NSA(미국 국가안보국)가 얼마나 방대한 메타데이터를 수집하고 있는지 알려진 이후, 메타데이터에 대한 관심이 크게 높아졌습니다. 언뜻 생각하면 '언제 누구에게 전화를 걸었는지만 볼 수 있고 통화 내용은 들을 수 없다면 별문제 아닌 것 아닌가?'라고 느껴질 수 있습니다. 하지만 과연 그럴까요?
메타데이터란 무엇인가?
메타데이터는 이름 그대로 '데이터에 대한 데이터', 즉 정보에 관한 정보입니다. 핵심은 메타데이터에는 메시지의 내용이 포함되지 않는다는 점입니다. 통화에서 실제로 나눈 대화나 문자 메시지의 문구는 메타데이터에 기록되지 않습니다.
그렇다면 메타데이터에는 구체적으로 어떤 정보가 담길까요? 통화의 경우 상대방 전화번호, 상대 단말기의 고유 일련번호, 통화 시각과 통화 시간, 발신자와 수신자 각각의 위치 정보가 기록됩니다. 이메일이라면 발신자·수신자의 이름과 이메일 주소, 서버 전송 경로, 날짜와 시간대 정보, 메일 제목, 읽음 확인 여부, 사용한 메일 클라이언트 정보까지 모두 포함됩니다. 심지어 트윗 하나에도 메타데이터가 담겨 있습니다.
내용은 기록되지 않았지만, 이런 세부 정보만으로도 상상 이상으로 많은 것을 파악할 수 있습니다. 그렇다면 정보기관은 이런 정보로부터 구체적으로 무엇을 알아낼 수 있을까요?
실험으로 입증된 메타데이터의 위력
시만텍(Sophos)의 보안 블로그 'Naked Security'는 흥미로운 실험 결과를 소개한 바 있습니다. 네덜란드의 한 남성이 연구자에게 자신의 휴대폰에 데이터 수집 앱을 설치하도록 허용했고, 연구자들은 딱 1주일 동안 메타데이터만을 수집했습니다. 중요한 점은 통화 내용이나 메시지 본문 같은 콘텐츠는 전혀 수집하지 않았다는 것입니다. 즉, 세계 각국 정부가 손쉽게 확보할 수 있는 종류의 정보뿐이었습니다.
그럼에도 연구자들이 알아낸 것은 놀라웠습니다. 그의 나이, 최근 졸업생이라는 사실, 장시간 노동과 긴 통근 거리, 밤늦게까지 이어지는 야근 습관, 스포츠에 대한 관심(특히 사이클링), 스칸디나비아 스릴러 소설을 즐겨 읽는 취향, 여자친구의 존재, 기독교 신앙 가능성, 네덜란드 녹색좌파당(Green Left) 지지 성향, 기술과 프라이버시에 대한 관심까지 파악했습니다. 심지어 직업 관련 정보도 상세했습니다. 그가 변호사라는 것, 어디에서 일하는지, 어떤 분야의 법률을 다루는지, 정부의 누구와 접촉하는지, 업무상 관심사는 무엇인지까지 알아냈습니다.
더 충격적인 것은, 연구자들이 메타데이터에서 얻은 정보를 Adobe 해킹 사건으로 유출된 데이터와 결합해 그의 트위터, 구글, 아마존 계정 비밀번호까지 추측해냈다는 사실입니다.
가장 두려운 부분은 여기서 드러납니다. 연구자들은 자신들이 사용한 방법과 도구가 정보기관이 활용할 수 있는 것들에 비하면 한참 미흡한 수준이라고 밝혔습니다. 이제 메타데이터가 왜 중요한 문제인지 조금은 실감이 나지 않으신가요? 물론 연구실에서 가능한 일과 정부기관이 실제로 실행하는 일 사이에는 차이가 있을 수 있습니다. 하지만 현실에서도 이미 메타데이터가 인생을 바꿔버린 사례들이 있습니다.
