안드로이드 파일 매니저 보안 점검: 내 파일은 안전한가

구글 플레이에서 별점 4.8짜리 파일 매니저를 내려받은 뒤 연락처·위치·마이크 접근 권한 요청이 줄줄이 뜬다면, 그건 파일 관리와 무관한 권한이다. 안드로이드 파일 매니저 보안은 스마트폰 전체 파일 시스템을 다루는 앱 특성상 어느 카테고리보다 엄격하게 점검해야 하는 영역이다. 2026년 6월 기준 구글 플레이에 등록된 파일 관리 앱은 수백 종에 달하며, 이 중 상당수가 광고 수익을 위해 불필요한 권한을 요청하거나 서드파티 광고 SDK를 내장하고 있다는 점이 보안 연구 커뮤니티에서 반복적으로 지적된다.

이 글에서는 파일 매니저가 과잉 권한을 요구하는 구조적 이유, 주요 앱별 보안 수준 비교, 랜섬웨어·악성 APK의 감염 경로, 그리고 설정 화면에서 당장 실행할 수 있는 강화 방법까지 순서대로 짚어본다. 웹하드나 P2P를 통해 받은 파일을 안드로이드에서 자주 여는 환경이라면 특히 참고할 내용이 많다.

글 후반부에서는 앱을 교체하지 않더라도 지금 당장 실행할 수 있는 권한 설정 변경 절차를 단계별로 정리했다. 설정 화면 몇 곳만 손봐도 불필요한 데이터 수집을 상당 부분 차단할 수 있다.

파일 매니저가 “연락처”와 “위치”까지 요청하는 이유

파일을 정렬하고 복사하는 데 연락처 접근이 왜 필요할까. 기술적으로 대부분의 경우 필요하지 않다. 그럼에도 이런 요청이 잦은 이유는 앱 내부에 통합된 광고·분석 SDK 때문이다. 애드몹(AdMob), 페이스북 오디언스 네트워크 같은 서드파티 광고 라이브러리는 더 정밀한 광고 타깃팅을 위해 기기 식별자, 위치, 연락처 해시값 등을 수집하도록 설계돼 있다. 앱 개발사가 SDK를 통합하는 순간, 해당 SDK가 요구하는 권한 목록이 앱 전체의 권한 목록에 자동으로 추가되는 구조다.

무료 파일 매니저 앱의 수익 구조 자체가 이 상황을 강제한다. 유료 전환 없이 광고만으로 매출을 올려야 하는 개발사 입장에서는 SDK를 많이 심을수록 광고 수익이 높아지는 인센티브가 생긴다. 물론 모든 무료 앱이 악의적이라는 뜻은 아니다. 다만 “무료 + 다운로드 수 많음 + 별점 높음”이라는 조합만으로 보안을 신뢰하기는 어렵다는 점을 염두에 둬야 한다.

반대로, 파일 매니저가 합법적으로 넓은 권한을 요구하는 경우도 있다. 미디어 파일 태그 편집, FTP·SMB 서버 연결, 클라우드 스토리지 동기화 같은 기능은 저장소 외 네트워크·알림 권한을 수반하기도 한다. 핵심은 기능과 권한 목록을 1:1로 대조해 “이 권한이 어느 기능에 필요한가”를 따져보는 것이다. 그 대조 작업이 보안 점검의 출발점이다.

안드로이드 파일 매니저 보안 점검 — 8가지 체크리스트

앱을 설치하기 전과 설치 후, 두 단계로 나눠서 확인하면 빠짐없이 점검할 수 있다. 아래 항목 중 하나라도 해당된다면 곧바로 조치가 필요하다.

