주머니 속 스마트폰을 들고 다니는 것이 곧 24시간 내내 개인 추적기를 품고 다니는 것과 같다는 사실은 누구나 알고 있습니다. 우리는 편리함을 위해 많은 것을 희생하고 있죠.
빠른 검색 서비스를 이용하는 대가로 구글에게 수많은 정보를 넘겨줍니다. 가족과 친구들과 연락을 유지하기 위해 페이스북에는 자신에 대한 방대한 정보를 제공합니다. 포켓몬 GO가 개인정보를 침해할 수 있다는 우려도 있었고요.
하지만 여러분의 사진, 블루투스, 심지어 스마트폰 배터리까지도 당신을 감시하는 데 사용될 수 있다는 사실은 모르셨을 겁니다…
사진에 저장된 위치 정보(지오태깅) 데이터
교환 이미지 파일(EXIF) 정보는 전문 사진작가든 아마추어든 놀랍도록 유용합니다. 스마트폰이나 디지털 카메라로 사진을 찍으면 이 데이터가 자동으로 포함되는데, EXIF 정보에는 촬영 날짜와 시간, 초점 거리, 사용된 카메라, 화면 방향 등이 담길 수 있습니다. 어떤 사진의 노출이 마음에 든다면 EXIF 데이터를 확인해 동일하게 재현할 수 있죠.
스마트폰 역시 이미지가 촬영된 날짜 정보를 담고 있습니다. 아이폰에서 사진을 넘겨보면 각 사진마다 해당 정보가 표시됩니다. 온라인에서 저장한 이미지라면 포토 스트림에 추가한 날짜 또는 원래 소유자가 실제로 촬영한 날짜를 확인할 수 있을 겁니다.
그런데 스마트폰의 지오태깅 기능 때문에 저장되는 정보에는 '위치'까지 포함됩니다.
GPS를 사용하는 한, 당신이 어디를 다녀왔는지 성공적으로 추적할 수 있습니다. 이 데이터와 사진 속 정보를 결합하면 낯선 사람도 당신이 휴가를 어디서 보냈는지, 어떤 행사에 정기적으로 참석하는지, 그리고 그렇습니다, 어디에 살고 있는지까지 알아낼 수 있습니다.
대부분의 경우 크게 걱정할 일은 아닙니다. 어차피 폰을 넘겨보는 사람은 본인뿐이겠죠? 도난 가능성은 차치하더라도, 문제는 기기를 다른 사람에게 넘길 때 발생할 수 있습니다. 공장 초기화로도 모든 폰의 데이터가 완전히 삭제되지 않기 때문에, 하드웨어를 판매하거나 재활용하기 전에는 반드시 데이터를 암호화해야 합니다.
또 하나의 걱정거리는 해킹입니다. 수많은 유명인들의 iCloud 계정이 해킹당해 민감한 사진들이 유출됐던 사건을 기억하실 겁니다. 사이버 범죄자들이 잠재적 협박 자료뿐 아니라 놀라울 정도로 많은 메타데이터까지 확보했던 대표적인 사례죠. 마찬가지로 스냅챗을 포함한 소셜 미디어 계정들도 해킹당했습니다. 다행히 페이스북과 트위터는 삽입된 정보를 자동으로 제거하므로, 그곳에서는 더 이상 신경 쓸 필요가 없습니다.
그럼 어떻게 해야 할까요? 대부분의 스마트폰은 지오태그 메타데이터를 제거하는 옵션을 제공하며, 생각보다 매우 간단합니다.
예를 들어 아이폰에서는 설정 > 개인정보 보호 및 보안 > 위치 서비스로 이동하면, GPS 사용을 허용한 앱 목록 상단 근처에서 카메라를 찾을 수 있습니다. 앱을 사용하는 동안으로 설정되어 있다면 안 함으로 변경하세요. 이참에 현재 위치 접근 권한을 준 앱들이 적절한지도 함께 점검해 보는 것이 좋습니다.
