닫기의 아키텍처

문자가 하나 왔다.

택배 주소가 불분명해 배송이 보류되었습니다.

아래 링크에서 주소를 확인해 주세요.

보이스오버가 이 두 문장을 읽고 링크 주소를 한 글자씩 읽었다.

낯선 주소였다.

주문한 택배가 있긴 했다.

그래서 더 헷갈렸다.

스미싱은 대체로 이렇게 온다.

아무 관계 없는 내용이면 쉽게 무시하는데

마침 기다리던 일과 겹치면 판단이 흔들린다.

링크를 누르지 않고

폰에 깔아 둔 보안 앱을 열었다.

문자 속 링크가 안전한지 검사해 보려고.

앱이 열리자마자 소리가 났다.

보이스오버 목소리가 아니었다.

광고 영상의 배경음악이었다.

이것은 보안 앱 안에서 보안보다 먼저 만난 것에 관한 기록이다.

소리의 충돌

보이스오버를 쓰는 사람에게 광고는 조금 특별한 문제다.

눈으로 보는 사람에게 광고는 화면의 한 구역을 차지한다.

그 구역을 피해서 다른 곳을 보면 된다.

나에게 광고는 소리로 온다.

영상 광고가 자동 재생되면

그 소리가 보이스오버 음성 위로 겹친다.

보이스오버가 무언가를 읽고 있는데

그 위에서 누군가 상품을 소개하고 음악이 깔린다.

두 소리가 섞이면 둘 다 안 들린다.

그날 나는 보이스오버 속도를 늦추고 볼륨을 올렸다.

그래도 광고 음악이 계속 그 사이로 들어왔다.

결국 폰 볼륨을 통째로 줄였다가

다시 보이스오버만 들리게 조정하는 데 1분쯤 걸렸다.

그 1분 동안 나는 보안 검사를 시작도 못 했다.

그리고 그 1분 동안 문자의 링크는 여전히 화면 위쪽에 남아 있었다.

급한 마음이 들면 사람은 실수한다.

택배가 정말 보류된 거라면 빨리 확인해야 한다는 압박.

스미싱 문자가 늘 급한 어조로 쓰이는 이유가 그거다.

생각할 시간을 줄이려고.

그런데 보안 앱이 그 시간을 광고로 더 늘려 놓는다.

그러면 차라리 링크를 눌러 버리고 싶은 마음이 생긴다.

그날 나는 그 마음을 참았다.

다만 참을 수 있었던 건 이런 문자를 몇 번 겪어 봤기 때문이다.

처음 받는 사람이라면 어땠을까.

닫기 버튼

다음은 닫기 버튼이었다.

광고를 닫으려면 닫기 버튼을 찾아야 한다.

보이스오버로 화면을 한 칸씩 훑었다.

광고 이미지라고 읽었다.

버튼이라고 읽었다.

버튼이라고 또 읽었다.

어느 버튼이 닫기인지 알 수 없었다.

닫기라는 이름이 붙어 있지 않았다.

그냥 버튼이었다.

눈으로 보는 사람에게는 모서리의 작은 엑스 표시가 보였을 것이다.

그 표시에 이름을 붙이지 않으면 나에게는 아무 버튼이나 같다.

버튼에 이름을 붙이는 건 기술적으로 아주 쉬운 일이다.

코드 한 줄이면 된다.

웹 접근성 지침에서도 가장 기본적인 항목에 속한다.

그런데 광고 영역은 대체로 앱 본체가 아니라 외부 광고 모듈이 띄운다.

앱 개발자가 그 안의 버튼까지 관리하지 않는 경우가 많다.

그러니까 앱 본체는 접근성을 갖췄는데

광고가 뜨는 순간 그 앱은 접근 불가능한 앱이 된다.

본체는 통과하고 외부 모듈에서 막히는 구조.

은행 앱의 인증 모듈에서 겪은 것과 똑같은 모양이다.

두 번째 버튼을 눌렀다.

다른 화면으로 넘어갔다.

보이스오버가 읽기 시작한 건 어떤 쇼핑몰의 상품 페이지였다.

나는 그 순간 좀 웃었다.

그리고 곧 웃음이 멈췄다.

모르는 링크를 누르지 않으려고 보안 앱을 열었는데

그 보안 앱 안에서 모르는 링크를 눌렀다.

광고도 결국 링크다.

그리고 그날 내가 의도하지 않게 누른 링크는

문자로 온 링크가 아니라 보안 앱이 띄운 링크였다.

여기서 생각해 볼 게 하나 있다.

스미싱이 노리는 건 정확히 이 동작이다.

