironSource, Unity, Samsung 파트너십

• AppCloud는 이스라엘 설립 회사 ironSource가 개발했고, ironSource는 현재 미국 회사 Unity가 소유함
• Samsung과 ironSource의 파트너십 확대는 2022년에 이뤄졌으며, 이후 AppCloud는 WANA 지역에 유통되는 신규 A·M 기기에 기본 포함됨
• 이스라엘 설립 회사와의 연계는 이스라엘 기업 영업이 금지된 국가에서 법적·윤리적 우려를 키움
  • 예시로 Lebanon Law 1/1955가 언급됨

삭제와 비활성화의 제약

• 분석에 따르면 AppCloud는 삭제 불가능한 앱에 가깝고, 기기 운영체제에 깊게 통합되어 있음
• 일반 사용자가 AppCloud를 삭제하려면 사실상 루트 접근이 필요하며, 이 과정은 보증 무효와 보안 위험을 초래함
• 앱을 비활성화해도 충분하지 않고, 시스템 업데이트 이후 다시 나타날 수 있음

개인정보 처리와 동의 문제

• AppCloud에는 접근 가능하고 투명한 개인정보처리방침이 없어, 사용자는 어떤 데이터가 수집되고 어떻게 쓰이는지 확인하기 어려움
• 명확한 옵트아웃 메커니즘도 제공되지 않음
• 수집 대상으로 언급된 민감 데이터는 다음과 같음
  • 생체정보
  • IP 주소
  • 기기 지문
• 사용자 동의 없는 설치는 EU GDPR 조항과 WANA 지역 국가들의 관련 데이터보호법 위반 문제로 이어질 수 있음
• Samsung 서비스 약관은 제3자 애플리케이션을 언급하지만, AppCloud나 ironSource를 구체적으로 다루지 않음

Samsung에 요구된 조치

• AppCloud의 전체 개인정보처리방침과 데이터 처리 방식을 공개하고, 모든 사용자가 쉽게 접근할 수 있게 해야 함
• 사용자가 기기 기능이나 보증을 해치지 않고 AppCloud를 옵트아웃하거나 제거할 수 있는 명확하고 효과적인 방법을 제공해야 함
• WANA 지역 A·M 시리즈 전체 기기에 AppCloud를 사전 설치한 결정에 대해 명확히 설명해야 함
• 세계인권선언 제12조의 프라이버시 권리에 맞춰 향후 기기에서 AppCloud 사전 설치를 계속할지 재검토해야 함
• WANA 지역 사용자 개인정보와 데이터 보호 접근 방식을 논의하기 위해 관련 Samsung 팀과의 회의가 요청됨

[GN⁺]

Hacker News 의견들

• 대량 감시가 최근 이란 고위 핵과학자와 군 장교들이 자택에서 표적이 된 일과 강하게 연결되어 있을 것 같음
  어느 나라 출신이든, 어느 편이든 간에 기업이 파는 고객 데이터나 사용자를 감시하고 서버로 전송하는 내장 앱 같은 “준공개” 출처만으로도 한 사람에 대해 추론하기가 그 어느 때보다 쉬워졌다는 데는 동의할 수 있을 듯함
  정보기관 입장에서는 정보 수집을 시장에 외주화할 수 있고, 전통적 방식보다 더 싸고 훨씬 편리할 가능성이 큼
  “프라이버시는 인권”이라는 말은 외면받았지만, 정치인들이 곧 이것이 국가안보 문제이기도 하다는 걸 깨닫기를 바람