안드로이드에서는 카메라 앱을 열고 메뉴를 누른 뒤 톱니바퀴 아이콘을 눌러 설정에 진입하세요. 기기에 따라 위치, GPS 태그, 또는 지오태그 등의 항목이 보이는데, 이를 비활성화하면 됩니다.
블루투스가 당신의 위치와 연락처를 위협하고 있나요?
요즘 대부분은 Wi-Fi로 휴대폰 간 정보를 주고받지만, 한동안은 블루투스에 의존할 수밖에 없었습니다. 블루투스는 기기 간 무선 근거리 연결 기술로, 스피커나 핸즈프리 키트, (경고 기사에도 불구하고) 키보드를 연결할 때 특히 유용하기 때문에 여전히 스마트폰에 탑재되어 있습니다.
최신 블루투스는 잠재력이 있지만, 여전히 싫어하는 사람이 많습니다. 그 큰 이유 중 하나가 바로 '검색 가능(discoverable)' 상태라는 점입니다.
설정을 적절히 변경하지 않았다면, 다른 사람들이 블루투스를 통해 여러분의 기기를 쉽게 찾아낼 수 있습니다. 이런 감시는 곤란한 문제이며, 예컨대 상점들이 여러분을 특정해 타깃 마케팅을 하는 데 사용될 수 있습니다. 매장 감시 시스템은 여러분이 매장의 특정 구역을 얼마나 자주 방문하는지까지 파악할 수 있습니다. 이미 매장들은 Wi-Fi 분석으로 고객을 추적하고 있지만, 블루투스는 좋은 대안이 됩니다.
그럼에도 불구하고 블루투스를 '검색 불가(non-discoverable)'로 바꾸면 안전하다는 미신이 있습니다. 안타깝게도 해커들은 그 정도로 얕지 않습니다.
이로 인해 '블루재킹(Bluejacking)'이 등장했습니다. 즉, 블루투스를 통해 도청 소프트웨어와 악성코드를 포함한 악성 콘텐츠를 휴대폰으로 보내는 공격입니다. 예를 들어 2012년, 보안 솔루션 업체 카스퍼스키 랩(Kaspersky Labs)은 이스라엘, 수단, 시리아 등에서 사용되고 이란에서 가장 널리 발견된 악성코드 '플레임(Flame)'을 밝혀냈습니다. 상당한 파일 크기(그리고 발견되기까지 최소 2년이 걸렸다는 사실) 때문에 카스퍼스키는 이렇게 말했습니다:
"[역사상] 발견된 가장 복잡한 위협 중 하나다."
플레임은 블루투스를 이용해 사용자 기기뿐 아니라 근처의 블루투스 활성화 스마트폰에서도 연락처 이름과 전화번호를 검색·다운로드했습니다. 게다가 설치 후에는 통화(스카이프 포함)를 녹음하고, 비밀 메시징과 이메일을 포함한 화면을 캡처해 발신자에게 되돌려 보낼 수 있었습니다. 말할 것도 없이, 비밀 정보기관의 무기고에 안성맞춤인 도구였습니다.
이것이 바로 블루투스가 당신을 감시하는 데 쓰일 수 있는 잠재력을 보여주는 사례입니다.
그럼 어떻게 해야 할까요? 문제를 인식하는 것이 좋은 첫걸음입니다. 특히 아이폰은 블루투스를 쓰지 않는다고 순진하게 생각한다면 더욱 그렇습니다. (비난하는 게 아닙니다. 저도 몇 년간 몰랐으니까요!)
첫 번째 방어선은 물론 탄탄한 4자리 암호입니다. 뻔한 조합은 피하세요. 하지만 가장 좋은 방법은 블루투스를 끄는 것입니다. 해커가 기기에 침입하는 것을 막아주죠. '검색 불가' 설정이 안전해 보일 수 있지만, 사용할 때만 블루투스를 켜는 편이 훨씬 낫습니다.
네, 배터리도 당신을 감시할 수 있습니다
터무니없이 들리지만, 비교적 최근에 밝혀진 바로는 스마트폰 배터리조차 당신을 감시하는 데 사용될 수 있습니다.