의도하지 않은 터치.

급하게 확인하려다 잘못 누르는 것.

버튼이 뭔지 모르고 누르는 것.

닫으려다 여는 것.

그러니까 광고형 보안 앱은

스미싱이 사람을 속이는 방식과 같은 동작을

보안이라는 이름 아래에서 훈련시키고 있는 셈이다.

모르는 버튼을 눌러도 괜찮다는 경험을 반복하면

모르는 링크를 누르는 문턱도 낮아진다.

이건 내 추측이고 연구로 확인된 건 아니다.

다만 그날 내 손가락이 배운 건 그런 종류의 것이었다.

선택재가 아니다

이 이야기를 하면 대체로 이런 답이 돌아온다.

그 앱 말고 다른 걸 쓰면 되잖아요.

맞는 말이다.

다른 앱이 있고 유료 버전도 있다.

다만 이 답에는 몇 가지 전제가 깔려 있다.

광고 없는 앱을 찾을 정보가 있어야 하고

비교해서 고를 시간이 있어야 하고

유료라면 그 비용을 낼 수 있어야 한다.

그리고 새 앱을 깔면 그 앱의 화면 구조를 처음부터 다시 익혀야 한다.

이 모든 게 가능한 사람은 실제로 다른 앱을 쓴다.

안 되는 사람은 지금 있는 앱을 쓴다.

그러니까 광고형 보안 앱을 쓰는 사람의 상당수는

그게 좋아서가 아니라 그게 기본으로 깔려 있거나 무료이거나

누가 깔아 줘서 쓰는 것이다.

이건 앞서 키오스크 이야기를 쓸 때 짚었던 구조와 같다.

지금 있는 선택지 안에서 고른 것을 선호라고 부르면

그 선택지 자체의 문제가 안 보인다.

그리고 스마트폰은 이제 선택해서 쓰는 물건이 아니다.

행정과 금융과 의료와 교통과 교육과 소통이

전부 이 화면 안으로 들어왔다.

안 쓸 수가 없는 물건의 기본 보안을

광고를 잘 닫는 능력에 맡겨 두고 있는 셈이다.

숫자

과학기술정보통신부가 발표한 2024년 조사에서

취약계층의 디지털 정보화 수준은 일반 국민 대비 77.5퍼센트였다.

장애인과 고령자 등이 이용하는 웹사이트의 접근성 수준은 66.7점이었다.

앞서 다른 글에서 나는 이 지수들이 상대 지수라는 점을 짚었다.

장애인의 77퍼센트가 앱을 쓸 수 있다는 뜻이 아니라는 것.

여기서는 다른 이야기를 하고 싶다.

기기를 갖고 있다는 것과

그 기기를 안전하고 자율적으로 쓸 수 있다는 것은 다르다.

보유율은 높다.

대부분 스마트폰이 있다.

그런데 그 폰에 무엇이 깔려 있고

그게 어떤 화면을 띄우는지는 잘 안 재진다.

보유의 격차는 줄었는데

안전의 격차는 측정되지도 않는다.

이 지점에서 정보 리터러시 쪽 이야기를 하나 덧붙이고 싶다.

스미싱 예방 교육은 대체로 이렇게 가르친다.

모르는 링크는 누르지 마세요.

의심되면 보안 앱으로 확인하세요.

두 번째 문장이 문제다.

그 보안 앱이 광고 때문에 쓰기 어렵다면

교육의 두 번째 단계가 실천 불가능한 지침이 된다.

앞서 검증 이야기를 쓸 때 나는

리터러시는 접근성 위에서만 작동한다고 적었다.

여기서도 똑같다.

확인하라고 가르치는데 확인할 도구가 막혀 있으면

교육은 죄바카라감만 남긴다.

다음에 피해를 입은 사람은

배운 대로 안 해서 그렇다는 말을 듣게 된다.

이미 공공인 것

흥미로운 건 정부가 이미 디지털 안전을 공공서비스로 보고 있다는 점이다.

한국인터넷진흥원의 118 상담센터는

해킹과 바이러스와 개인정보 침해와 불법 스팸 관련 상담을

365일 24시간 무료로 제공한다.

2026년부터는 실시간 채팅과 챗봇과 통합 안내 웹페이지도 도입했다.

한국인터넷진흥원은 이 개편이

청각장애인처럼 전화 상담이 어려운 사람들의 접근성 향상에 도움이 될 거라고 밝혔다.

이 방향은 반갑다.

상담 경로를 하나에서 여러 개로 늘린 건 실제 개선이다.