  • 진실은 오버턴 창 바깥에 한참 있음
    맞음, 드론 시대의 프라이버시는 민방위 문제임. 하지만 기존 국가들은 절대 이를 인정하지 않을 것임
    국가의 구조와 제도는 이런 취약성을 만드는 대규모 개인식별정보 데이터베이스와, 공적 책임성을 위한 제도적 투명성을 전제로 하기 때문임
    그래서 그런 데이터베이스를 탈취해 표적 지정에 쓰는 반란 세력에 구조적으로 취약해짐
    기존 국가들은 납세자 데이터베이스가 충분히 안전하다는 환상을 붙잡고 있다가, 영토 통제 자체가 몇몇 요새화된 비밀 시설로 줄어들 때까지 버틸 것 같음. 드론 시대에는 지상 병력도 Operation Spiderweb 같은 것들을 막아 안전을 보장할 수 없음
    앞으로는 매우 예측하기 어렵고, 아마 극도로 폭력적인 시기가 될 듯함
  • 이스라엘이 대부분의 CPU 백도어 접근권을 갖고 있는 것 같다고 의심함
    Pegasus를 보면 이런 느낌임: 중국은 15억 인구와 많은 자원을 갖고 있고 iOS 해킹 방법을 찾으면 경제적으로 엄청난 이익을 얻을 텐데도 못 했음. 그런데 인구 700만의 이스라엘은 iOS를 여러 번 해킹했을 뿐 아니라 동맹국 감시에까지 사용함
    Pegasus의 복잡성을 분석한 글들을 봤고, 재현됐는지는 모름. 재현됐다면 논리적으로 내 생각이 틀렸다는 뜻이겠지만, 음모론자 같은 내 안의 목소리는 여전히 맞다고 느낌
    이유는 이렇다. 이스라엘에는 반도체 팹이나 연구개발 센터가 많음. 그런데 미국 입장에서 이스라엘에 팹이나 연구개발 센터를 두는 건 전혀 말이 안 됨. 그 나라는 아무 이유 없이 폭격당할 위험이 항상 있다고들 하니까
    Intel은 80년대부터 이스라엘에 팹을 뒀는데, 왜 일본·프랑스·영국·캐나다가 아니었는지 의문임. 프랑스와 영국은 미국의 가까운 동맹이고 지진이나 폭격 위험도 없음
    Intel이 모든 CPU에 Intel Management Engine을 넣기 시작한 시점과 이스라엘에 가장 큰 팹을 지은 시점을 비교했고, 이어 AMD가 Intel ME와 비슷한 PSP를 쓰기 시작한 시기와 이스라엘의 대형 침투 테스트 스타트업을 인수한 시기, 연구개발 센터를 짓기 시작한 시기가 겹치는 것도 파고들게 됨. Apple과 Qualcomm도 비슷한 이야기가 있음
    물론 전부 음모론이고 날짜가 겹친다는 것만으로는 충분하지 않음
    그래도 각자 판단할 일이고, 나는 내 기술 기기들이 이미 전부 백도어가 있다고 가정하고 다루기로 했음. 확신할 만큼의 증거는 아니지만, 내가 프라이버시를 중요하게 여기는 정도를 생각하면 충분함
  • 사람들은 핵시설을 방문한 사람들의 휴대폰을 비밀리에 추적해 집까지 따라가는 아주 멋진 비밀 해킹 작전을 상상하고 싶어함
    하지만 훨씬 더 논리적인 설명은 누군가가 MEAF의 하급 직원을 접촉했고, 그 직원이 자녀의 해외 명문대 전액 장학금 대가로 정부 조직도와 급여 기록이 든 USB를 넘겼다는 쪽임
  • 이란의 휴대전화망 시스템은 거의 전부 원래 한국 기업들이 설치했음
    일부는 중국 브랜드로 바뀌었지만, 침해된 한국 브랜드 장비가 아직 남아 있는 것으로 보임
  • 여기서 날씨 앱은 최악의 사례 중 하나임
    위치 접근 권한을 주면 거의 전부가 위치 정보를 데이터 브로커와 공유함
    오늘 날씨를 확인하고, 내일 폭격당하는 셈임

• 링크가 내려가 있어서 남김:
  https://web.archive.org/web/20250506145643/https://smex.org/...
  원문은 AppCloud가 무엇인지 꽤 많이 빠뜨렸는데, 본질적으로 Samsung이 비플래그십 기기 사용자로 수익화하는 방식이고 알림창에 설치 광고를 넣거나 앱을 조용히 설치하는 일도 가능하게 함
  개인적으로 내 기기에서 이걸 발견했다면 이를 악물고 결국 개인용 Apple 기기로 갈아타게 될 마지막 계기가 될 듯함