좋은 의도에서 시작된 기능입니다. 웹사이트와 앱은 스마트폰의 남은 배터리량 정보를 자동으로 요청할 수 있고, 배터리가 부족하면 사이트가 저전력 버전을 제공해 소중한 배터리를 아껴주는 거죠.
하지만 상위 100만 개 사이트를 조사한 연구 결과에 따르면, 일부 서비스는 이 데이터를 이용해 온라인 활동을 감시하고 VPN(가상 사설망) 사용 같은 이미 적용 중인 개인정보 보호 조치를 우회할 수 있습니다. 이를 막을 방법이 거의 없다는 점에서 섬뜩한 생각입니다.
즉각적인 우려는 이 프로토콜이 사용자의 허가 없이 실행될 수 있다는 점이었지만, 배터리가 닳기까지의 예상 시간과 충전에 걸리는 시간 데이터를 전송하는 용도에 불과했기 때문에 큰 경종을 울리지는 못했습니다. 그런데 이 두 정보가 결합하면 식별자(identifier)가 될 수 있으며, 특히 이 정보가 30초마다 새로고침된다는 점이 문제입니다. 즉, 시크릿 브라우징이나 앞서 언급한 VPN으로 나눠진 것처럼 보이는 두 데이터 세트가 연결될 수 있어, 아무리 탐지를 피하려 해도 브라우징 기록이 추적될 수 있습니다.
같은 사이트를 자주 방문하면 쿠키를 삭제했더라도 복원될 수 있는데, 이를 '리스폰(respawning)'이라 합니다. 오랜 기간 이런 관행이 이어지면 — 예컨대 출근 전 매일 아침 방문하는 사이트들 — 기기에 더 확실한 고유 식별자가 부여될 수 있습니다.
크게 문제삼지 않을 수도 있습니다(어차피 페이스북 공유 버튼을 포함해 온갖 서비스에 온라인에서 추적당하는 데 익숙하니까요). 하지만 현실 세계의 결과도 있습니다. 대표적인 사례가 인기 택시 회사 우버(Uber)입니다. 우버는 의심스러운 영업 기법을 부인하지만, 배터리가 거의 방전됐을 때 고객에게 더 많은 요금을 청구할 가능성이 있다는 점은 인정했습니다. 우버의 경제연구소장 키스 첸(Keith Chen)은 이렇게 말합니다:
"휴대폰 배터리가 5%까지 떨어져 아이폰의 작은 아이콘이 빨갛게 변하면, 사람들은 '집에 가야 하는데, 아니면 집에 갈 방법을 모르겠다'고 말하기 시작합니다. 우리는 절대 이것을 이용해 더 높은 급행 요금(surge price)을 부과하지 않습니다. 하지만 인간 행동의 흥미로운 심리학적 사실이죠."
그럼 어떻게 해야 할까요? 이 관행에 맞서기는 쉽지 않습니다. 배터리가 부족할 때 데이터가 수집되므로 배터리를 충분히 유지하는 것이 좋고, 배터리를 급속히 소모하는 앱을 피하는 것도 방법입니다. 그 외에도 자주 방문하는 사이트는 특정 기기(예: 회사 PC)에서만 접속해 스마트폰이 집요하게 추적당하지 않도록 하는 것을 고려해 볼 만합니다.
스마트한 감시?
감시자들에게는 은밀한 기만이야말로 최고의 추적 방법입니다. 여러분의 개인 정보를 최대한 많이 얻고 싶은 이들에게는 더욱 그렇죠. 따라서 이런 사실을 널리 알리는 것이 큰 도움이 됩니다. 그럼에도 감시 기술은 끊임없이 진화할 것이며, 이 세 가지 사례는 현대의 서비스가 얼마나 교묘해질 수 있는지 잘 보여줍니다.
그 외에 어떤 추적 방식이 여러분을 놀라게 했나요? 빅 브라더에 맞서 어떻게 대응하고 계신가요?