• 설치 전 ① — 구글 플레이 개인정보처리방침 링크가 실제로 존재하는지 확인한다. 링크가 없거나 연결이 끊긴 앱은 구글 정책 위반이며 신뢰도가 현저히 낮다.
• 설치 전 ② — “데이터 보안” 탭에서 수집 데이터 항목을 확인한다. 위치·연락처·검색 기록이 포함돼 있다면 이유를 따져볼 필요가 있다.
• 설치 전 ③ — 개발사 국적을 확인한다. 한국 개인정보보호법 적용 범위 밖에서 데이터를 처리하는 해외 개발사 앱은 법적 보호를 기대하기 어렵다.
• 설치 후 ① — 설정 → 앱 → [앱명] → 권한에서 요청된 권한 전체 목록을 확인한다. 위치, 연락처, 전화, 마이크, SMS 권한은 거부로 전환해도 파일 탐색·복사·이동 기능은 정상 동작한다.
• 설치 후 ② — 모바일 데이터 및 Wi-Fi 사용량을 점검한다. 파일 관리 앱이 백그라운드에서 수십 MB를 전송하고 있다면 데이터 유출 징후로 볼 수 있다.
• 설치 후 ③ — 알 수 없는 앱 설치 권한이 파일 매니저에 부여돼 있지 않은지 확인한다. 설정 → 보안 → 알 수 없는 앱 설치에서 목록을 점검한다.
• 설치 후 ④ — 배터리 최적화 예외 목록에 파일 매니저가 들어 있는지 확인한다. 필요 없다면 최적화 대상으로 되돌려 백그라운드 상시 실행을 제한한다.
• 주기적 점검 — 앱 업데이트 후 “새로운 권한 추가” 알림이 뜨면 변경 내용을 반드시 검토한다. 업데이트를 통해 권한이 추가되는 사례가 사용자 커뮤니티에서 반복적으로 보고된다.

한국에서는 스마트폰 하나로 업무 문서·개인 사진·금융 앱 캡처 스크린샷을 함께 관리하는 사용자가 많다. 이런 환경에서 파일 매니저에 과도한 권한이 주어지면, 업무 기밀 파일이나 금융 정보가 광고 SDK를 통해 해외 서버로 전송되는 경로가 열릴 수 있다는 점을 인식해야 한다.

주요 파일 매니저 앱 보안 비교 (2026년 6월 기준)

아래 비교는 각 앱의 구글 플레이 데이터 보안 섹션, 공식 개인정보처리방침, 그리고 보안 연구자 보고를 바탕으로 정리했다. 실제 수집 항목은 앱 버전과 지역에 따라 달라질 수 있으므로 설치 전 각 서비스 공식 페이지를 재확인하기를 권장한다.

앱 이름	기본 탑재 여부	파일 외 주요 권한 요청	광고·추적 SDK	보안 리스크 평가
삼성 내 파일	갤럭시 기기 기본	저장소, 미디어 (최소 범위)	없음	낮음
Google Files	일부 기기 기본	저장소, 카메라 (청소 기능)	최소 (구글 내부 분석)	낮음~중간
ES 파일 탐색기	서드파티 설치	연락처, 위치, 전화, 마이크 등	다수 (광고 수익 모델)	높음
Solid Explorer	서드파티 설치 (유료)	저장소, 네트워크 (NAS·FTP)	없음	낮음
샤오미 파일 관리자	샤오미 기기 기본	연락처, 전화, 위치	MIUI 분석 SDK 포함	중간~높음

ES 파일 탐색기는 2019년 해외 보안 연구자 보고에서 내장 광고 서버가 로컬 네트워크 내 파일 정보를 외부로 전송할 수 있는 포트를 열어둔다는 사실이 알려진 이후 신뢰도가 크게 하락했다. 이후 여러 차례 업데이트가 이뤄졌지만, 보안 포럼에서는 여전히 대안 앱 교체를 권고하는 의견이 주를 이룬다. 이 서비스의 경우 광고 기반 무료 모델을 유지하는 한 구조적 리스크가 완전히 해소되기 어렵다는 점이 명확한 약점이다.

샤오미 파일 관리자는 MIUI 분석 SDK가 포함돼 있어 중국 서버로 일부 사용 데이터가 전송된다는 사용자 보고가 있다. 샤오미 기기를 쓰더라도 기본 파일 관리자 대신 Google Files나 Solid Explorer를 대안으로 검토해볼 수 있다.

랜섬웨어와 악성 APK — 파일 매니저를 통한 감염 경로

안드로이드에서 랜섬웨어가 가장 자주 침투하는 경로는 공식 스토어 외부에서 내려받은 APK 파일의 직접 실행이다. 웹하드나 P2P 파일 공유 사이트에서 받은 “무료앱.apk”, “크랙판_게임.apk” 같은 파일을 파일 매니저로 열면 설치 화면이 뜨고, 이때 앱이 저장소 전체 접근 권한을 얻으면 파일 암호화와 몸값 요구로 이어지는 랜섬웨어 시나리오가 완성된다. 피해 사례에서 자주 등장하는 패턴은 “무료 영화 감상 앱” 또는 “스트리밍 우회 앱”을 사칭한 APK다.

