21세기에 들어서면서 온라인 감시의 위협은 어디에서나 늘 곁에 있습니다. 대규모 데이터 유출 사건, 정부의 정보 수집, 그리고 지나치게 공격적인 소셜 미디어 플랫폼들까지. 이제는 정부가 직접 나서서 '중국에서 개발된 앱을 삭제하라'고 권고하고 있습니다. 이들 앱이 전 세계적으로 방대한 스파이웨어 플랫폼의 일부가 될 수 있다는 우려 때문입니다.
그렇다면 스파이웨어 논란의 중심에 선 틱톡(TikTok)을 비롯한 중국 앱들을 스마트폰에서 삭제해야 할까요? 과연 중국 앱들은 당신의 데이터를 훔치고 있는 걸까요?
미국은 왜 중국 앱을 금지하는가?
오랫동안 중국에서 개발된 앱과 소프트웨어는 사실상 스파이웨어 역할을 한다는 의혹을 받아왔습니다. 이들 앱이 사용자 데이터를 수집해 기술 기업들을 통해 중국 정부로 전달한다는 것입니다. 특히 중국의 정치 구조상 기술 기업들이 정부와 밀접하게 협력하고 있다고 의심하는 시각이 많습니다.
미국은 왜 틱톡을 금지하려 하는가?
이러한 의혹의 최전선에는 세계를 강타한 동영상 공유 플랫폼 틱톡이 있습니다. 틱톡은 다운로드 수 20억 회를 돌파했으며, 활성 사용자는 약 8억 명으로 추산됩니다. 이들 사용자 대부분은 18~30세 연령대에 속합니다.
2020년 8월 7일 목요일, 당시 트럼프 대통령은 틱톡을 사실상 미국 내에서 금지하는 행정명령에 서명했습니다. 이 명령은 틱톡의 모회사 바이트댄스(ByteDance)를 겨냥해 해당 회사와의 모든 '거래'를 금지하는 내용으로, 발표 후 45일 뒤 발효될 예정이었습니다.
이 전면 금지 조치는 정부 관료와 군 장병의 기기를 포함한 정부 기기에서 틱톡이 먼저 차단된 데 이어 이루어진 것입니다.
중국 앱들은 정말 데이터를 도용하는가?
핵심 질문은 이것입니다. 중국 앱을 설치하면 데이터가 도용될까? 이들 앱에 제기되는 거의 모든 혐의는 데이터 절도에 초점을 맞추고 있으며, 틱톡이 그 대표적인 예입니다.
보안 연구자들은 2020년 3~4월부터 틱톡의 데이터 수집 방식에 대한 조사를 시작했습니다. 2020년 4월 9일, 레딧(Reddit) 사용자 'bangorlol'은 당시 유통 중이던 틱톡 앱 버전을 리버스 엔지니어링(역설계)한 결과를 게시했습니다. 그의 결론은 이러했습니다. "틱톡은 소셜 네트워크라는 얇은 가면을 쓴 데이터 수집 서비스다", "본질적으로 틱톡은 멀웨어(악성코드)다."
앱 역설계를 업으로 삼는다고 자칭한 사용자의 비교적 상세한 분석이었기에 해당 게시물은 큰 반향을 일으켰습니다. 다만 원글에서는 이러한 주장 뒤에 있는 구체적인 근거를 깊이 있게 설명하지 않았고, 대신 조회수 조작과 바이럴 영상 개입 같은 다른 문제들로 화제를 전환했습니다.
그러나 그 이후 틱톡의 데이터 절도 의혹에 대한 논란은 더욱 커졌습니다. 흥미롭게도 다른 보안 전문가들은 언론이나 일부 정치인들이 그리는 만큼 틱톡이 악의적이지 않다고 보는 입장입니다.
보안 전문가 마이크 톰슨(Mike Thompson)은 이렇게 말했습니다. "문서화된 실질적 위협은 아직 단 하나도 확인하지 못했다. 사람들이 소통할 수 있도록 돕기 위해 만들어진 새로운 앱에 대한 평범한 허풍에 불과하다. 물론 위험은 존재하지만, 수없이 많은 다른 소셜 네트워크보다 더 나쁘지는 않다."
마찬가지로 저명한 보안 연구자인 밥티스트 로베르(Baptiste Robert, @fs0c131y)도 "지금까지 확인한 바로는, 현재 상태의 틱톡은 수상한 행동을 하지 않으며 특별히 이례적인 데이터를 빼돌리고 있지 않다"고 결론지었습니다.
