온라인 기업과 서비스가 기본적으로 사용자에 대한 많은 정보를 수집한다는 사실은 대부분 알고 있습니다. 하지만 원하지 않으면 언제든지 거부할 수 있다고 생각하지 않으신가요?
그렇게 보일 뿐 실제로는 그렇지 않은 경우가 많습니다. 많은 기업이 '다크 패턴(dark pattern)'을 활용해 사용자가 인지하지 못한 채 더 많은 개인정보를 제공하거나, 의도하지 않은 선택을 하도록 유도합니다.
이번 글에서는 다크 패턴이 심리적 편향을 어떻게 이용해 사용자의 선택을 조작하는지 살펴보겠습니다.
다크 패턴이란 무엇인가?
DarkPatterns.org는 다크 패턴을 "웹사이트와 앱에서 사용자가 의도하지 않은 물건을 구매하거나 서비스에 가입하게 만드는 속임수"로 정의합니다.
그 예시는 매우 다양합니다. 불편한 사용자 인터페이스 설계, 오해를 부르는 문구, 숨겨진 옵션 등이 대표적이며, 색상 선택조차 다크 패턴의 일부가 될 수 있습니다.
이 사이트에서는 주의해야 할 12가지 다크 패턴 유형을 소개합니다.
- 미끼 후 바꿔치기(Bait and switch): 사용자가 특정 행동을 하려 했더니 사이트가 이를 변경해 전혀 다른 결과가 발생합니다.
- 확인 수치심 유발(Confirmshaming): 거부 버튼의 문구를 사용자를 바보처럼 느끼게 만들어 죄책감으로 수락하게 합니다.
- 위장 광고(Disguised ads): 정상적인 콘텐츠인 것처럼 위장한 광고로, 가짜 다운로드 버튼 등이 대표적입니다.
- 강제 연속 결제(Forced continuity): 무료 체험이 끝나면 취소하기 어렵게 만들어 신용카드에 즉시 요금을 청구합니다.
- 친구 스팸(Friend spam): 이메일이나 소셜 계정으로 친구를 찾을 권한을 받은 뒤, 그 정보를 사용해 마치 본인이 보낸 것처럼 친구들에게 스팸을 발송합니다.
- 숨겨진 비용(Hidden costs): 배송비나 취급 수수료 같은 추가 요금을 결제 과정 맨 끝까지 숨깁니다.
- 주의 전환(Misdirection): 한 요소에 시선을 집중시켜 다른 중요한 정보에서 주의를 돌립니다.
- 가격 비교 방해(Price comparison prevention): 상품 간 비교를 어렵게 만들어 명확한 구매 판단을 못 하게 합니다.
- 프라이버시 저킹(Privacy zuckering): 사용자가 실제로 원하는 것보다 많은 정보를 공유하도록 속입니다.
- 바퀴벌레 모텔(Roach motel): 들어가기는 쉽지만 빠져나오기는 극히 어려운 상황을 만듭니다.
- 장바구니 몰래 추가(Sneak into basket): 구매 과정에서 사용자가 요청하지 않은 상품을 몰래 장바구니에 넣습니다.
- 함정 질문(Trick questions): 언뜻 보면 한 가지를 묻는 듯하지만 자세히 보면 전혀 다른 것을 묻는 형식입니다.
이러한 전술의 큰 문제점은 인간이 이에 효과적으로 대응할 준비가 되어 있지 않다는 점입니다. 우리에게는 '휴리스틱'이라 불리는 심리적 편향이 있어 특정 방식으로 반응하기 쉽습니다. 기업들이 이런 휴리스틱을 악용하면 소비자의 선택권을 빼앗는다는 지적이 많습니다.
기업들은 어떻게 프라이버시 포기를 유도하는가
2018년 발간된 'Deceived by Design' 보고서는 페이스북, 구글, 마이크로소프트가 사용자를 속여 특정 옵션을 선택하게 만드는 여러 전술을 분석했습니다. 대표적인 사례를 살펴보겠습니다.
1. 기본 설정
대형 기업이 기본값으로 많은 데이터를 수집한다는 점은 놀랍지 않습니다. 데이터로 타겟 광고를 게재하고 제3자에게 정보를 판매해 수익을 내기 때문에 최대한 많은 정보를 확보하려 하는 것입니다.
