한 보안 연구원이 지난 4월 이후 유럽연합(EU)의 연령 확인 앱을 세 번째로 뚫었으며, 이번에 그 발견에 붙은 경고는 이전 두 번보다 더 불안감을 준다. TechRadar의 보도에 따르면, 반복적인 테스트를 수행한 이 전문가는 이제 이 앱의 문제가 단순히 누군가의 나이를 증명하는 것에 그치지 않는다고 말한다. 연구원은 “다음 단계는 누구인지 증명하는 것”이라고 경고했는데, 이 한마디는 EU 연령 확인 앱 해킹을 둘러싼 논쟁 전체를 어색한 버그 이야기에서 진정한 신원 보안 문제로 전환시킨다.
연구원이 세 번에 걸쳐 뚫어낸 것
EU의 연령 확인 앱은 사람들이 최소 연령 기준을 충족한다는 사실을 확인하면서도 모든 웹사이트나 플랫폼에 불필요한 개인 데이터를 넘겨주지 않도록 하기 위해 만들어졌다. 적어도 그런 취지로 소개되었다. 출시 이후 같은 보안 연구원이 무려 세 차례에 걸쳐 그 약속을 무력화하는 방법을 찾아냈다. 매번 발견된 결함은 이 앱이 여권 스캔본이나 운전면허증 사진을 웹사이트에 직접 업로드하는 대신 사생활을 보호해주는 대안이라는 핵심 주장을 조금씩 깎아냈다.
개별 결함의 세부 내용보다 더 중요한 것은 그것들이 형성하는 패턴이다. 수억 명의 EU 시민을 위한 신뢰할 수 있고 마찰이 적은 인증 계층으로 설계·홍보된 앱이 불과 몇 달 사이에 세 차례나 독립적인 검증을 통과하지 못했다. 이것은 일회성 구현 버그가 아니다. 하나의 실적 기록이다.
연령 확인 앱이 겉보기보다 더 큰 신원 정보 표적이 되는 이유
연령 확인을 위험 부담이 낮은 소프트웨어라고 생각하기 쉽다. 은행 잔고나 병력을 증명하는 것이 아니라 단순히 18세 이상인지만 확인하면 된다. 하지만 이런 프레임은 이러한 시스템이 실제로 어떻게 구축되는지를 놓치고 있다. 나이를 신뢰성 있게 확인하려면 앱은 일반적으로 어떤 형태로든 공식 신분증이나 정부가 뒷받침하는 데이터 소스에 발을 담가야 한다. 즉, 연령 관문 뒤에 있는 인프라는 공격자들이 가장 탐내는 바로 그 신원 데이터와 직접 연결되는 경우가 많다.
이것이 바로 연구원의 경고가 지니는 핵심이다. 만약 연령 확인이 시민들이 정부와 연계된 앱을 자신의 휴대전화에 설치하는 데 익숙해지도록 만드는 쐐기 이슈라면, 규제 당국과 플랫폼이 다음으로 논리적으로 밟을 단계는 다른 서비스에 대한 더 광범위한 신원 확인이다. 지금 당장 연령 확인 계층을 조작하거나 우회할 수 있다면, 그다음에 등장할 신원 확인 계층이 본질적으로 더 안전할 것이라고 가정할 이유는 거의 없다. 더 단순한 과제에서 실패한 시스템은 더 어려운 과제에 대한 신뢰를 심어주지 못한다.
이런 우려는 EU에만 국한된 것이 아니다. 소셜 미디어에 대해 신원 확인을 요구하는 캐나다의 C-34 법안 같은 제안부터, 미국에서 현재 법적 교착 상태에 빠진 주 차원의 연령 확인 법률의 모자이크까지, 정부가 의무적인 연령 또는 신원 확인을 추진하는 곳이면 어디서든 비슷한 긴장이 전개되고 있다. 이러한 모든 시도는 이용자들에게 정치적 압력 속에서 급하게 구축된 인증 계층이 실제 공격자들을 상대로 버텨낼 것이라고 신뢰하라고 요구한다.
