개인 정보 보호에 대한 관심이 날로 높아지면서, 자신의 검색 활동이 추적된다는 사실을 우려하는 인터넷 사용자가 많아지고 있습니다. 그러나 여전히 많은 사람들이 자신의 평소 습관에서 비롯되는 위험을 제대로 인식하지 못하고 있으며, 위험을 줄이는 방법 역시 알지 못합니다.
웹사이트는 어떻게 사용자를 추적할까?
그렇다면 웹사이트는 구체적으로 어떤 방식으로 사용자를 추적할까요? 그리고 합법적으로 온라인 활동 추적을 막으려면 어떻게 해야 할까요?
추적 쿠키(Tracking Cookies)
쿠키는 웹사이트의 사용자 설정을 브라우저에 로컬로 저장하는 수단입니다. 예를 들어 선호하는 시간대를 설정하면 해당 값이 담긴 쿠키가 브라우저에 생성됩니다. 서버 계정 없이도 가볍게 사용자 환경설정을 관리할 수 있는 방법이죠.
적어도 이것이 쿠키의 원래 목적이었습니다. 하지만 현재 쿠키는 주로 마케팅과 관련된, 그리 선량하지 않은 용도로 널리 사용되고 있습니다.
기본적인 원리는 간단합니다. 광고를 게재하는 사이트는 쿠키를 통해 사용자가 다른 특정 사이트를 방문했는지 파악할 수 있습니다. 이를 통해 인터넷 곳곳을 이동하는 사용자의 행동을 모니터링하고, 더 관련성 높은 콘텐츠와 광고를 보여줄 수 있습니다.
최근 몇 년간 업계 전문가들 사이에서 이 문제가 큰 우려를 낳았습니다. 지금 모든 웹사이트에서 성가신 팝업으로 쿠키 사용 동의를 요구하는 이유가 바로 이것입니다. 규제 당국은 사용자에게 쿠키 사용 방식에 대한 통제권을 더 많이 부여하는 것이 좋은 해결책이라고 판단한 것이죠.
하지만 현실은 다릅니다. 일부 악의적인 사이트 운영자들은 오히려 헷갈리기 쉬운 문구를 활용해, 사용자가 거부한다고 생각하면서 쿠키에 동의하게 만드는 데 집중하고 있습니다.
브라우저 핑거프린팅(Browser Fingerprinting)
그리고 이것은 빙산의 일각에 불과합니다. 쿠키는 이제 낡은 기술이 되었고, 사이트 운영자들은 이미 더 정교하고 정확한 추적 기술로 넘어갔습니다.
현재 가장 널리 쓰이는 방식은 바로 '핑거프린팅'입니다. 놀랍도록 효과적이면서도 차단이 사실상 불가능하다는 점에서 무섭기까지 합니다.
핑거프린팅은 모든 컴퓨터 환경이 어떤 식으로든 고유하다는 아이디어에 기반합니다. 그리고 그 데이터 상당수는 주로 호환성 확보를 위해 방문하는 사이트에 직접 노출됩니다. 사용자 프로필을 만드는 데 활용될 수 있는 데이터 포인트의 예는 다음과 같습니다.
- 브라우저 종류와 버전
- 운영체제(OS)
- IP 주소
- 설치된 폰트 목록
- Java 등 특정 플러그인의 버전 (다행히 폐기되는 추세)
- 하드웨어 사양
각각 따로 보면 어느 것도 개인을 식별하는 결정적 요소가 아닙니다. IP 주소조차 마찬가지죠. 하지만 이것들을 조합하면 결과적으로 생성되는 프로필은 수백만 명 중 한 명 수준, 때로는 그 이상으로 고유해집니다. 어쨌든 사이트 운영자가 '바로 당신'임을 알아내기에는 충분한 정보입니다.
브라우저는 사이트가 정상적으로 작동할 수 있도록 이러한 데이터 포인트에 대한 접근을 제공해야 합니다. 예를 들어 사이트는 설치된 폰트 목록을 확인해 어떤 폰트를 사용할 수 있는지 판단합니다. 일부 기능은 차단할 수 있지만, 그것만으로는 큰 효과를 기대하기 어렵습니다.