  • 그냥 Samsung을 안 사면 되지 않나? 내 휴대폰 브랜드가 비슷한 짓을 안 하는지 확신할 수는 없지만, 적어도 아직 뉴스에는 안 나왔음
  • Android를 버릴 필요는 없음. Fairphone이 있음: https://fairphone.com
    기본 Android도 괜찮고, 프라이버시를 더 원하면 e/OS/ 설치도 아주 쉬움
    어떤 상황에서도 Samsung 제품을 살 만하다고 결론 내리는 사람이 있다는 게 놀라움
  • 5년 된 iPhone을 사면 됨. 싸구려 휴대폰보다 여전히 나을 가능성이 높고, 지원도 더 오래 받으며, 중고가도 바닥 수준임
    최근 iPhone XS를 바꿨는데 필요해서가 아니라 새 모델이 어떤지 보고 싶어서였음
    iPhone 16은 거의 더 낫다고 보기 어렵고, XS가 여전히 대부분의 중급 Android 기기를 훨씬 앞서는데도 중고 가격이 얼마나 낮은지 보고 놀랐음
  • 플래그십 휴대폰에서도 같은 짓을 한다고 확실히 말할 수 있음. 특히 통신사판 기기가 그렇고, 직접 겪었음
    들어본 적도 없는 앱에서 알림이 여러 번 뜬 걸 봤음
    요즘 계속 드는 생각이 이거임. Samsung이 내 휴대폰에서 조용히 이런 수상한 짓을 하고, 브라우저나 웹뷰에서 텍스트를 선택해보면 드러나는 Galaxy AI 강제 적용, 제거할 수 없는 기능, 형편없는 Samsung Pay 인터페이스 같은 짜증나는 것들까지 겹치니 매일 내 기기 선택을 의심하게 됨

• “제거 불가”라는 부분은 정확하지 않음
  시스템 파티션에 있어서 완전히 제거할 수는 없지만, 아마도 adb 명령으로 비활성화할 수 있음:
  adb shell pm uninstall --user 0 com.package.name
  이 명령은 설정에서 “비활성화”가 회색으로 막힌 앱까지 포함해 어떤 앱에도 동작해서 매우 강력함. 예를 들어 내 S9에서는 이 방식으로 Galaxy Store를 비활성화했음

  • “제거 불가”라고 해놓고 “완전히 제거할 수는 없다”고 하면, 내 영어가 별로가 아니라면 그게 바로 제거 불가의 정의처럼 들림
  • Samsung 휴대폰을 쓸 때 나도 똑같이 했음
    작은 튜토리얼도 여기 써둠(https://harigovind.org/notes/removing-samsung-android-bloatw...)
    그래도 시스템 업데이트 뒤에는 이런 앱들이 바로 다시 나타났고, 업데이트 빈도도 점점 잦아졌음
    얼마 지나지 않아 처분했고, 요즘은 비교적 블로트웨어가 적은 Moto를 씀
  • 이 방법은 모든 휴대폰에서 동작하지 않음
    Motorola 같은 일부 제조사는 nodisable 기능을 활용해 이 APK들과 다른 APK의 비활성화를 막음
    내 2025 Motorola RAZR 5G의 /product/etc/nondisable에는 Dish Wireless, Tracfone/Verizon Value, T-Mobile, Amazon App Manager의 통신사·활성화 앱과, 금융 제공업체 PayJoy가 제공하는 앱 2개, Claro 내부용 앱 1개를 나열한 XML 파일들이 있음
    PayJoy는 금융 상품 회수를 위해 휴대폰을 잠그고 비활성화하며, Claro 쪽도 PayJoy와 비슷하게 동작함
  • 단어에는 문자 그대로의 기술적 의미만 있는 게 아님
    휴대폰 자체가 간단하고 사용자 친화적인 정상 경로로 제거를 허용하지 않는다면, 대부분의 사용자에게는 실제로 제거 불가나 다름없음
    adb shell 같은 건 해당 도구가 제대로 설치된 PC가 있다는 전제를 깔고 있고, 애초에 PC가 없는 사람도 많음
    거기에 adb 설치, 올바른 설정, 연결 케이블, 디버그 모드 활성화, 명령 실행까지 필요함
    이건 집에서 직접 하는 일이라기보다 서비스센터 작업에 가깝고, 자동차의 “칩 튜닝”과 크게 다르지 않음
  • Samsung에는 사실을 왜곡하라고 돈 받는 홍보팀이 따로 있으니, 이런 일을 할 거면 적어도 돈은 받아야 함
    이미 제거할 수 없다고 인정했고, 확신도 없는 셸 작업까지 해야 비활성화된다면 업데이트 때마다 거의 확실히 다시 돌아온다는 뜻임

