온라인 쇼핑 중 마음에 드는 상품을 찾아 결제 페이지로 이동하고 결제를 마친 경험, 누구나 있으실 겁니다. 브라우저는 사용자 이름을 기억하고, 경우에 따라 비밀번호까지 저장해 줍니다.
그런데 갑자기 신용카드 정보를 저장하시겠습니까?라는 질문이 나타난다면 어떨까요? 과연 브라우저가 이 민감한 정보를 안전하게 지켜줄 수 있을까요? 자동 완성(Autofill) 기능을 아예 사용하지 않는 것이 좋을까요? 그리고 웹사이트를 방문하는 동안 브라우저는 어떻게 금융 데이터를 보호할 수 있을까요?
자동 완성(Autofill)이란 정확히 무엇일까?
우리는 브라우저에 엄청난 양의 데이터를 맡기고 있습니다. 대부분은 어쩔 수 없다는 생각 때문입니다. 예를 들어 검색 기록이 대량으로 유출되지 않을 것이라는 확신이 있어야 인터넷을 편안하게 사용할 수 있죠. 하지만 동시에 많은 사람들은 광고에 활용되는 개인정보 수집에는 경계심을 느낍니다.
그럼에도 우리는 무심해지고, 자동 완성(구글 크롬 등 웹 브라우저의 기능)과 자동 채우기(Autocomplete)에게 번거로운 작업을 맡깁니다.
아무도 폼 작성을 좋아하지 않습니다. 그래서 자동 완성 기능을 켜두면 이메일, 전화번호, 주소를 알아서 입력해 줍니다. 물론 이 기능은 직접 활성화해야 하는데, 설정 방법은 뒤에서 다시 설명하겠습니다. 시장 점유율이 압도적인 구글 크롬, 사파리, 마이크로소프트 엣지 등 주류 브라우저 대부분이 이 기능을 제공합니다.
오페라와 모질라 파이어폭스에서도 자동 완성을 사용할 수 있는데, 특히 이 두 브라우저는 프라이버시 보호에 중점을 두는 것으로 유명합니다.
이 모든 것이 자동으로 저장되는 쿠키를 통해 이루어진다고 생각할 수 있지만, 실제 구현은 훨씬 복잡합니다. 단순히 정보를 저장하는 것만이 아니라, 적절한 필드에 정보를 배치하는 것까지 포함되기 때문입니다.
브라우저에는 자동 완성 전용 섹션이 있어서 신용카드나 체크카드 정보를 미리 추가해 두면 이후 결제 시 손쉽게 활용할 수 있습니다. 크롬의 경우 chrome://settings/autofill에 접속해서 결제 수단만 입력하면 됩니다.
하지만 잠깐! 그 전에 위험 요소부터 알아두셔야 합니다...
결제 수단에 자동 완성을 사용해도 될까?
신용카드 정보에 자동 완성을 사용할 때의 문제는 브라우저를 신뢰하느냐의 문제가 아닙니다. 진짜 문제는 해커가 피싱 사이트를 통해 이 정보에 접근할 수 있다는 점입니다.
피싱은 개인정보를 탈취하는 대표적인 사기 수법입니다. 사이버 범죄자들이 만든 웹사이트에는 기본적인 정보를 입력하는 텍스트 박스가 있는데, 우리는 어차피 이런 정보를 자주 제공하곤 하죠. 개인 데이터의 가치에도 불구하고 이름과 이메일 주소는 쉽게 제출합니다. 소셜 네트워크, 온라인 쇼핑몰, 뉴스레터 가입에 이미 익숙하기 때문에 더 이상 귀중한 자산처럼 느껴지지 않는 것입니다.
자동 완성이 켜져 있다면 이런 텍스트 박스가 자동으로 채워집니다. 문제는 일부 피싱 사이트에는 숨겨진 요소(hidden element)가 있다는 점입니다. 사용자 눈에는 보이지 않지만, 페이지 스크립트를 분석해 보면 악성 코드가 숨겨진 의도를 드러냅니다. 이 코드는 자동 완성 기능을 속여 해당 사이트에서 승인한 적 없는 개인 데이터까지 입력하게 만듭니다.
다행히 모든 브라우저가 이렇게 작동하는 것은 아닙니다. 크롬과 파이어폭스는 사용자가 직접 클릭한 입력란에만 카드 정보를 채웁니다. 폼 요소가 화면에 보이지 않으면 클릭할 수 없으므로, 자동 완성이 추가 데이터를 넘겨주지 않는 것입니다.