사용자가 차단을 시도하더라도 정보를 끌어낼 수 있는 매우 정교한 기법들도 존재합니다.
예를 들어, 브라우저마다 JavaScript를 처리할 때 고유한 미묘한 동작 차이가 있다는 것이 알려져 있습니다. 사이트는 이를 이용해 사용 중인 브라우저가 무엇인지 검증할 수 있습니다.
더 나아가 사이트는 연산 복잡도가 알려진 알고리즘을 실행하고 그 성능을 측정함으로써 사용자의 하드웨어 구성까지 추측하기도 합니다.
시크릿 모드로 추적을 막을 수 있을까?
일부 사람들은 시크릿 모드를 추적 걱정 없이 무엇이든 할 수 있는 '안전 지대'로 여깁니다. 최신 브라우저는 새 사생활 보호 탭을 열 때 추적 차단 대책을 자랑스럽게 알려주기까지 합니다.
그러나 앞서 살펴본 내용을 고려하면, 시크릿 모드는 사실상 무용지물입니다.
시크릿 모드로 숨겨지는 것은 로그인된 계정 신원뿐입니다. 추적 쿠키는 세션이 종료되면 저장되지 않을 뿐 여전히 작동하며, 핑거프린팅은 여전히 당신의 흔적을 기록으로 남깁니다.
온라인 추적을 줄이는 실질적인 방법
모든 희망이 사라진 것은 아닙니다. 데이터 수집의 영향을 최소화하기 위해 우리가 할 수 있는 일들이 분명히 있습니다.
첫 번째는 앞서 잠깐 언급한 내용입니다. 다음에 쿠키 동의 또는 거부 팝업이 뜨면, '거부' 버튼을 누르기 전에 화면을 꼼꼼히 살펴보세요.
일부 사이트는 겉보기에는 거부하는 것처럼 보이지만 실제로는 쿠키를 수락하도록 유도합니다. 대표적인 수법으로는 거부 버튼을 '권장 설정 거부' 같은 이름으로 위장하거나, 원하는 쿠키를 목록에서 일일이 선택하도록 요구하는 경우가 있습니다. 대부분의 사용자가 번거로워서 그냥 넘어가기를 바라고 만드는 것이죠.
VPN 등 유사 서비스가 이 문제의 해결책으로 주목받아 왔지만, 효과는 엇갈립니다. VPN은 쿠키를 막아주지는 못하지만 IP 주소는 가려줍니다. 보안 무기고의 강력한 축이 될 수는 있지만 만능 열쇠는 아닙니다.
무엇보다 효과는 사용하는 VPN 서비스에 따라 크게 달라집니다. 예컨대 내 연결이 어디를 경유하는지, 누가 도청할 수 있는지 알 수 없습니다. 암호화된 연결이라 해도 유용한 정보를 추출당할 여지는 여전히 남아 있습니다.
그래도 아무것도 하지 않는 것보다는 낫습니다. 다만 추적을 제대로 제한하려면 추가적인 노력이 필요합니다.
브라우저 확장 프로그램과 플러그인을 하나씩 점검해 보세요. 실제로 사용하고 필요한 것만 남기는 것이 좋습니다. 설치된 확장 프로그램이 많을수록 핑거프린팅 프로필은 더욱 고유해집니다. 또한 오래된 버전으로 방치하지 말고 항상 최신 상태로 유지하는 것도 중요합니다.
이것이 웹 브라우징의 미래일까?
좋든 싫든, 우리는 이 현실에 익숙해질 수밖에 없습니다. 기업들은 여러 사이트에 걸친 사용자 활동 추적에 막대한 이해관계가 있으며, 이러한 흐름은 쉽게 사라지지 않을 것입니다.
그럼에도 우리는 이에 대응하는 방식을 훨씬 더 개선할 여지가 충분합니다. 자신의 검색 습관을 비판적으로 돌아보고, 하나씩 개선하기 시작할 때가 그 어느 때보다 중요합니다.