화상회의 앱 줌(Zoom)은 업무 동료, 친구, 가족과 꾸준히 연락을 유지할 수 있게 해주는 훌륭한 도구입니다. 하나의 줌 미팅에 여러 명이 함께 참여해 각자의 카메라 화면을 균등하게 나눠 볼 수도 있습니다.
많은 사용자에게 줌은 새로운 경험이었고, 유료 구독 없이도 40분간 무료 미팅을 즐길 수 있다는 점은 프리미엄 요금제가 부담스러운 사람들에게 딱 맞는 기능입니다.
하지만 줌 사용자 수가 폭발적으로 늘어난 지금, 과연 사적인 대화를 줌에 맡겨도 될까요? 그리고 외부의 방해로부터 내 줌 대화를 어떻게 보호하고 보안을 확보할 수 있을까요?
줌은 안전한가?
가장 시급한 질문부터 시작해 보겠습니다. 줌은 안전하게 사용할 수 있는 서비스일까요?
2020년 초 코로나19 팬데믹의 영향으로 줌 사용자 수가 급격히 증가했습니다. 불과 3개월 만에 200만 명 이상의 신규 사용자를 추가하며 인기를 끌었지만, 그 이면에는 사용자 개인정보와 보안과 관련된 불안한 역사가 숨어 있습니다.
이제 교육기관, 기업, 심지어 정부까지 줌을 업무에 활용하는 상황에서, 줌의 보안 수준은 그 어느 때보다 중요해졌습니다.
아쉽게도 많은 경우 줌의 보안 및 개인정보 처리 방식은 만족스럽지 못했습니다. 줌이 겪었던 주요 보안·개인정보 문제들을 간단히 정리하면 다음과 같습니다.
- 종단간 암호화 미적용: 줌은 AES 256 암호화 표준을 사용한다고 주장했지만, 실제로는 종단간 암호화가 적용되지 않았습니다. 오직 줌 서버와의 초기 연결에만 암호화가 적용되며, 영상 통화 자체는 UDP로 전송되어 안전하지 않습니다.
- 이메일 주소 유출: 줌의 개인 주소 처리 방식 때문에 '최소 수천 건'의 이메일 주소가 유출된 바 있습니다. 같은 도메인으로 가입하면 '회사 디렉터리'에 주소가 등록되어, 동일 도메인 사용자 누구나 목록에 있는 사람에게 통화를 걸 수 있는 구조였습니다. Gmail, Hotmail, Yahoo 같은 일반 도메인이 아닌 비표준 이메일 도메인으로 가입한 사용자들이 특히 취약했습니다.
- macOS 설치 방식 논란: 줌 macOS 앱은 악성코드에서 흔히 쓰이는 사전 설치 스크립트 악용 기법을 사용했습니다. 관리자 권한이 없는 macOS 사용자의 경우, 루트 디렉터리 접근을 위해 관리자 로그인과 비밀번호 입력창을 띄워 시스템에 대한 광범위한 권한을 확보했습니다.
- 숨겨진 웹 서버 문제: Apple은 줌이 Mac에 몰래 설치하는 웹 서버를 제거하도록 조치해야 했습니다. 사용자가 앱을 삭제해도 이 웹 서버는 남아 있었습니다. 이 문제를 공개한 보안 연구원 조나단 라이트슈(Jonathan Leitschuh)에 따르면, 악성 웹사이트가 사용자 허가 없이 Mac의 웹캠을 활성화할 수 있었습니다. 라이트슈는 NDA(비밀유지계약) 조건이 붙어 있다는 이유로 수천 달러 상당의 버그 바운티를 거절하기도 했습니다.
- 페이스북 데이터 전송: 줌은 사용자의 줌 이용 정보를 페이스북을 포함한 여러 기업에 전달한 것으로 알려졌습니다. iOS 앱은 사용자 프로필, 기기 정보, 이동통신사 등의 데이터를 페이스북에 전송했습니다. 이후 패치됐지만, 한 사용자가 캘리포니아 연방 법원에 소송을 제기하기 전까지는 아무런 조치가 없었습니다.
- 줌밤빙(Zoombombing): 사용자가 충분히 강력한 비밀번호(혹은 아예 비밀번호 없이) 미팅을 열면, 악의적인 사용자들이 열린 접속을 악용해 회의에 난입해 성인물 등 선정적인 자료를 유포하는 '줌밤빙' 공격이 발생합니다.
이것은 줌 사용자가 직면한 여섯 가지 보안·개인정보 문제 중 일부에 불과합니다. 전체적인 실태는 더 심각할 수 있습니다. 이 글을 작성하는 동안에도 세 가지 새로운 취약점이 발견되었고, 그중 두 개는 제로데이 익스플로잇이었습니다.
