반려동물 사진 앱으로 위장한 딥페이크 생성 서비스
와이어드(WIRED)는 반려동물 초상화 앱 '비푸르(Viefur)'를 비롯해 어학 학습, AI 운동 코치 등을 내세운 앱·도메인 400여 개가 하나의 네트워크로 연결돼 있다고 보도했다. 이 앱들은 겉으로는 평범한 AI 서비스처럼 보이지만, 특정 조건에서는 업로드한 사진으로 성적 이미지와 영상을 만드는 웹 인터페이스를 불러온다. 이 인터페이스에는 성폭력 장면을 담은 템플릿까지 포함된 것으로 전해졌다.
비영리단체 AI 포렌식스(AI Forensics)의 폴 부쇼 연구원은 앱을 내려받을 때마다 서버가 접속 지역, 언어, 고유 식별자 등을 확인해 일반 화면과 노골적 화면 중 어느 쪽을 보여줄지 결정한다고 설명했다. 메타 광고를 클릭한 뒤 설치하는 경우가 하나의 트리거로 보인다고 밝혔다.
메타 광고로 유입, 앱스토어 심사는 우회
연구진은 페이스북과 인스타그램에 올라온 수천 건의 딥페이크 영상 광고 링크를 추적하다 이 네트워크를 찾아냈다. 앞서 와이어드는 이 광고 중 실존 아동의 이미지를 포함한 AI 생성 아동 성착취물(CSAM)이 있었다고 보도했고, 여러 나라 규제당국이 조사에 나섰다.
앱 도메인은 2025년 말부터 등장해 올봄 급증했으며, 한때 주당 약 30개가 등록됐다. 9월 기준 구글 플레이스토어에서 27개가 운영됐고 누적 내려받기는 35만 회를 넘었다. 이 중 'DiffAI'는 10만 회 이상 내려받혔다. 웹사이트 코드에는 전체 도메인 목록과 암호화 키, 페이스북 광고 추적기 정보가 담겨 있었고, 인포블록스(Infoblox)는 연결된 도메인을 500개 가까이 식별했다.
플랫폼 대응과 남은 과제
애플은 심사 때는 규정을 지켰으나 승인 후 개발사가 콘텐츠 출처 사이트를 바꿔 포르노 콘텐츠로 교체했다고 주장했다. 이른바 '미끼 상술(bait-and-switch)' 수법으로 최근 1년간 수만 개 앱을 정지했고, 누디파이 도구 규정도 강화했다고 밝혔다. 구글은 논평 요청에 응하지 않았지만 연락 전에 대부분의 앱을 삭제했다.
메타는 2025년 켈링 테크놀로지의 광고를 금지했다고 밝혔다. 이후 광고 계정 1만1,600개, 비즈니스 페이지 4,700여 개 등에 조치를 했고 209개 앱의 광고를 막았다고 전했다. 켈링 측은 연락에 응답하지 않았으며, 와이어드의 문의 이후 일부 연결 정보가 삭제된 것으로 알려졌다. 보도 마감 시점에도 유사한 광고와 앱이 계속 게시되고 있었다.
앱 심사 후 콘텐츠를 바꿔치는 수법은 국내 앱 마켓과 SNS 광고 모니터링에서도 점검이 필요한 대목이다.