그런데 이 구조를 보면 한 가지가 눈에 띈다.

상담과 신고는 공공이 한다.

예방은 시장에 맡겨져 있다.

문제가 생긴 뒤에는 국가가 받아 주는데

문제가 생기기 전 단계에서는 각자 앱을 찾아서 깔아야 한다.

그리고 그 앱은 대체로 광고로 운영된다.

사후가 공공이라면 사전도 공공 쪽으로 더 들어와야 한다.

그게 순서가 맞다.

비용 쪽으로 봐도 그렇다.

피해가 생긴 뒤의 비용은 크다.

돈이 빠져나가고 신고하고 조사하고 복구하는 데

당사자와 금융기관과 수사기관과 상담기관이 모두 시간을 쓴다.

예방 단계의 비용은 상대적으로 작다.

앱 하나를 광고 없이 운영하는 비용.

이 계산은 앞서 장부 이야기를 쓸 때 다룬 구조와 같다.

사후 비용은 여러 부처에 흩어져서 잘 안 보이고

예방 비용은 한 항목으로 잡혀서 커 보인다.

그래서 예방 쪽 예산이 늘 밀린다.

그런데 피해를 입는 사람에게 이 계산은 전혀 다르게 보인다.

통장에서 빠져나간 돈은 돌아오지 않는 경우가 많고

그 경험 뒤에는 폰을 쓰는 일 자체가 무서워진다.

그 두려움이 다시 디지털 배제로 이어진다.

다른 곳은

해외를 보면 방향이 좀 더 분명해진다.

선진국에서 정부가 전 국민용 모바일 백신 앱을 직접 보급하는 경우는 흔하지 않다.

대신 사기 방지를 공공재처럼 제공한다.

싱가포르는 내무부와 경찰과 공공 디지털 조직이 함께

의심 전화와 메시지와 웹사이트 확인과

사기 전화와 문자 차단과 24시간 헬프라인을 묶은 공공 안심 체계를 운영한다.

일본 도쿄도 경찰은 범죄예방 앱을 직접 제공하면서

국제전화 번호 기반 사기전화 차단 기능을 내세운다.

호주는 통신사에 사기 전화와 문자 차단 의무를 부과해

2026년 4월 기준 누적 38억 건 넘는 사기 연락을 차단했다고 밝혔다.

영국 국가사이버보안센터는 무료 신고 체계를 통해

2026년 3월 기준 5300만 건이 넘는 신고를 받아

대규모 사기 주소 제거로 연결하고 있다.

인도는 더 직접적이다.

정부 전자정보기술부 산하 기관이 시민을 위한 무료 안드로이드 보안 도구를 제공하고

정부 지원으로 개발된 모바일 보안 앱을 무료로 안내한다.

국가가 시민에게 무료 모바일 보안 도구를 제공하는 사례에 가깝다.

방식은 다 다르다.

통신사에 의무를 지우는 곳도 있고 신고 체계를 키우는 곳도 있고

앱을 직접 내놓는 곳도 있다.

공통점은 하나다.

디지털 보안을 개인의 클릭 능력에만 맡기지 않는다는 것.

특히 호주 방식이 나는 흥미롭다.

차단을 통신사 단계에서 하면

사용자 화면에 도착하기 전에 걸러진다.

나 같은 사람에게 이게 가장 좋은 접근성이다.

아예 안 보이게 하는 것.

판단할 일을 줄여 주는 것.

접근성이라고 하면 대체로 무언가를 더 해 주는 걸 떠올린다.

버튼을 크게 하고 음성을 붙이고 설명을 늘리는 것.

그런데 어떤 접근성은 빼는 데서 나온다.

판단해야 할 위험을 줄이고

닫아야 할 창을 줄이고

골라야 할 선택지를 줄이는 것.

사람마다 판단에 드는 비용이 다르다.

그 비용이 큰 사람에게는 판단할 일 자체를 줄여 주는 게 가장 큰 지원이다.

선별된 안전

광고형 보안 앱이 불편하면 다른 앱을 찾으라는 말은 해법이 아니라고 생각한다.

그건 바카라임을 옮기는 일이다.

광고를 잘 피하는 사람만 안전하고

작은 버튼을 정확히 누를 수 있는 사람만 보호받는 구조라면

그건 보안 서비스가 아니라 선별된 안전이다.

그리고 그 선별 기준이 하필

손의 정교함과 시력과 인지 속도다.

사기범이 노리는 사람들과 정확히 겹친다.

광고 업계 쪽 사정도 짐작은 간다.

무료 앱이 운영되려면 수익이 있어야 하고

광고는 가장 쉬운 수익 모델이다.

