틱톡(TikTok)이 사용자의 동의 없이 안드로이드 기기의 MAC(미디어 액세스 제어) 주소를 수집한 것으로 알려졌습니다. 구글은 이러한 행위를 예전부터 금지해 왔지만, 틱톡은 1년 넘게 몰래 기기 데이터를 빼돌린 것으로 드러났습니다.
틱톡은 구글 플레이 스토어 규정을 어떻게 위반했을까?
월스트리트저널(WSJ)에 따르면 중국계 기업인 틱톡은 최소 15개월 동안 안드로이드 기기의 MAC 주소를 추적해 왔습니다. 틱톡이 이 방식을 사용하기 시작한 시점은 2018년입니다.
MAC 주소가 어떤 용도로 쓰이는지 잘 모르신다면 간단히 설명하겠습니다. MAC 주소는 기기를 식별하는 고유한 하드웨어 식별 번호로, 이 번호를 통해 인터넷을 탐색하는 동안 해당 기기를 찾아내고 추적할 수 있습니다.
특히 MAC 주소는 변경하거나 초기화할 수 없기 때문에 광고주에게 매우 매력적인 정보입니다. 광고주는 MAC 주소를 활용해 사용자가 열람하는 콘텐츠를 기반으로 맞춤형 광고를 집행할 수 있습니다.
즉, 틱톡은 광고 목적으로 MAC 주소를 무단 수집했을 가능성이 높으며, 이는 구글 플레이 스토어 정책에 대한 명백한 위반입니다. 구글 플레이 콘솔 도움말 페이지에는 광고 및 MAC 주소 사용과 관련한 구글의 정책이 다음과 같이 명시되어 있습니다.
광고 식별자는 어떠한 광고 목적으로도 영구적인 기기 식별자(예: SSAID, MAC 주소, IMEI 등)와 연결될 수 없습니다. 광고 식별자는 사용자의 명시적 동의가 있는 경우에 한해서만 개인 식별 정보와 연결할 수 있습니다.
문제는 여기서 그치지 않습니다. 틱톡은 사용자의 동의를 구하지 않았을 뿐만 아니라, 암호화 계층까지 활용해 자신들의 행위를 은폐한 것으로 파악됩니다. 일반적으로 다른 앱에서는 광고 ID를 재설정할 수 있지만, 틱톡이 MAC 주소를 활용하는 바람에 사용자가 이를 새로고침하는 것조차 불가능합니다.
틱톡은 2019년 11월에야 MAC 주소 수집을 중단했습니다. 흥미롭게도 이 시점은 틱톡이 여러 국가로부터 거센 비판을 받기 시작한 때와 정확히 겹칩니다.
끝나지 않는 틱톡 논란
바이트댄스(ByteDance) 산하의 틱톡은 논란과는 이미 오랜 인연입니다. 미국이 보안 위협을 이유로 앱 차단을 검토하는 상황에서도 바이트댄스는 악의적인 의도가 없다고 주장하고 있습니다. 하지만 개인정보 보호를 소중히 여긴다면, 이제 틱톡 계정 삭제를 진지하게 고려해 볼 때일지도 모릅니다.