틱톡(TikTok)은 세계에서 가장 빠르게 성장하는 소셜 네트워크 중 하나로 자리 잡았습니다. 전 세계적으로 8억 명이 넘는 사용자를 보유하고 있으며, 그중 약 절반이 16세에서 24세 사이의 젊은 층입니다.
하지만 틱톡에 대한 개인정보 우려는 한동안 끊이지 않았습니다. 최근 공개된 정보들은 틱톡이 사용자의 프라이버시를 침해하는 방식을 적나라하게 드러내며 큰 충격을 주고 있습니다.
이번 글에서는 틱톡이 스마트 기기를 어떻게 위협하는지 자세히 살펴보고, 우리가 취할 수 있는 대응 방법까지 함께 알아보겠습니다.
클립보드까지 훔쳐보는 틱톡
대부분의 앱이 광고와 데이터 분석 목적으로 사용자 정보를 수집한다는 것은 이미 잘 알려진 사실입니다. 그런데 틱톡은 이를 극단까지 밀어붙이고 있는 것으로 보입니다. 트위터 사용자 제레미 버그(Jeremy Burge)가 공개한 사례에 따르면, 앱을 사용하고 있지 않은 상황에서도 몇 초마다 클립보드의 내용이 틱톡에 복사되는 현상이 확인되었습니다.
클립보드에 접근하는 행위 자체는 틱톡만의 특별한 것은 아닙니다. 다른 앱들도 편의 기능 제공을 위해 클립보드를 읽곤 하지만, 이를 데이터 수집 수단으로 삼지는 않습니다. 진짜 문제는 어떤 앱이 정당한 기능 때문에 클립보드를 확인하는지, 아니면 단순히 데이터를 캐내는 것인지 구분할 방법이 전혀 없다는 점입니다.
상황은 더 심각합니다
클립보드를 이렇게 자주 복사하는 것이 다소 이상하게 들릴 수 있지만, 그것만으로 크게 위험하다고 느끼지 않을 수도 있습니다. 그러나 포브스(Forbes) 칼럼니스트 잭 도프먼(Zak Doffman)이 설명하듯 문제는 단순하지 않습니다.
"이 취약점의 가장 심각한 문제는 애플의 유니버설 클립보드 기능입니다. 맥(Mac)이나 아이패드에서 복사한 모든 내용이 아이폰으로 전달되고, 그 반대도 마찬가지죠. 즉, 작업 중에 틱톡이 휴대폰에서 활성화되어 있다면, 다른 기기에서 복사한 모든 것—비밀번호, 업무 문서, 민감한 이메일, 금융 정보까지—앱이 읽을 수 있습니다."
이러한 동작이 고의든 부실한 코드 작성의 결과든 상당히 걱정스러운 상황임은 분명합니다. 다만 이 취약점을 악용하려던 것이 틱톡 개발팀의 원래 의도였을 가능성은 낮아 보입니다.
그런데 같은 포브스 기사 후반부에서 틱톡은 클립보드 감청이 '안티 스팸 기능'인지, 아니면 구글 광고 SDK(소프트웨어 개발 키트)의 오류인지조차 명확하게 답변하지 못했습니다.
역공학으로 드러난 틱톡의 내부
틱톡의 작동 방식을 우리가 이토록 자세히 알게 된 배경에는 레딧(Reddit) 사용자 'bangorlol'의 기여가 큽니다. 현재는 삭제된 틱톡 비판 게시물의 댓글에서 그는 직접 앱을 역분석하여 발견한 사실들을 공개했습니다.
이 스레드와 여러 시민 저널리즘 조사 결과를 종합하면, 틱톡은 윤리적으로 문제가 있거나 무능한 개발자들이 만든 앱이라는 결론에 이릅니다. 어느 쪽이든 사용자 보안에는 좋지 않은 신호입니다. u/bangorlol이 정리한 틱톡의 주요 데이터 수집 항목은 다음과 같습니다.