특히 주의가 필요한 케이스는 DRM 우회 콘텐츠나 소프트웨어 크랙을 포함한 압축 파일이다. 압축 해제 후 내부에 APK나 실행 파일이 숨겨져 있는 경우가 피해 보고에서 반복적으로 나타난다. 파일 매니저가 미리 보기를 위해 ZIP이나 RAR 파일을 자동으로 열 때, 내부 스크립트가 실행되는 취약점이 과거 일부 파일 매니저 앱에서 발견된 바 있다는 점도 알아둬야 한다.

사실은, 파일 매니저 앱 자체가 악성 코드일 수 있다는 점도 간과하면 안 된다. 구글 플레이에서도 악성 앱이 수개월간 유통되다 삭제되는 사례가 반복 보고된다. 공식 스토어 등록이 곧 안전 보증은 아니다. KISA(한국인터넷진흥원)에서 운영하는 보호나라 서비스에서 수상한 APK 파일을 분석 의뢰할 수 있으며, 악성 앱 신고 채널도 함께 제공된다. 보호나라(boho.or.kr)에서 직접 이용할 수 있다.

파일 매니저와 P2P·웹하드 이용이 겹치는 환경에서의 보안 실천법은 파일공유 보안 카테고리에서 더 자세히 다루고 있다.

안드로이드 파일 매니저 보안 강화 — 설정 화면에서 바로 실행하는 방법

앱을 교체하지 않더라도 권한 설정만 조정해도 위험을 상당히 줄일 수 있다. 아래는 안드로이드 12 이상 기준 절차다. 제조사 UI(One UI, MIUI 등)에 따라 메뉴 이름이 약간 다를 수 있으니 참고한다.

1. 권한 최소화 — 설정 → 앱 → [파일 매니저 앱명] → 권한으로 이동해 위치, 연락처, 전화, 마이크, SMS 권한을 거부로 설정한다. 이 권한들을 꺼도 파일 탐색·복사·이동의 핵심 기능은 정상 동작한다.
2. 백그라운드 데이터 차단 — 설정 → 앱 → [앱명] → 모바일 데이터 및 Wi-Fi → “백그라운드 데이터 사용”을 비활성화한다. 파일 매니저는 사용자가 직접 조작할 때만 네트워크를 사용하는 것이 정상이다.
3. 알 수 없는 앱 설치 차단 — 설정 → 보안 및 개인정보 보호 → 알 수 없는 앱 설치에서 파일 매니저가 허용 상태인지 확인하고, 허용돼 있다면 즉시 거부로 전환한다.
4. 저장소 접근 범위 제한 — 안드로이드 13 이상에서는 저장소 권한이 사진·동영상·음악으로 세분화됐다. 파일 매니저가 “모든 파일 접근”(MANAGE_EXTERNAL_STORAGE)을 요구한다면 그 범위가 실제로 필요한 기능과 연결되는지 따져봐야 한다.
5. 자동 실행 제한 — 배터리 최적화 예외 목록에서 파일 매니저를 제거해 백그라운드 상시 실행을 막는다.

그런데 암호화 기능을 제공하는 파일 매니저를 사용하는 경우, 비밀번호 기반 파일 암호화(AES-256)를 활용해 민감 문서 폴더를 잠가두는 것도 유효한 방법이다. 다만 암호화 키를 앱 개발사 서버에 저장하는 구조인지, 로컬에만 보관하는 구조인지를 개인정보처리방침에서 반드시 확인해야 한다. 클라우드 백업과 연동된 암호화는 편의성이 높지만 개발사 서버가 침해될 경우 키도 함께 노출될 수 있다는 트레이드오프를 감수해야 한다.

파일공유·웹하드 이용자가 추가로 챙겨야 할 것

웹하드나 클라우드 스토리지를 안드로이드 파일 매니저와 연동해 사용하는 환경이라면 한 가지를 더 확인해야 한다. 파일 매니저가 WebDAV·FTP·SMB 프로토콜로 외부 저장소에 연결할 때, 자격증명(ID·비밀번호)이 앱 내에 평문으로 저장되는 경우가 있다. 앱 백업이 켜진 상태이거나 루팅된 기기라면 이 자격증명이 탈취될 수 있는 경로가 생긴다.

개인정보보호법에 따르면 개인정보를 처리하는 서비스 사업자는 안전한 암호화 조치를 취해야 한다. 이 기준은 앱 개발사에 적용되지만, 사용자 입장에서도 자신이 앱에 입력하는 자격증명이 어떻게 보관되는지를 파악해야 자기 보호가 가능하다. 자동 결제를 설정한 웹하드 서비스의 경우 계정이 탈취되면 정기 구독 취소까지 피해가 이어질 수 있으므로 2단계 인증 설정도 병행하는 편이 낫다.