EU의 GDPR은 기업의 정보 활용 방식을 규제합니다. 서비스 운영에 필요한 범위를 넘어서는 데이터 수집을 기본값으로 설정해서는 안 되며, 관련 없는 목적의 개인정보 수집에는 사용자의 명시적 동의가 필요합니다.
페이스북과 구글은 최대한 많은 정보를 공유하도록 기본 설정한 뒤, 설정 메뉴에 직접 들어가야 수집·공유를 해제할 수 있게 합니다. 많은 사람이 설정을 일일이 수정하지 않는다는 점을 노린 다크 패턴입니다. GDPR을 준수하는 이상적인 구성이라면 기본값 없이 처음부터 모든 옵션을 사용자가 직접 선택하게 해야 합니다.
2. 설정 변경의 난이도
페이스북이나 구글의 개인정보 설정을 사용해 본 적이 있다면, 데이터 공유를 끄는 것이 얼마나 까다로운지 익히 아실 겁니다. 이들 서비스는 이미지와 텍스트 배치를 활용해 사용자가 더 많은 데이터를 공유하도록 유도합니다.
마이크로소프트도 시각적 유도 장치를 사용하지만, 많은 경우 데이터를 제공하는 것과 보호하는 데 필요한 클릭 수가 같습니다. 반면 페이스북은 누가 내 데이터를 볼 수 있는지, 무엇을 할 수 있는지 파악하려면 수많은 클릭과 화면 전환, 긴 읽기가 필요한 것으로 악명이 높습니다.
이에 비해 트위터의 개인정보 설정은 비교적 단순합니다. 모든 항목이 명확하게 라벨링되어 하나의 메뉴에서 접근 가능하며, 설정을 해제하면 경험이 나빠진다는 식의 경고 문구도 없습니다.
3. 프레이밍(Framing)
다크 패턴의 핵심은 옵션이 어떻게 제시되느냐에 있습니다. 기업은 광고주에게 데이터를 판매하는 것의 긍정적 면만 알리고 부정적 면은 숨깁니다. 또한 프라이버시 설정을 강화하면 안 되는 이유만 나열하고, 설정하지 않았을 때 직면할 수 있는 프라이버시 위험은 말하지 않습니다.
보고서는 페이스북의 얼굴 인식 설정을 예로 듭니다. 페이스북은 자동 태그 기능의 장점을 알리면서, 얼굴 인식을 끄면 낯선 사람이 내 사진을 프로필 사진으로 사용하는지 알 수 없다고 경고합니다. 사칭 문제가 실재하긴 하지만, 대부분의 사람은 그 때문에 페이스북이 자신의 얼굴을 추적하는 것을 감수하고 싶지 않을 것입니다.
같은 경고에서 페이스북은 얼굴 인식이 없으면 스크린 리더 사용자가 사진 속에 내가 있는지 알 수 없다고도 언급했습니다. 하지만 광고주가 얼굴 인식 기술로 타겟 광고를 집행할 수 있다든가, 그 데이터로 다른 일을 할 수 있다는 점은 알려주지 않습니다.
미국 캘리포니아 소비자 프라이버시법(CCPA)은 바로 이런 방식의 다크 패턴 사용을 금지합니다. "소비자의 거부(opt-out) 선택을 실질적으로 무력화하거나 훼손하는 효과"를 지닌 기만적 기법의 사용을 허용하지 않습니다.
4. 보상과 처벌
페이스북과 구글 모두 데이터를 보호하면 기능이 제한된다는 경고를 보여줍니다. 보고서 작성 당시 페이스북은 계정 삭제 옵션을 제시하면서 계정 삭제 전에 모든 데이터를 미리 다운로드할 수 있다는 사실은 알려주지 않았습니다.
사이트는 사용자가 지금까지 올린 정보를 잃고 싶지 않아 할 것이라 예상하고, 이를 통해 페이스북에 머물도록 겁을 주는 것입니다. 페이스북의 GDPR 업데이트 옵션 흐름도는 이러한 기만성을 잘 보여줍니다. 복잡한 절차 자체가 일종의 처벌이기도 합니다.
긴 선택 과정을 모두 거친 후 마지막에 계정 삭제 버튼을 누를 사람이 과연 몇이나 될까요? 페이스북은 그렇지 않을 것임을 잘 알고, 자신이 싫어하는 결정을 쉽게 내리지 못하도록 설계합니다.
