텔레그램 위젯 제한…일반 봇, 개인 채팅서 새 전송 막혀

텔레그램이 일반 봇의 HTML 위젯 전송을 제한했다. 이용자와 봇이 대화하는 개인 채팅에서도 새 위젯 메시지를 보낼 수 없게 됐다.

텔레그램 Bot API의 GitHub 저장소에는 14일 새벽부터 개인 채팅에 위젯을 보내면 ‘INPUT_MEDIA_WIDGET_NOT_ALLOWED’ 오류가 발생한다는 개발자 신고가 올라왔다고 디파이언트(The Defiant)는 전했다. 신고자는 제한 전까지 같은 봇으로 위젯을 약 120개 정상 전송했다고 적었다.

메시지 길이나 HTML 형식에 문제가 있다는 오류와 달리 이번 응답은 위젯 전송 자체를 허용하지 않는다는 내용이다. 텔레그램 Bot API 기여자 levlam은 GitHub에서 “현재 일반 봇은 개인 채팅에서도 위젯을 사용할 수 없다”고 말했다.

텔레그램은 9일 Bot API 10.4에서 위젯 전송 기능을 추가했다. 위젯은 봇이 HTML·CSS·자바스크립트로 만든 작은 화면을 메시지 안에 표시해, 이용자가 별도 페이지로 이동하지 않고 정보를 확인하거나 버튼을 누를 수 있게 한다.

텔레그램 개발 문서는 가격 표시와 투표, 게임 등을 위젯 활용 사례로 제시한다. 위젯은 채팅 안에서 조작하는 화면과 봇이 처리하는 요청을 연결하는 방식이다.

위젯은 텔레그램 앱 안의 제한된 실행 환경에서 작동하며 외부 인터넷에 직접 접속할 수 없다. 화면을 그리는 코드와 이후 갱신되는 데이터도 구분된다.

출시 당시 운영 환경에서 위젯 전송은 봇과 이용자의 개인 채팅으로 한정됐다. 본지는 앞서 텔레그램이 위젯과 톤 결제를 공개하고 정식 이용 범위를 개인 대화로 제한한 사실을 보도했다.

이번에는 운영 환경의 지원 대상으로 안내된 개인 채팅에서도 일반 봇의 새 위젯 전송이 제한됐다. 개발 문서와 실제 동작 사이에 차이가 생긴 셈이다.

위젯과 미니 앱은 작동 방식이 다르다. 위젯은 채팅 메시지 안에 들어가는 화면이고, 미니 앱은 버튼이나 링크를 눌러 별도의 웹 화면으로 여는 서비스다.

기능 공개 직후에는 위젯과 인채팅 앱의 보안을 둘러싼 논란도 일었다. 본지는 앞서 무탭 해킹 우려 속 텔레그램이 인채팅 앱 신규 등록을 제한한 내용을 전했다.

파벨 두로프(Pavel Durov) 텔레그램 창업자 겸 최고경영자(CEO)는 자신의 텔레그램 채널에서 “메시지를 받기만 해서는 해킹당할 수 없다”고 말했다. 그는 이용자가 먼저 제3자 서비스를 실행해야 공격이 가능했고, 해당 경로도 서버에서 차단했다고 주장했다.

가상자산 이용자에게 위젯은 내장 지갑에 결제나 서명을 요청할 수 있다는 점에서 관련이 있다. 텔레그램 개발 문서에는 위젯을 통한 지갑 요청 기능이 설명돼 있다.

지갑 거래는 위젯 화면과 별도로 열린 지갑 창에서 이용자가 봇과 금액, 수신지를 확인한 뒤 승인하는 구조다. 확인된 위젯 전송 제한만으로 지갑 거래 자체가 중단됐다고 볼 수는 없다.

이번에 확인된 조치는 일반 봇이 개인 채팅에서 새 위젯 메시지를 보내는 기능에 한정된다. 미니 앱 전체 중단이나 가상자산 피해를 뜻하지는 않는다.