특이한 암호화 방식으로 데이터를 수집하는 틱톡
그런데 2020년 8월 중순, 새로운 사실이 밝혀졌습니다. 틱톡 앱이 iOS와 안드로이드 운영체제에서 이러한 수집을 막기 위해 마련한 보호 장치를 우회해 기기의 MAC 주소를 수집해 왔다는 것입니다. 이 수집 행위는 약 15개월간 지속되었고, 틱톡에 대한 보안 검증이 거세지기 시작한 2019년 11월에야 중단되었습니다.
MAC 주소는 모든 네트워크 어댑터에 부여되는 고유한 기기 식별자입니다. MAC 주소는 절대 변하지 않기 때문에, 이를 수집하면 개별 사용자를 매우 강력하게 식별할 수 있습니다. (물론 MAC 주소를 위조하거나 변경하는 방법이 존재하지만, 일반적인 틱톡 사용자가 그런 작업을 할 가능성은 낮습니다.)
MAC 주소가 변하지 않는다는 특성 때문에 특정 개인과 그의 행동 패턴을 장기간 프로파일링할 수 있게 됩니다. 틱톡을 둘러싼 다른 우려들과 결합하면, 사용자가 거부할 방법조차 없는 장기 추적 체계가 완성되는 셈이라 심각한 문제로 지목되었습니다.
이 정보는 월스트리트저널(WSJ)의 조사 보도에서 나온 것으로, 2018년 4월부터 2020년 1월 사이에 출시된 틱톡 앱 9개 버전을 분석한 결과였습니다. 이 분석은 다른 보안 연구자들의 결론을 상당 부분 확인해 주었습니다. 틱톡은 일반적인 소셜 미디어 앱에서 기대할 수 있는 범위를 크게 벗어나는 데이터를 수집하고 있지는 않았습니다.
그러나 WSJ의 조사는 2020년 4월 레딧 사용자 bangorlol의 지적 또한 확인해 주었습니다. 바이트댄스는 전송하는 대부분의 사용자 데이터를 SSL/TLS가 제공하는 표준 보호 수준을 훌쩍 넘는 특이한 방식의 암호화로 감싸고 있었다는 것입니다. 이것이 사용자 보안을 위한 추가 장치일까요, 아니면 틱톡이 바이트댄스 서버로 전송하는 내용을 은폐하기 위한 장치일까요?
바이트댄스가 MAC 주소를 식별·추적 용도로 사용했다면, 추가 암호화 계층의 존재를 설명할 수 있습니다. 암호화를 통해 구글과 애플이 데이터 트래픽을 분석하는 것을 차단함으로써, MAC 주소와 기타 데이터 수집 행위가 탐지되지 않게 할 수 있기 때문입니다.
이것이 다른 소셜 미디어 플랫폼과 다른 점일까?
또 하나 고려해야 할 점은 페이스북, 트위터, 인스타그램 등도 틱톡과 똑같은 행동을 한다는 사실입니다. 즉, 사용자 데이터를 빨아들이고 상세한 사용자 프로필을 생성한 뒤, 그 프로필에 맞춰 광고를 타깃팅합니다. 기기 운영체제, 화면 해상도, 기기 모델 같은 정보를 수집하는 것은 소셜 미디어 앱에서는 흔한 일입니다.
다만 중국 앱들은 필요 이상으로 더 많은 데이터를 수집한다는 의혹이 있습니다. ACLU(미국 시민자유연합)의 수석 기술 펠로우인 존 칼라스(Jon Callas)는 "중국 앱들은 종종 다른 앱들보다 훨씬 더 심각하게 남용적이다. 그리고 우리는 다른 앱들마저도 싫어한다"고 말했습니다.
나아가 우리는 이 기술 거인들이 그 방대한 데이터로 무엇을 할 수 있는지 생각해야 합니다. 캠브리지 애널리티카(Cambridge Analytica) 스캔들만 떠올려 보아도, 거대한 소셜 미디어 데이터셋이 지닌 위험한 힘을 실감할 수 있습니다. 중국산 소셜 미디어 앱으로는 처음으로 세계를 강타했고, 처음으로 모든 서구 국가와 사회 전 계층에 침투한 만큼, 악의적인 데이터 수집의 잠재력은 충분히 짐작할 수 있습니다.
다른 나라들도 중국 앱을 금지하고 있나?
금지된 중국 앱 목록은 국가에 따라 다릅니다. 앞서 말한 대로 미국은 틱톡 모회사 바이트댄스와의 거래를 금지하고 있지만, 틱톡이나 중국산 앱을 금지하는 나라는 미국만이 아닙니다.
2020년 7월 초, 인도는 틱톡과 그 외 50여 개의 중국 앱을 금지하며 이들 앱이 "인도의 주권과 영토 보전, 인도의 방위, 국가 안보 및 공공 질서에 해롭다"고 밝혔습니다. 인도 정부는 보안과 프라이버시 위험을 이유로 들었지만, 이 조치는 여러 사상자를 낸 라다흐 지역 중·인 국경 분쟁에 대한 더 폭넓은 대응의 일환이기도 했습니다.