• 이 글이 예상보다 더 빠르고 크게 올라오고 있어서 내용을 덧붙이고 싶음
  MENA 지역 전반에서도 비슷한 사례로 보임
  SMEX 글은 주로 WANA에 초점을 맞추지만, MENA 지역에서 Samsung의 유사한 관행을 다룬 다른 보도([1])도 찾을 수 있음
  다만 그쪽에서는 “AppCloud”가 아니라 “Aura”라고 부름
  [1] https://www.moroccoworldnews.com/2025/06/212144/samsung-embe...

  • 같은 말임. SMEX는 레바논 기반이고, (S)WANA는 MENA를 두고 요즘 돌아다니는 짜증나는 용어임
  • WANA와 MENA의 차이가 뭔가? 같은 지역처럼 들림
  • 예전에 기업용 모바일 기기 묶음을 관리했음
    이 AppCloud 쓰레기는 Europe Open Market 기기에도 밀어 넣어졌음
    그리고 이게 기업용 기기에는 설치되면 안 됐던 것으로 알고 있음. MDM으로 관리되는 Android Enterprise였는지 E-FOTA 관리였는지는 정확히 기억나지 않음
    Samsung 담당자들과 꽤 어색한 대화를 했음
  • 호주에서 산 내 기기에도 설치되어 있었음

• AppCloud는 논란 많은 이스라엘계 회사 ironSource가 개발했고, 지금은 미국 회사 Unity가 소유함
  맞음, 그 Unity 3D 엔진 회사임

  • 이제 Unity도 연관성만으로 악성코드로 볼 수 있겠음
  • 그 합병에서 가장 이상했던 부분은 Unity가 IronSource에 44억 달러를 냈다는 것임

• 유럽과 북미도 마찬가지임
  Samsung 기기에는 AppCloud가 있음
  처음부터 있기도 하고, 시스템 업데이트 뒤에 생기기도 하고, 보안 업데이트 뒤에 생기기도 함. 보안 업데이트라니 아이러니함
  통신사 잠금 여부와도 상관없음
  기기 설정의 앱 목록에서 “시스템 애플리케이션 표시” 토글을 켠 뒤에야 보이는 경우도 있음
  Galaxy S 시리즈에도 들어 있었다는 보고가 많음
  이 AppCloud는 정말 터무니없음

• 이 글은 기술적 세부사항이 거의 없고, 저자들의 주장에 대한 증거도 빈약함
  호기심 있고 지적인 분석보다는 감정적 반응을 노린 분노 유도 글임

  • 이건 독자를 설득하려는 기사라기보다 Samsung에 보내는 공개서한 같음
    최소한 투명성을 요구한다는 정도는 얻어갈 수 있지 않을까 싶음

• “일반 사용자가 루트 접근 없이는 제거하기 거의 불가능하고, 루팅은 보증을 무효화하며 보안 위험을 만든다”는 식의 말을 반복하지 말아야 함
  지금의 멍청한 상황을 만든 기업 선전을 그대로 되풀이하는 것임
  소유한 기기에 루트 접근권을 갖는 건 기본권이어야 하고, 그렇지 않다면 소유가 아님