그럼에도 수많은 학교와 직장은 줌을 편리하고 저렴한 소통 수단으로 선택했습니다. 수많은 사용자에게는 당장 대안이 없는 것이 현실입니다.
만약 여러분도 그렇다면, 줌을 최대한 안전하게 사용할 수 있는 방법을 살펴보겠습니다.
줌 미팅 보안을 강화하는 6가지 방법
어쩔 수 없이 줌을 사용해야 한다면, 몇 가지 조치를 통해 자신과 함께 참여하는 사람들의 개인정보와 보안을 더 잘 지킬 수 있습니다.
1. 소셜 미디어에 줌 미팅 정보를 공유하지 않기
2020년 3월 말, 영국 정부의 많은 인사들이 코로나19로 자가 격리에 들어갔습니다. 당시 보리스 존슨 총리는 줌을 이용해 '역사상 첫 디지털 내각 회의'를 진행했는데, 문제는 회의 스크린샷을 트위터에 올리면서 줌 미팅 ID까지 그대로 노출시켰다는 점입니다.
결국 수백 명이 해당 미팅에 접속을 시도했습니다. 다행히 비밀번호가 걸려 있어 큰 사고로 이어지지 않았지만, 식별 가능한 정보를 소셜 미디어에 올리면 어떤 일이 벌어질 수 있는지 보여주는 사례입니다. 악의적인 사람들은 반드시 이를 악용합니다.
2. 줌 미팅 비밀번호 설정하기
줌 미팅에는 항상 비밀번호를 설정해야 합니다. 줌 미팅 비밀번호는 특수문자를 포함해 최대 10자까지 설정할 수 있으며, 모든 참여자는 입장 전에 비밀번호를 입력해야 합니다. 이를 통해 침입자나 줌밤빙 시도를 차단할 수 있습니다.
주의할 점은, 줌의 기본 비밀번호 생성기는 6자리 숫자만 사용한다는 것입니다. 숙련된 비밀번호 크랙 프로그램이라면 몇 분 안에 뚫어버릴 수 있습니다. 10자리로 늘린다고 해도 공격자를 몇 분 더 늦출 뿐입니다. 가장 좋은 방법은 미팅마다 고유한 10자 비밀번호를 직접 만드는 것입니다.
매번 강력하고 고유한 10자 비밀번호를 만드는 것은 번거로울 수 있습니다. 이럴 때는 안전한 비밀번호 생성 웹사이트를 활용하세요. 문자 수를 지정하고 생성된 비밀번호를 복사해 줌 미팅 비밀번호 입력란에 붙여넣으면 됩니다.
웹 앱에서 줌 미팅 비밀번호 변경하기
줌 웹 앱에서 오른쪽 상단의 계정 아이콘을 클릭한 후 개인(Personal) > 회의(Meetings) > 새 회의 예약(Schedule a New Meeting)으로 이동합니다.
아래로 스크롤해 미팅 비밀번호 필요(Require meeting password) 항목에 체크한 뒤, 고유한 10자 비밀번호를 입력합니다. 나머지 미팅 설정을 마친 후 저장(Save)을 누릅니다.
Android 또는 iOS 앱에서 비밀번호 변경하기
줌 Android 또는 iOS 앱에서 예약(Schedule)을 선택하고, 비밀번호(Password) 항목에 강력하고 고유한 비밀번호를 입력합니다. 나머지 설정을 마친 후 완료(Done)를 누릅니다.
3. 미팅마다 무작위 줌 미팅 ID 사용하기
줌 미팅 비밀번호와 같은 설정 화면에서, 고정된 '개인 미팅 ID'를 사용할지 아니면 매번 무작위 미팅 ID를 생성할지 선택할 수 있습니다.
매일 같은 그룹이 모인다면 하나의 미팅 ID를 쓰는 것이 편리합니다. 하지만 미팅 ID를 무작위로 생성하면 ID가 매번 달라지기 때문에 개인정보와 보안에 한층 더 강해집니다.
4. 주의 추적(Attention Tracking) 끄기
줌은 호스트가 참여자의 집중 여부를 추적할 수 있는 기능을 제공합니다. 화면 공유 세션 중 호스트는 참여자 목록에서 해당 사용자가 줌 창에 집중하고 있는지 표시를 확인할 수 있습니다.
미팅 호스트라면 이 기능을 끌 수 있습니다. 참여자 역시 자신의 설정에서 이 옵션을 꺼서 호스트가 자신의 집중 상태를 추적하지 못하게 할 수 있습니다. 다만 호스트가 그룹 전체에 주의 추적을 강제하면 개인이 이를 무시할 수는 없습니다.
