법 집행 기관, 광고 네트워크를 통해 5억 대의 기기 추적

Citizen Lab의 새로운 보고서가 Webloc이라는 감시 도구를 세상에 드러냈다. 미국·헝가리·엘살바도르의 법 집행 기관들은 이 도구를 이용해 전 세계 최대 5억 대의 모바일 기기를 감시해 온 것으로 밝혀졌다. 이 도구는 전통적인 도청이나 법원 명령에 의한 감청에 의존하지 않는다. 대신, 스마트폰에 설치된 무료 앱을 지탱하는 광고 인프라를 그대로 활용한다.

이번 조사 결과는 정부가 상업적으로 유통되는 데이터를 어떻게 수집하고 활용하는지, 그리고 그것이 어떠한 범죄 혐의도 받지 않은 평범한 사람들의 사생활에 어떤 의미를 갖는지에 대해 심각한 의문을 제기한다.

Webloc이란 무엇이며, 어떻게 작동하는가?

Webloc은 모바일 앱과 디지털 광고 네트워크에서 데이터를 수집한다. 무료 앱을 사용할 때, 해당 앱은 타겟 광고를 제공하기 위해 광고 네트워크와 정보를 공유하는 것이 일반적이다. 이 데이터에는 기기 식별자, 정밀 위치 좌표, 그리고 추정 연령·관심사·검색 행동과 같은 프로필 정보가 포함되는 경우가 많다.

Webloc은 이 정보를 집계해 법 집행 기관이 검색할 수 있도록 제공한다. 당국은 이를 통해 기기의 이동 이력을 추적하고, 특정인의 거주지나 직장을 파악하며, 위치 데이터에 대한 전통적인 영장 없이도 상세한 행동 프로필을 구축할 수 있다.

이 도구의 범위는 놀라울 정도로 광범위하다. 광고 네트워크는 전 세계적으로 운영되며 수동적으로 데이터를 수집하기 때문에, 기기 소유자가 특별한 행동을 하지 않더라도 데이터셋에 포함될 수 있다. 광고가 표시되는 앱을 사용하는 것만으로도 충분하다.

상업적 뒷문을 통한 영장 없는 감시

여기서 법적 맥락이 중요하다. 많은 법적 관할권에서 법원은 정부가 이동통신사나 GPS 시스템으로부터 위치 데이터를 직접 수집하는 방식에 제한을 두어 왔다. 그러나 상업적 중개업체를 통해 동일한 데이터를 구매하거나 라이선스하는 행위는 입법자들이 좀처럼 해결하지 못한 법적 회색지대에 존재해 왔다.

Citizen Lab의 보고서는 이것이 단순한 가상의 허점이 아님을 강조한다. 정부들은 이를 실제로 활용하고 있다. 서로 매우 다른 법체계를 가진 세 나라의 기관들이 관여하고 있다는 사실은, Webloc과 같은 도구가 직접적인 감시 방법에 적용되는 영장 요건을 우회하기 때문에 매력적으로 여겨진다는 점을 시사한다.

헝가리와 엘살바도르는 모두 언론인·활동가·정치적 반대자를 대상으로 감시 기술을 사용한 전력이 있어, 이번 도구의 노출은 시민 자유 연구자들에게 특히 중요한 의미를 갖는다.

이것이 당신에게 의미하는 바

이 문제는 법 집행 기관의 감시 대상이 아니더라도 당신에게 영향을 미칠 수 있다. 광고 네트워크가 수집하는 데이터는 무차별적이다. 당신이 무엇을 하든, 누구이든 상관없이, 앱이 광고 서버에 접속할 때마다 당신의 기기에서 데이터가 흘러나간다.

알아두면 유용한 몇 가지 실용적인 사항을 소개한다.

  • 기기 식별자는 지속된다. 스마트폰의 광고 ID는 앱 전반에 걸쳐 당신을 추적하도록 설계되어 있다. 주기적으로 초기화하면 프로필의 연속성을 줄일 수 있지만, 데이터 수집 자체를 완전히 차단하지는 못한다.
  • 위치 권한이 중요하다. 백그라운드에서 정밀 위치 접근을 요청하는 앱이 Webloc이 수집하는 데이터의 주요 제공자일 가능성이 높다. 위치 접근이 실제로 필요하지 않은 앱의 위치 권한을 검토하고 제한하는 것은 간단하면서도 효과적인 조치다.
  • 광고 기반 데이터 수집은 대부분 눈에 보이지 않는다. 이론적으로 삭제할 수 있는 웹사이트 추적 쿠키와 달리, 모바일 광고 SDK를 통해 흘러나가는 데이터는 사용자에게 의미 있는 방식으로 노출되지 않는다.
  • VPN은 일부 노출을 줄일 수 있다. IP 주소를 숨기면 광고 네트워크가 활동을 연결하고 위치를 추정하는 데 사용하는 데이터 포인트 하나를 줄일 수 있다. 그러나 GPS 권한을 부여한 앱이 기기의 좌표를 읽는 것까지 VPN만으로 막을 수는 없다.
  • 개인정보 보호에 중점을 둔 운영체제 설정이 도움이 된다. Android와 iOS 모두 시스템 수준에서 광고 추적을 제한하는 옵션을 추가했다. 이 옵션을 활성화한다고 해서 완전히 보이지 않게 되는 것은 아니지만, 구축될 수 있는 프로필의 정밀도를 낮추는 데 도움이 된다.

Citizen Lab의 보고서는 광고주를 위해 구축된 데이터 경제가 국가 감시를 위한 인프라로도 활용되고 있다는 사실을 상기시켜 준다. 이 두 가지는 결코 완전히 분리된 적이 없었지만, 이번에 드러난 규모와 운영 세부 사항은 그 연관성을 구체적으로 보여준다.

가장 효과적인 대응은 당황하는 것이 아니라 의도적으로 습관을 바꾸는 것이다. 기기에 설치된 앱을 점검하고, 명확한 목적 없이 부여된 권한을 제한하며, 위치 접근을 일상적인 권한이 아닌 민감한 권한으로 취급하라. 이러한 조치들이 자원이 풍부한 조직의 집중적인 수사로부터 누군가를 완전히 보호하지는 못하지만, Webloc과 같은 대규모 데이터 수집 프로그램에 대한 수동적 노출을 크게 줄여 준다.

정부와 법원이 법적 경계를 어디에 설정해야 하는지 계속해서 논의하는 동안, 이 데이터 파이프라인이 어떻게 작동하는지 이해하는 사용자들은 그 안에서 스스로를 더 효과적으로 보호할 수 있는 위치에 있다.