스마트폰에서 사용자의 움직임을 기록하는 앱이 있다는 사실은 이미 널리 알려져 있습니다. 하지만 뛰어난 보안성으로 유명한 아이폰조차, 주요 기업들이 운영하는 인기 앱 여러 곳이 사용자에게 알리지 않거나 최소한 명확하게 고지하지 않은 채 화면을 녹화하고 있는 것으로 드러났습니다. 이들 일부는 고객 경험 분석 업체인 '글래스박스(Glassbox)'를 활용해 사용자를 지켜보고 있습니다.
글래스박스, 앱을 통한 데이터 수집 지원
구글이나 페이스북이 사용자 데이터를 수집한다는 이유로 이들을 사용하지 않기로 결심했더라도, 사실 큰 의미가 없을 수 있습니다. 수많은 다른 기업들도 같은 방식으로 데이터를 수집하고 있기 때문입니다. 다만 그만큼 솔직하게 밝히지 않을 뿐입니다.
물론 어느 정도는 예상하거나 두려워하던 일이지만, 실제 증거가 나타나면 여전히 충격적일 수밖에 없습니다. 테크크런치(TechCrunch)는 호텔, 항공사, 은행, 심지어 이동통신사에 이르기까지 여러 앱이 글래스박스를 사용하고 있음을 확인했습니다.
여기에는 에어캐나다(Air Canada), 홀리스터(Hollister), 익스피디아(Expedia), 애버크롬비&피치(Abercrombie & Fitch), 호텔스닷컴(Hotels.com), 싱가포르항공(Singapore Airlines) 등이 포함됩니다. 이들은 모두 글래스박스를 사용하고 있습니다. 글래스박스는 개발자가 앱에 '세션 리플레이(session replay)' 기술을 탑재할 수 있도록 지원합니다. 이를 통해 개발자는 사용자의 화면을 녹화하고 재생하면서, 사용자가 앱과 어떻게 상호작용했는지, 어떤 부분이 제대로 작동하지 않았는지 파악할 수 있습니다.
글래스박스는 최근 트위터에서 "웹사이트나 모바일 앱이 고객이 실시간으로 무엇을 하는지, 왜 그렇게 하는지 정확히 볼 수 있다면 어떨까"라는 문구로 자사 기술을 홍보한 바 있습니다.
특히 에어캐나다는 세션 리플레이 데이터를 제대로 마스킹하지 않아 여권 번호와 신용카드 정보가 그대로 노출되는 심각한 문제가 발생했습니다.
에어캐나다는 '디 앱 애널리스트(The App Analyst)'가 항공사가 세션 리플레이를 마스킹하지 않았다고 지적하기 전에도 이미 데이터 유출 사고를 겪은 바 있습니다. 해당 전문가는 세션 리플레이를 통해 "에어캐나다 직원들, 그리고 스크린샷 데이터베이스에 접근할 수 있는 누구나 암호화되지 않은 신용카드 및 비밀번호 정보를 열람할 수 있었다"고 밝혔습니다.
글래스박스는 자사 웹사이트에 이러한 앱들을 고객사로 소개하고 있습니다. 테크크런치는 디 앱 애널리스트에게 중간자(man-in-the-middle) 도구를 활용해 실제로 어떤 데이터가 검토되고 있는지 확인해 달라고 요청했습니다. 조사 결과, 모든 앱이 마스킹되지 않은 데이터를 유출한 것은 아니었으며, 어떤 앱도 사용자 화면을 녹화하거나 데이터를 글래스박스로 전송한다고 공식 인정하지는 않았습니다.
디 앱 애널리스트는 "이런 데이터는 종종 글래스박스 서버로 전송되기 때문에, 이미 민감한 금융 정보나 비밀번호를 수집한 사례가 있었더라도 전혀 놀랍지 않을 것"이라고 경고했습니다.
홀리스터와 애버크롬비&피치 같은 일부 앱은 세션 리플레이를 글래스박스로 전송한 반면, 익스피디아와 호텔스닷컴은 자체 도메인의 서버로 세션 리플레이 데이터를 전송했습니다. 이 경우 데이터가 '대부분 난독화'되었지만, 디 앱 애널리스트는 여전히 일부 이메일 주소와 우편번호를 확인할 수 있었다고 말합니다.
어떤 앱이 사용자 화면을 녹화하는지 알아내기란 쉽지 않습니다. 테크크런치는 해당 앱들의 개인정보 처리방침에서 관련 내용을 찾지 못했으며, 애플 앱스토어의 모든 앱은 개인정보 처리방침을 갖추도록 의무화되어 있음에도 불구하고 그렇습니다.
눈을 크게 뜨고 이용해야 할 때
디 앱 애널리스트는 "사용자는 자신의 데이터를 어떻게 공유할지에 대해 능동적인 역할을 해야 한다. 그 첫걸음은 기업들이 사용자 데이터를 어떻게 수집하고 누구와 공유하는지 솔직하게 밝히는 것"이라고 강조했습니다.
안타깝게도 이런 일은 이미 예상되는 상황이 되어버렸습니다. 페이스북과 구글 같은 대형 기업들이 사용자 데이터를 의도적으로 활용하는 상황에서, 다른 앱들이 같은 행동을 하지 못할 이유가 있을까요? 따라서 기업들이 사용자에게 투명하게 알려야 하는 것은 물론이고, 사용자 역시 눈을 크게 뜨고 서비스를 이용해야 합니다.
혹시 이런 앱을 사용하고 계신가요? 아이폰에서 삭제할 생각이 드시나요? 앱을 다운로드하는 것에 대한 생각이 달라지지 않으셨나요? 글래스박스의 도움으로 아이폰 앱이 몰래 화면을 녹화하는 것에 대한 생각을 댓글로 알려주세요.