현실에서 벌어진 실제 사례들
메타데이터는 목숨은 몰라도 커리어를 완전히 망가뜨릴 수 있습니다. 데이비드 페트레우스(David Petraeus) 전 장군의 사례를 보십시오. 그는 미국 중부사령부 사령관으로서 아프가니스탄 주둔 미군 및 NATO 작전을 지휘했던, 화려한 경력과 존경을 받던 4성 장군이었습니다. 2011년에는 만장일치로 CIA 국장에 임명되었지만, 2012년 불명예스럽게 물러나야 했습니다. 그 이유가 바로 메타데이터였습니다.
페트레우스는 육군 출신 폴라 브로드웰(Paula Broadwell)과 혼외 관계를 맺고 있었습니다. 브로드웰이 페트레우스 가족의 지인에게 위협적인 이메일 몇 통을 보내면서 사건이 시작되었는데, 원래라면 여기서 끝났을 수도 있었습니다. 하지만 FBI는 메타데이터를 이용해 호텔에서의 계정 로그인 기록을 추적했고, 이를 호텔 투숙객 명단과 교차 대조하여 브로드웰이 이메일의 발신자임을 밝혀냈습니다. 결국 페트레우스의 불륜이 드러났고, 그는 사임하게 됩니다.
주목할 점은, 불륜 발각의 결정적 단서가 된 메타데이터 대부분이 발송된 이메일에서 나온 것이 아니었다는 사실입니다. 두 사람은 같은 이메일 계정에 번갈아 로그인해 임시 보관함에 초안을 저장하고 서로가 그것을 읽는 방식으로 소통했습니다. 그럼에도 로그인 메타데이터만으로 수사관들은 실마리를 찾아낸 것입니다.
'4성 장군급 인물은 위험하지만 평범한 시민은 가치 있는 메타데이터를 만들어내지 않는다'고 생각하신다면, 우크라이나의 시위 참가자들에게 물어보십시오. 그들은 "친애하는 가입자님, 귀하는 대규모 소요 사태의 참가자로 등록되었습니다"라는 내용의 문자 메시지를 받았습니다. 정치적·군사적 혼란 속에 있는 나라에서, 자신의 휴대폰 기록이 정부에 '시위 현장에 있었다'는 사실을 고발한다면 어떤 기분이겠습니까?
그래서 우리는 무엇을 할 수 있을까?
안타깝게도 휴대폰을 꺼두고 정말 필요할 때만 사용하는 것 외에는 뚜렷한 대책이 많지 않습니다. 예컨대 위치 정보는 없애는 것이 사실상 불가능합니다. 휴대폰은 강한 신호를 잡기 위해 끊임없이 기지국에 접속하고, 그 접속 기록은 모두 남습니다. 또 누군가에게 전화를 걸면 통화를 연결하기 위해 발신자와 수신자의 라우팅 정보가 반드시 네트워크상에 드러날 수밖에 없습니다.
메시지 내용을 보호하는 방법은 이미 다양합니다. 암호화 메신저 앱을 사용하거나 통화 자체를 암호화할 수도 있습니다. 하지만 메타데이터가 걱정된다면 최선의 전략은 NSA든 어떤 정부기관이든 걱정되는 상대에게 분석할 데이터를 대량으로 넘겨주지 않는 것입니다. 기록을 최소화하려면 어떻게 해야 할까요? 선불 번화폐(burner phone)를 사용하거나, 휴대폰을 여러 대 사용하고, 번호를 자주 바꾸며, 용도별로 다른 이메일 주소를 쓰는 방식이 특정 정보를 특정 인물과 연결 짓는 것을 어렵게 만듭니다.
개인 차원의 노력을 넘어서는 방법도 있습니다. 프라이버시 보호 캠페인에 동참하고, 기업들이 사용자 데이터를 어떻게 처리하는지 투명하게 공개하도록 압박하며, 소비 선택으로 의사를 표현하는 것입니다. 메타데이터 자체는 언제나 존재하겠지만, 기업이 그것을 정부에 넘겨줄지 여부는 우리가 바꿀 수 있는 부분입니다.
정부가 당신의 메타데이터를 손에 넣는 것이 걱정되십니까? 프라이버시를 지키기 위해 어떤 조처를 하고 계신가요? 메타데이터를 보호하기 위한 다른 전략이 있다면 댓글로 의견을 나눠주세요!
이미지 출처: Shutterstock, Wikimedia Commons