한국인터넷진흥원(KISA)은 모바일 앱 개인정보 보호 기준 가이드라인을 공개하고 있으며, 앱이 최소한의 권한만 수집하도록 권고한다. 사용자 신고 창구는 보호나라(boho.or.kr)에서 이용할 수 있다.

웹하드 서비스 자체의 보안 기준이 궁금하다면 웹하드 가이드 카테고리를, 클라우드 스토리지와의 보안 차이를 비교하고 싶다면 클라우드 비교 카테고리를 참고하면 전체 그림을 잡는 데 도움이 된다.

자주 묻는 질문

무료 파일 매니저는 유료보다 정말 더 위험한가요?

일률적으로 단정하기는 어렵다. 삼성 내 파일이나 Google Files처럼 대형 플랫폼이 기본 탑재하는 무료 앱은 광고 수익 모델이 없기 때문에 과잉 권한 요청이 적다. 리스크가 높은 쪽은 구글 플레이에 대량 등록된 소규모 개발사의 광고 기반 무료 앱이다. 유료 앱이라도 개발사 정책에 따라 분석 SDK를 포함할 수 있으므로, 가격보다 권한 목록과 개인정보처리방침을 직접 확인하는 것이 더 실질적인 판단 기준이다.

ES 파일 탐색기를 지금도 계속 써도 괜찮은가요?

2026년 6월 현재 구글 플레이에서 서비스 중이며, 최신 버전에서 일부 문제가 개선됐다는 개발사 발표가 있었다. 그럼에도 포트 노출 및 데이터 수집 논란의 이력이 있고, 광고 기반 무료 모델 구조가 유지되는 한 추가 권한 요청이 재발할 가능성을 배제하기 어렵다. 민감한 업무 파일이나 금융 정보가 포함된 환경이라면 삼성 내 파일·Google Files·Solid Explorer 중 하나로 교체하는 편이 합리적이다.

파일 매니저 앱으로 파일을 암호화하려면 어떻게 하나요?

기본 제공 암호화 기능이 있는 앱(Solid Explorer, 일부 갤럭시 내 파일 버전)을 사용하거나, 별도의 파일 암호화 앱을 병행하는 방법이 있다. 오픈소스 Cryptomator는 암호화 키를 로컬에만 보관하는 구조로 클라우드 동기화 환경에서도 서버 측 유출 위험이 낮다고 알려져 있다. 어느 방법이든 비밀번호를 분실하면 복구가 불가능하므로 복구 키를 반드시 오프라인 공간에 별도 보관해야 한다.

루팅된 안드로이드에서 파일 매니저 보안은 어떻게 달라지나요?

루팅된 기기에서는 파일 매니저가 시스템 파티션을 포함한 모든 경로에 접근할 수 있다. 이 자체가 문제는 아니지만, 악성 앱이 루트 권한을 악용하면 앱 샌드박스 경계가 무너진다는 점이 핵심 위험이다. 루팅 환경에서는 Magisk 기반의 루트 권한 관리자를 통해 앱별로 루트 접근을 개별 허용하고, 신뢰할 수 없는 앱에는 절대 루트 권한을 부여하지 않는 것이 기본 원칙이다. 루팅된 기기는 제조사·플랫폼의 보안 보증 범위에서 사용자 스스로가 벗어나는 선택이라는 점도 인식해야 한다.

자녀 기기에 서드파티 파일 매니저를 설치해도 되나요?

가능한 한 기본 탑재 앱만 사용하고 서드파티 파일 매니저는 설치하지 않는 편이 낫다. 아이들은 출처 불명의 콘텐츠 파일을 파일 매니저로 열어 APK를 실행하는 경로에 취약하기 때문이다. 안드로이드의 자녀 보호 기능(Google Family Link)과 함께 앱 설치 승인을 보호자 계정으로만 허용하는 설정을 적용하면 리스크를 크게 낮출 수 있다.

지금 사용 중인 파일 매니저 앱의 권한 목록을 설정 화면에서 한 번 열어보는 것, 그게 오늘 할 수 있는 가장 빠른 보안 점검이다. 웹하드·클라우드와 파일 매니저를 함께 쓰는 환경이라면 파일공유 보안 가이드를 이어서 확인하면 빠진 부분을 채울 수 있다.

–>