또한 주의 추적 옵션은 줌 웹 앱에서만 설정할 수 있으며, Android나 iOS 앱에서는 이 기능을 끌 수 없습니다.
웹 앱에서 주의 추적 끄기
줌 웹 앱에서 오른쪽 상단의 계정 아이콘을 클릭한 후 개인(Personal) > 설정(Settings) > 회의(Meeting) > 회의 중(In Meeting, Advanced)으로 이동합니다. 아래로 스크롤해 주의 추적(Attention tracking) 체크를 해제한 뒤 저장(Save)을 누릅니다.
5. 로컬 녹화 끄고 녹화 동의 켜기
호스트나 다른 참여자가 내 줌 세션을 녹화하는 것에 대해 어느 정도 통제권을 행사할 수 있습니다. 물론 이는 줌의 기본 녹화 기능을 사용하는 경우에 한합니다. 제3자 녹화 도구를 사용한다면 막을 방법이 없습니다.
그렇다고 녹화 옵션을 꺼두지 말라는 뜻은 아닙니다. 이 옵션을 꺼두면 호스트가 여러분의 동의 없이 세션을 로컬 파일로 녹화할 수 없게 됩니다.
주의 추적 기능과 마찬가지로, 줌 녹화 옵션은 웹 앱에서만 수정할 수 있습니다.
웹 앱에서 녹화 설정 변경하기
줌 웹 앱에서 오른쪽 상단의 계정 아이콘을 클릭한 후 개인(Personal) > 설정(Settings) > 녹화(Recording)으로 이동합니다. 로컬 녹화(Local recording)를 꺼서 호스트나 다른 사용자가 로컬 파일로 녹화하지 못하도록 합니다.
바로 아래의 녹화 고지(Recording disclaimer)를 켜고 두 개의 체크박스를 모두 선택합니다. 두 옵션을 모두 활성화하면, 호스트는 줌 미팅을 녹화하기 전 반드시 동의를 요청해야 합니다. 호스트라면 참여자에게 동의를 구하게 되고, 참여자라면 호스트가 여러분의 허락을 요청하게 됩니다.
6. 줌 사용 중에도 사생활 지키기
직장이나 학교 등에서 줌 사용을 강요한다면, 개인적인 프라이버시 습관을 실천하세요. 즉, 줌이든 누구든 알려지고 싶지 않은 이야기는 하지 않는 것입니다. 개인적이거나 기밀에 해당하는 정보는 최소한으로만 다루세요.
흥분한 가족들과 대화하거나 중요한 비즈니스 협상을 진행할 때는 말처럼 쉽지 않습니다. 하지만 장기적으로 줌으로부터 자신의 개인정보와 보안을 지키는 길이므로, 실천할 가치가 충분합니다.
또한 이 글을 친구, 가족, 선생님, 동료들에게 공유해, 왜 줌 사용을 꺼리고 플랫폼에서 개인 정보를 노출하기 싫어하는지 이해시킬 수도 있습니다.
프라이버시 보호를 위해 줌 대안 고려하기
줌은 요즘 가장 인기 있는 화상통화 앱이지만, 완벽한 선택지는 결코 아닙니다. 화상 통화 품질이 뛰어나고, IT에 서툰 사람도 쉽게 사용할 수 있으며, 이 힘든 시기에 가족과 직장을 이어주는 데 큰 역할을 하고 있다는 점을 생각하면 보안·개인정보 문제는 더욱 아쉬울 따름입니다.
다행히 처음부터 훨씬 뛰어난 보안과 개인정보 보호를 제공하는 줌 대안들이 있습니다. 가족 모두가 iOS 기기를 사용한다면, 페이스타임(FaceTime)은 최대 32명까지 참여할 수 있고 종단간 암호화를 지원합니다. 스카이프(Skype)는 기본 세션에서 최대 50명까지 통화가 가능하며, 연결이 다소 끊길 수 있고(가끔 성가신 면도 있지만), 줌에는 없는 종단간 암호화 등 다양한 보안 표준을 갖추고 있습니다.
다양한 화상회의 앱 간의 취약점과 보안 이슈를 더 깊이 이해하고 싶으신가요? 혹은 온라인에서 개인정보와 보안을 강화하는 방법을 찾고 계신가요? 그렇다면 소셜 미디어부터 이메일, VPN, 온라인 데이팅까지 아우르는 필수 온라인 개인정보 보호 팁을 확인해 보시기 바랍니다.