그리고 광고는 눈에 띄어야 효과가 있다.

그래서 닫기 버튼은 작아지고 위치는 바뀌고 자동 재생은 늘어난다.

광고의 성과 지표가 정확히

닫기 어렵게 만드는 쪽으로 설계를 밀고 있는 것이다.

이건 개별 앱 개발자의 양심 문제가 아니다.

무료 보안이라는 서비스를 광고 수익에 묶어 둔 구조의 문제다.

그 구조 안에서는 접근성과 수익이 반대 방향을 본다.

스미싱과 보이스피싱의 피해자 중에

고령자와 장애인의 비중이 높다는 건 오래된 이야기다.

그 사람들이 보호받으려고 연 앱이

그 사람들에게 가장 불리한 방식으로 만들어져 있다.

보안의 대상과 보안의 장벽이 같은 사람이다.

공공재의 핵심은 누구나 같은 조건으로 쓸 수 있다는 데 있다.

수도를 쓰려고 광고를 먼저 닫지 않는다.

재난문자를 받으려고 결제를 먼저 하지 않는다.

스마트폰의 기본 보안도 그래야 한다.

필요한 것

그래서 필요한 건 광고 없는 무료 공공 보안 프로그램이다.

이름은 상관없다.

백신이든 안심 앱이든.

중요한 건 몇 가지 조건이다.

첫 화면부터 광고가 없을 것.

보이스오버 같은 화면 읽기 기능과 잘 맞을 것.

모든 버튼에 이름이 붙어 있을 것.

큰 글씨와 분명한 버튼과 단순한 흐름.

기능은 기본적인 것이면 된다.

문자 속 링크 확인.

악성 앱 점검.

위험한 권한 알림.

118 신고와 상담으로 바로 연결.

이건 거창한 기술이 아니다.

이미 민간 앱들이 다 하고 있는 기능이다.

차이는 그걸 광고 없이 누구나 같은 조건으로 쓸 수 있게 하느냐다.

민간 보안 시장을 없애자는 이야기가 아니다.

공공이 바닥을 깔고

민간은 그 위에서 더 높은 수준의 서비스로 경쟁하면 된다.

지금은 바닥이 광고로 덮여 있다.

그리고 여기에 하나만 더 붙이고 싶다.

이 앱을 만들 때 보이스오버 사용자와 고령자와 손 떨림이 있는 사람을

처음부터 시험 단계에 넣어야 한다.

다 만들고 나서 접근성 인증을 받는 방식으로는

그날 내가 겪은 이름 없는 버튼 같은 게 계속 남는다.

제목: 닫기의 아키텍처 혹은 보안보다 먼저 오는 것.

그날 나는 결국 링크를 검사하지 못했다.

광고를 닫고 쇼핑몰 페이지에서 빠져나와

다시 보안 앱으로 돌아왔을 때는 지쳐 있었다.

그래서 링크를 그냥 지웠다.

택배 회사에 직접 전화해서 확인했다.

진짜 택배는 문제없이 오고 있었다.

문자는 스미싱이었다.

통화 대기음을 들으며 생각했다.

결국 이 전화가 오늘의 보안 앱이었구나.

결과적으로 나는 안전했다.

다만 그 안전은 보안 앱 덕분이 아니라

보안 앱을 포기하고 전화를 건 덕분이었다.

결론: 디지털 보안은 개인의 눈썰미와 손놀림에 맡길 일이 아니다.

특히 기본 보안은 더 그렇다.

광고를 잘 닫는 능력이 안전의 조건이 되는 순간

가장 보호가 필요한 사람이 가장 먼저 밀려난다.

상담과 신고가 공공이라면

예방도 공공의 영역으로 들어와야 한다.

닫기 버튼 하나를 찾는 데 1분이 걸리는 사람에게

그 1분은 보안보다 먼저 와 있는 장벽이다.

그 장벽을 걷어 내는 게 공공이 할 일이다.

그나저나 이 이야기를 어머니에게 했더니

어머니도 그 앱 쓰다가 광고 눌러서 이상한 데 들어간 적 있다고 했다.

그래서 그다음부터 앱을 안 연다고 했다.

보안 앱을 안 여는 게 어머니의 보안 대바카라이었다.

그 말을 듣고 웃지도 울지도 못했다.

탱고는 그날 보이스오버와 광고 음악이 겹치는 소리에 귀를 쫑긋 세우더니

내 쪽을 한참 쳐다봤다고 보보가 말했다.

저 녀석도 그게 무슨 소리인지 헷갈렸던 모양이다.