기업들은 데이터를 공유하면 더 나은 서비스를 받을 수 있다고 늘 말합니다. 데이터 공유를 끄면 일부 기능을 사용하지 못하거나 맞춤형 추천이 줄어든다는 식의 경고도 반복합니다. '권장' 경로에서 벗어나면 곤봉으로 협박하는 셈입니다. 참고로 마이크로소프트는 적어도 데이터를 공유하지 않아도 윈도우가 최대 성능으로 동작한다는 문구를 포함하고는 있습니다.
5. 강제 행동과 타이밍
급할 때 좋은 결정을 내릴 수 있습니까? 모든 선택지의 장단점을 차분히 따져보 수 있습니까? 물론 아닙니다. 압박 속에서는 적당한 옵션을 가능한 한 빨리 고르고 싶어집니다.
그래서 기업들은 모바일 앱에서 사용자가 이동 중일 때 개인정보 관련 옵션과 알림을 띄웁니다. 인스타그램을 열어 짧은 스토리를 공유하려는 순간에 개인정보 설정을 검토할 마음은 없을 겁니다. 또한 앱이나 서비스의 다른 기능으로 이동하려는 찰나에 개인정보 옵션을 던져, 사용자가 성급하게 넘기고 무시하도록 만듭니다.
페이스북은 특히 심각한데, GDPR 업데이트 문서에 동의할 때까지 프로필 접근을 차단한 적이 있습니다. 대부분의 사람은 계정에 빨리 다시 들어가고 싶어 기본 옵션을 성급히 수락했을 것입니다. 이러한 문제들이 서로 맞물려 작동하는 것이 보이시죠?
기업들이 한정 특별 세일 종료까지 남은 시간을 카운트다운하는 등 소비를 부추기는 전술을, 더 많은 데이터를 내놓도록 자극하는 데 똑같이 사용한다는 점도 놀랍지 않습니다.
다크 패턴에 맞서는 방법
안타깝게도 이런 기만적 전술에 대해 개인이 할 수 있는 일은 많지 않습니다. 웹을 사용하다 보면 언젠가 반드시 마주치게 됩니다. 일반적으로 권장되는 방법은 사용하는 모든 사이트의 개인정보 옵션을 꼼꼼히 검토하는 것입니다. 설정을 깊이 파고들어 무엇을 통제할 수 있고 없는지 확인하는 것이 중요합니다.
기업이 더 많은 정보를 공유하도록 온갖 수단으로 사용자를 오도한다는 사실 자체를 아는 것이 큰 무기가 됩니다. 항상 이를 염두에 두면 그들의 함정에 걸리기 전에 미리 간파할 수 있을 것입니다.
기업이 개인정보 설정 관리를 쉽게 해준다며 호의를 베푸는 것처럼 보일 때도 실제로는 그렇지 않은 경우가 많습니다. 보고서의 가장 인상적인 문구 중 하나는 다음과 같습니다.
"구글은 사용자에게 세분화된 선택지를 압도적으로 많이 제공해 세세하게 관리하도록 함으로써, 우리의 분석에 따르면 오히려 사용자가 설정을 변경하거나 통제권을 가져가거나 대량의 데이터를 삭제하는 것을 방해하는 프라이버시 대시보드를 설계했다."
구글의 프라이버시 대시보드는 화려하고 친절해 보입니다. 하지만 실제로는 프라이버시 관리를 돕기 위해 설계된 것이 아닙니다.
또한 다크 패턴을 폭로하는 활동에 참여해 더 많은 사람이 이를 인지하도록 도울 수도 있습니다. Consumer Reports는 'Dark Pattern Tipline'이라는 사이트를 운영하며, 발견한 다크 패턴을 신고하고 다른 사람들의 제보를 열람할 수 있습니다. 해당 카탈로그를 살펴보면 실제로 마주쳤을 때 문제를 인식하는 데 큰 도움이 됩니다.
다크 패턴은 프라이버시의 적이다
기업은 사용자의 데이터를 활용해 이익을 얻고 싶어 합니다. 자발적으로 내주지 않으면 온갖 심리적 기법으로 정보를 내놓도록 조작하려 할 것입니다. 이러한 전술을 간파하고 속지 않으려면 경계심을 늦추지 말아야 합니다.
이런 식으로 사용자를 대하는 서비스를 아예 쓰지 않으면 좋겠지만, 문제가 너무 광범위해 그런 전략으로는 거의 아무것도 사용할 수 없는 현실입니다.