이번 금지 조치에는 인기 메신저 위챗(WeChat), 마이크로블로그 플랫폼 웨이보(Weibo), 인기 안드로이드 게임 클래시 오브 킹즈(Clash of Kings)도 포함되었습니다.
글을 쓰는 시점 기준으로 중국 앱을 금지하는 다른 국가는 많지 않습니다. 다만 호주는 틱톡 금지를 검토 중이며, 이미 화웨이(Huawei)와 ZTE를 차단한 바 있습니다.
화웨이 5G 인프라 금지
2020년 7월, 영국은 중국 통신 대기업 화웨이를 5G 네트워크에서 배제하겠다고 발표했습니다. 영국 정부는 또한 2027년까지 기존 5G 인프라에 포함된 화웨이 기술을 모두 제거하겠다고 약속했습니다. 이는 화웨이의 핵심 국가 기반시설 내 역할을 축소하는 데서 나아가 완전히 제거해야 한다는 국내외 로비가 수개월간 이어진 끝에 나온 결정입니다.
프랑스의 틱톡 조사 착수
비슷한 시기, 프랑스 데이터 보호 기관 CNIL의 대변인은 틱톡에 대한 조사에 착수한다고 확인했습니다. 이 조사는 유럽 연합(EU) 시민들에게 추가적인 데이터 보호를 보장하는 EU의 GDPR 데이터 보호 체계 하에서 틱톡이 사용자 데이터를 어떻게 처리하는지 분석하는 내용입니다.
미국의 중국 앱 금지 조치는 공정한가?
미국(및 다른 파이브아이즈(Five Eyes) 정부들)이 데이터 수집에 대해 대담한 주장을 하는 것은 최선의 경우 위선이고, 최악의 경우 그냥 웃음거리일 뿐입니다. 그리 오래지 않은 일입니다. 에드워드 스노든이 PRISM, XKeyscore, ECHELON 등 전 세계적인 데이터 수집 프로그램을 폭로하며 세계가 발칵 뒤집혔던 것이요.
이 프로그램들은 앱을 스파이웨어로 활용하는 방식이 아니라, 국가 간을 연결하는 주요 데이터 통신 케이블(티어1 사업자 네트워크나 해저 케이블 인프라 등)에서 방대한 양의 데이터를 통째로 수집하는 방식이었습니다.
더욱이 이러한 프로그램들은 지금도 활발히 가동 중이며, 미국 정부(및 동맹국 정부들의 협력)에 의해 여러 차례 갱신되어 왔습니다.
그렇지만 물은 양쪽으로 흐릅니다. 중국 정부 역시 구글, 페이스북, 트위터, 인스타그램, 심지어 틱톡(중국판 틱톡은 '더우인(Douyin)'이라는 이름으로 별도 서비스되며 다른 콘텐츠를 보여줍니다)까지 수많은 미국 기술 기업들의 접근을 차단하고 있습니다. 또한 중국 정부는 서구 뉴스 매체와 동영상 스트리밍 서비스 등을 검열하고 있습니다.
검열의 이유는 서로 다르지만, 두 진영 모두 추구하는 목표는 같습니다. 바로 '외국 정부로부터' 자국민을 '보호'하는 것입니다.
스마트폰에서 중국 앱을 삭제해야 할까?
대통령 행정명령으로 인해 선택의 여지가 크게 줄어든 것은 사실이지만, 아마 외부 개입 없이도 스스로 결론에 도달했을 것입니다. 틱톡을 계속 사용할 생각이라면, 내 데이터가 안전하지 않으며 앱이 다른 방식으로도 문제를 일으킬 수 있다고 가정하는 것이 좋습니다.
문제는 중국, 미국, 정부의 적대 관계, 스파이 활동, 데이터 수집이 얽힌 대화는 흐름을 따라가기가 쉽지 않다는 점입니다. 단순히 '중국 = 나쁘니까 앱을 즉시 삭제하라'는 식으로 정리되지 않습니다. 많은 사람이 원하는 것은 그런 흑백논리식의 간단한 답일 테지만요.
유감스럽게도 틱톡과 중국산 앱에 대한 성난 여론은 소비자를 지정학의 무대로 몰아넣고 있습니다. 우리 데이터를 장악하기 위해 팽팽히 맞서는 두 강대국 사이에서, 소비자는 그저 놀이돌(pawn)이 된 셈입니다.
대부분의 사람들에게 틱톡은 그저 재미있는 동영상 공유 앱일 뿐입니다. 페이스북과 구글에 무한한 데이터를 공급해 주는 것이 틱톡보다 나은 걸까요? 틱톡은 정말 국가 안보 위협인 걸까요?