하지만 이것만 걱정할 일은 아닙니다. 더 중요한 질문은 "다른 사람이 내 브라우저에 접근하면 어떻게 될까?"입니다.
이런 상황은 몇 가지 방식으로 발생할 수 있습니다. 첫 번째는 단순합니다. 같은 기기를 다른 사람이 사용하는 경우입니다. 컴퓨터를 공유하는 사람들을 신뢰하더라도, 버리거나 재판매하는 하드웨어는 심각한 보안 위협이 될 수 있습니다. 따라서 기기를 넘길 때는 모든 데이터를 완전히 삭제하는 것이 이상적입니다.
또 다른 경로는 역시 피싱입니다. 베가 스틸러(Vega Stealer)를 예로 들어보겠습니다. 이 악성코드는 주로 마케팅 및 PR 업계 종사자를 표적으로 하는 이메일 캠페인을 통해 유포되었습니다. 베가 스틸러의 주된 목적은 크롬과 파이어폭스에 저장된 정보, 즉 쿠키와 자동 완성용 자격 증명을 수집하는 것이었습니다.
결국 데이터를 로컬에 저장한다고 해서 제3자가 접근할 수 없다는 보장은 없는 셈입니다.
데이터 전송 과정은 브라우저를 신뢰할 수 있을까?
금융 정보 자동 완성을 온전히 신뢰할 수 없다면, 결제 정보 자체를 브라우저에 맡겨도 괜찮을까요?
브라우저 업체들도 사용자를 보호할 의무가 있음을 잘 알고 있습니다. 사용자를 제대로 챙기지 못하면 불만을 품은 고객들은 경쟁사로 떠나갈 테니까요.
기기와 웹사이트 서버 간에 전송되는 데이터는 반드시 암호화되어야 합니다. 암호화되면 올바른 복호화 키, 즉 비밀번호를 가진 사람 외에는 개인 정보를 읽을 수 없습니다. 사이트가 안전한지 확인하려면 URL을 살펴보세요. "HTTPS"라고 되어 있다면 그 추가된 "S"는 "Secure(보안)"를 의미합니다.
VPN(가상 사설망)을 사용하는 것도 좋은 방법입니다. VPN은 두 지점 사이에 터널을 만들어 줍니다. 내 PC와 방문 중인 웹사이트 사이에 터널이 있다고 상상해 보세요. 양쪽 끝단에 있는 사람 외에는 터널을 통과하는 내용을 볼 수 없습니다. VPN은 기기가 공용 네트워크에 연결되어 있을 때도 데이터를 보호해 줍니다.
VPN으로는 ExpressVPN(링크를 통해 최대 49% 할인 가능)과 CyberGhost를 추천합니다.
VPN은 보통 정기적인 비용이 드는 서비스지만, 오페라에는 VPN이 기본 탑재되어 있습니다. 기본값으로 꺼져 있으므로 브라우저 설정에서 [개인정보 및 보안 > VPN 사용]으로 이동해 활성화해야 합니다.
아쉽게도 다른 브라우저에는 이런 기능이 없습니다. 부분적으로는 VPN이 쿠키 수집을 차단하기 때문인데, 많은 이들이 쿠키가 온라인 경험을 향상시킨다고 여기지만, 베가 스틸러 사례에서 보듯 악용될 수도 있습니다.
그리고 잊지 말아야 할 점은, 어느 정도는 브라우저를 신뢰할 수밖에 없다는 사실입니다. 온라인 쇼핑을 한다면 브라우저가 필요한 보안 조치를 취하고 있다는 확신이 있어야 합니다. 그렇지 않다면 오프라인 매장만 찾아다닐 수밖에 없겠죠.
자동 완성 기능을 끄는 방법
사용하는 브라우저에 따라 절차가 다르지만, 대체로 매우 간단합니다. 크롬을 예로 들면, 오른쪽 상단의 세로 점 3개(⋮) 메뉴를 클릭한 후 [설정]으로 이동하거나, chrome://settings/autofill로 바로 접속하는 지름길을 이용하세요.
거기서 자동 완성을 완전히 끄거나, 결제 수단만 수집하지 않도록 선택적으로 설정할 수 있습니다. 자동 완성의 프라이버시 영향에 대한 심층 분석에서 모든 주류 브라우저에서 이 기능을 비활성화하는 방법을 확인할 수 있습니다.