OnePlus, 필요 이상으로 많은 사용자 데이터를 수집하고 있다
선전(Shenzhen)에 본사를 둔 중국 스마트폰 제조업체 원플러스(OnePlus)가 사용자 데이터를 몰래 수집해 자체 서버로 전송한 사실이 적발되었습니다. 모든 스마트폰 업체가 비슷한 방식을 취한다는 점에서 크게 놀라울 일은 아니지만, 문제는 OnePlus가 실제 필요한 수준을 훨씬 초과하는 데이터를 수집했다는 데 있습니다. 이로 인해 다양한 의혹과 추궁이 이어지고 있습니다.
이 사태가 세상에 알려진 계기는 보안 연구원 크리스토퍼 무어(Christopher Moore)가 자신의 블로그에 관련 내용을 게시하면서였습니다. 그는 SANS Holiday Hack Challenge 2016에 참여하는 과정에서 OnePlus 2 스마트폰으로 인터넷을 사용할 때 프록시를 설정해야 했는데, 이때 웹 애플리케이션 보안 분석 도구인 OWASP ZAP을 활용했습니다. 분석 과정에서 open.oneplus.net 도메인으로 향하는 요청을 발견했고, 더 깊이 파고든 끝에 OnePlus 서버가 필요 이상으로 많은 정보를 수집하려 한다는 사실을 확인하게 되었습니다.
OnePlus는 어떤 데이터를 수집하는가?
OnePlus가 수집하는 데이터는 단순한 사용자 식별 추적 수준을 훨씬 넘어섭니다. 물론 거의 모든 스마트폰 제조업체가 유사한 관행을 따르며, 이러한 데이터는 주로 기기의 향후 업데이트 준비에 활용됩니다. 하지만 OnePlus가 수집하는 정보는 버그 수정과 분석에 필요한 범위를 크게 벗어납니다. 무어에 따르면 수집되는 데이터에는 기기 시리얼 번호, MAC 주소, 사용 중인 이동통신망 이름, IMEI 번호 등이 포함되어 있었습니다.
기술적인 정보 외에도 해당 기기는 휴대폰 잠금 및 해제 시점, 앱 실행 및 종료 시점, 화면 켜짐 및 꺼짐 시점과 같은 일상적인 사용 패턴 정보까지 전송하는 것으로 드러났습니다.
OnePlus의 공식 입장은?
공식 성명에서 OnePlus는 두 개의 서로 다른 경로로 데이터를 전송한다는 사실을 인정했습니다. 하나는 사용자 행동 분석을 바탕으로 소프트웨어를 개선하기 위한 것이고, 다른 하나는 더 나은 판매 지원을 제공하기 위한 것입니다. 회사 측은 이 정보가 HTTPS를 통해 안전하게 아마존(Amazon) 서버로 전송되므로 철저히 기밀이 유지된다고 강조했습니다.
또한 회사는 사용자가 언제든 설정(Settings) > 고급(Advanced) > 사용자 환경 프로그램 참여(Join User Experience Program) 메뉴에서 이 데이터 수집을 중단할 수 있다고 밝혔습니다. 그러나 정작 왜 그렇게 많은 추가 정보가 필요한지에 대한 명확한 근거는 제시하지 못했습니다. 이번 사건은 중국 스마트폰 제조업체들의 신뢰성에 대한 의문을 다시 한번 불러일으키고 있습니다.