  • 하드웨어 제조사가 아닌 제3자가 개발한 소프트웨어를 실행할 수 있는 모든 하드웨어 기기는 범용 컴퓨팅 장치로 규정해야 한다는 법이 필요함
    그런 장치에서는 사용자가 실행하려는 소프트웨어에 암호학적 제한이나 다른 제한을 걸 수 없게 해야 함
    이는 저수준 하드웨어 컨트롤러를 포함한 장치의 모든 프로그래밍 가능한 구성요소에 적용되어야 함
    이런 제한은 특정 장치 바깥으로도 확장됨
    상업 주체가 클라이언트 장치의 소프트웨어 스택에 대한 원격 증명을 강제하고, 증명 실패를 이유로 서비스 제공자가 클라이언트를 거부할 수 있게 하는 보안 체계를 시행하는 것도 불법이어야 함
    서비스 제공자에게는 자신을 보호할 다른 수단이 있음
    사용자가 자기 장치를 통제하지 못하게 하는 건 과도하고 불필요하게 가혹한 접근이며, 결국에는 소프트웨어 스택을 만드는 광고 회사에만 이익이 됨. 그들은 사용자가 어떤 소프트웨어를 실행할 수 있는지 제한하면서 이익을 보니까
    가령 광고를 건너뛰도록 동영상 플레이어를 수정할 수 없게 만드는 데 관심이 있을 수도 있음
  • 이제는 너무 심하게 후퇴해서, 루팅에 보안상 단점이 생기도록 아키텍처적으로 보장된 상태 아닌가?
    예를 들어 검증 부팅을 막는데, 그 증명이 사용자에게 묶인 게 아니라 해당 기업들에 묶여 있기 때문임
  • 최근 Switch 2의 “하드웨어 사용 라이선스”는 실제로 하드웨어를 소유하고 무엇이든 자유롭게 할 수 있다는 개념을 완전히 죽인 것 같음
    특히 아프리카에서는 프라이버시와 소비자 권리가 미국이나 EU보다 덜 중요하게 여겨질 가능성이 큼
  • 좋은 지점임
    “휴대폰을 루팅하면 보증이 무효화되고 보안 위험이 생길 수 있다”는 문장 자체는 사실적으로 틀린 게 없지만, 사실 진술을 가치판단과 같은 것으로 상상하면 매우 문제가 커짐
    마찬가지로 “조심하지 않으면 불에 데일 수 있다” 같은 말도 꽤 꼬인 표현임. 많은 사람이 음식과 난방을 위해 불에 의존하니까
  • 현재의 법적 현실은 기업 선전일 수 있지만, 기업 선전만은 아니고 실제 법적 현실이기도 함
    많은 관할권에서 “루트 접근은 보증을 무효화한다”는 사실임. 그렇게 된 경위와는 별개임
    따라서 선전을 퍼뜨려 어떤 목적을 밀어주는 것이라기보다는, 그냥 있는 그대로 말하는 것에 더 가까움

• Samsung은 한국 회사임
  한국은 미국의 보호가 필요함
  한국에서 나온 모든 것은 NSA의 축복 아래 있다고 봐야 함

• 스마트폰은 포기했음
  전부 받아들이기 어려울 정도로 나쁘고, 대부분 삶에 가치를 더하기보다 빼앗아 감
  업무용 DUO 실행에 필요한 인증서 때문에 50달러짜리 Android 태블릿만 갖고 있고, 그 외에는 모뎀 카드와 VOIP가 있는 UMPC로 전부 처리함

  • 나쁜 점은 많지만, GPS 지도는 여행을 많이 하는 사람에게 엄청나게 가치 있음
    사업장 리뷰와 대중교통 정보에는 Google Maps, 하이킹 경로에는 OSMAnd를 씀
    그리고 모든 데이터를 Google에 보내는 건 정말 싫지만, 비영어권 국가에서 소통할 때 Google Translate 앱은 없어서는 안 됨