- 휴대폰 하드웨어 정보: CPU 종류, 코어 수, 하드웨어 ID, 화면 크기, DPI, 메모리 사용량, 디스크 용량 등
- 설치된 앱 목록: 이미 삭제한 앱까지 분석 데이터에 나타나는 경우도 있었다고 합니다
- 네트워크 관련 정보: IP, 로컬 IP, 라우터 MAC 주소, 기기 MAC 주소, 와이파이 접속점 이름 등
- 루팅 또는 탈옥 여부
- GPS 위치 추적: 일부 앱 버전은 약 30초마다 한 번씩 위치 신호를 보냈으며, 위치 태그를 단 게시물을 올리면 기본적으로 활성화됩니다
- 로컬 프록시 서버: '미디어 트랜스코딩'을 위해 기기에 프록시 서버를 설치하는데, 인증 절차가 전혀 없어 쉽게 악용될 수 있습니다
여기에 틱톡이 원격 ZIP 파일을 다운로드한 뒤 압축을 풀고 그 내용을 실행하는 코드까지 포함하고 있다는 사실까지 더해지면, 상황은 실제로 매우 위험해 보입니다.
이제 틱톡을 삭제해야 할까?
이렇게 많은 보안 문제가 있다면 계속 사용할 이유가 없어 보이지만, 일부 개발자들은 다른 견해를 갖고 있습니다. 틱톡이 극단적인 사례일 뿐, 사실 우리가 사용하는 거의 모든 앱이 데이터를 수집하고 있다는 것입니다.
틱톡 논란에서 놓치기 쉬운 한 가지 측면도 있습니다. 구글과 애플은 플레이 스토어와 앱 스토어에 앱을 등재하기 위해 모든 회사가 준수해야 하는 기준을 마련해 두었습니다. 물론 이것이 사용자를 완벽하게 보호해 주지는 못하지만, 같은 플랫폼의 다른 앱들과 전혀 다른 방식으로 작동하는 앱이 단독으로 존재할 가능성은 낮아 보입니다.
이를 다행스러운 일로 볼지, 아니면 스마트폰 보안 수준이 처참하다는 추가 증거로 받아들일지는 독자 여러분의 판단에 달려 있습니다.
아이가 틱톡을 계속 사용하고 싶어 한다면, 먼저 아동을 위한 틱톡 안전 설정 방법을 확인해 보시기 바랍니다.
문제는 틱톡만이 아닙니다
최근 틱톡 관련 뉴스가 쏟아지다 보니, 불투명한 데이터 사용으로 비판받은 회사가 틱톡만 있는 것이 아니라는 사실을 잊기 쉽습니다. 페이스북(Facebook)은 반복적으로 프라이버시의 악몽임을 입증해 왔으며, 틱톡에 제기된 어떤 의혹보다도 훨씬 과도한 방식으로 사용자를 추적해 왔습니다. 그럼에도 이런 비판 때문에 페이스북을 떠난 사용자는 극소수였고, 틱톡도 비슷한 양상을 보일 가능성이 있습니다.
틱톡 논란에 대한 또 다른 시각도 있습니다. 보안 문제가 심각한 것은 사실이지만, 정치적 긴장 관계 때문에 상대적으로 더 큰 감시를 받고 있다는 것입니다. 인도는 이미 틱톡을 포함한 수많은 중국 앱을 금지했고, 미국도 유사한 조치를 검토 중입니다. 흥미롭게도 이 두 국가 모두 중국과 갈등 관계에 있다는 점이 시사하는 바가 큽니다.
틱톡 보안, 앞으로는 어떻게 될까?
bangorlol의 레딧 게시물과 트위터 사용자들의 폭로는 큰 파장을 일으켰습니다. 이제 틱톡 개인정보 문제는 실질적인 추진력을 얻었고, 틱톡의 숨겨진 행보를 파헤치는 작은 커뮤니티까지 형성되었습니다.
이러한 활동의 거점 중 하나는 bangorlol이 시작한 '틱톡 리버싱' 서브레딧으로, 현재 1,000명이 넘는 회원들이 크라우드소싱 방식으로 새로운 폭로 자료를 모으고 있습니다.
또한 Penetrum, Zimperium 등 여러 보안 연구 그룹이 틱톡 관련 분석 보고서를 발표한 바 있습니다.
소셜 미디어는 당신의 보안을 잠식합니다
틱톡의 보안 문제는 새로운 이야기가 아닙니다. 우려되는 상황이지만, 계정 보안을 강화할 방법은 여전히 존재합니다.
그러나 확실한 사실 하나가 있습니다. 틱톡을 비롯한 대부분의 소셜 미디어 앱은 매일 우리의 보안을 잠식하고 있다는 점입니다. 틱톡을 떠나 대체 서비스로 옮기는 것이 좋은 시작일 수 있지만, 확실한 해결책은 소셜 미디어를 완전히 끊는 것뿐입니다!