EU의 개인정보 보호 약속과 이 앱의 현실적인 보안 허점
이 앱이 도입될 당시, 관계자들은 사용자가 제삼자에게 신원 문서를 노출하지 않고도 나이를 확인할 수 있도록 하는 기술적으로 건전한 해결책이라고 설명했다. 반복된 해킹은 그 서사를 상당히 복잡하게 만든다. 개인정보 보호 옹호자들은 연령 확인이 주장하는 바가 검증을 견디지 못하는 방식에 대해 이미 구조적인 우려를 제기해 왔다. EDRi 자문위원이 분석한 연령 확인 개인정보 보호 주장이 헛된 이유에 자세히 나와 있듯이, 이러한 시스템이 약속하는 것과 실제로 보장할 수 있는 것 사이의 괴리는 이번 최신 해킹 훨씬 이전부터 반복되어 온 주제였다.
그 회의는 정치적 행동으로 이어졌다. 해적당의 지지를 받는 EU 시민들은 연령 확인에서 개인정보 보호를 열망에 그치지 않고 법적 구속력이 있게 만들기 위한 공식 이니셔티브를 추진했으며, 이 움직임은 EU 시민들이 연령 확인의 개인정보 보호를 법적 구속력 있게 만들려는 움직임에 관한 보도에서 다루어졌다. 그 캠페인의 존재는 간단한 점을 강조한다. 지금 당장 이 앱에 붙은 개인정보 보호 보장은 정책적 약속이지 강제 가능한 기술적 사실이 아니며, 몇 달 사이에 세 차례의 별도 해킹이 그 차이를 무시하기 어렵게 만든다.
이것이 여러분에게 의미하는 바
여러분이 이 연령 확인 앱을 설치했거나 설치를 고려 중인 EU 거주자라고 해서, 이번 사건이 데이터가 확실히 노출되었음을 의미하는 것은 아니다. 다만 이 앱의 보안 보증이 외부 테스트에서 일관되게 유지되지 않았다는 뜻이며, 당분간 이 앱을 얼마나 의지할지 판단할 때 고려할 만한 가치가 있다.
실질적으로 이는 앱에 엄격히 요구되는 수준 이상으로 개인 정보를 연결하는 일에 신중을 기하고, 앱과 기기 소프트웨어를 최신 상태로 유지하며, 공개된 결함 각각에 관한 패치나 수정 사항에 대한 EU의 공식 소통에 주의를 기울여야 한다는 의미다. 또한 자발적인 약속만으로 충분하다고 가정하기보다는 구속력 있고 강제 가능한 개인정보 보호 규칙을 요구하는 움직임을 지지해야 함을 뜻하는데, 바로 그 압력이 유망한 설계를 진정으로 신뢰할 수 있는 설계로 바꾸는 힘이 되기 때문이다.
더 넓은 교훈은 이 하나의 앱을 넘어선다. 더 많은 정부가 의무적인 연령 및 신원 확인을 실험함에 따라, EU의 경험은 속도가 보안 테스트를 앞지를 때 무엇이 잘못될 수 있는지 보여주는 유용한 사례 연구가 되고 있다.
실행 가능한 핵심 요약:
- 법적으로 요구되는 최소한을 넘어서는 개인 데이터를 어떤 연령 확인 앱에도 첨부하지 않도록 제한하라.
- 공식 패치 발표를 주시하고, 수정 사항이 배포되면 즉시 앱을 업데이트하라.
- 공식적인 ‘기술적으로 준비되었다’는 주장에만 의존하지 말고 독립적인 보안 연구를 따르라.
- 자발적 약속이 아니라 연령 확인 시스템에서 법적 구속력이 있는 개인정보 보호를 요구하는 목소리를 지지하라.
- 신원이나 연령 데이터를 다루는 모든 앱을 금융 앱 또는 의료 앱에 적용하는 것과 동일한 주의로 다루라.
