틱톡(TikTok)은 음악에 맞춰 짧은 영상을 제작하고 공유하는 인기 앱입니다. 짧고 유쾌한 영상을 올리고 감상하는 플랫폼으로, 한때 큰 인기를 끌었던 바인(Vine)의 뒤를 잇는 서비스로 자리 잡았습니다.
하지만 최근 들어 틱톡의 보안성에 대한 우려가 커지고 있습니다. 이번 글에서는 어떤 문제가 제기되었는지 살펴보고, 계정을 더 안전하게 지키기 위해 실천할 수 있는 방법까지 함께 알아보겠습니다.
틱톡 보안 사고에서 무슨 일이 벌어졌나?
2019년 12월, 보안 기업 체크포인트 리서치(Check Point Research)는 틱톡 내부에 여러 개의 심각한 보안 취약점이 존재한다는 사실을 밝혔습니다. 연구진이 블로그 포스트에서 시연했듯이, 이 취약점들을 조합하면 해커가 다음과 같은 행위를 할 수 있었습니다.
- 틱톡 계정을 탈취하고 콘텐츠 조작
- 영상 삭제
- 허가받지 않은 영상 업로드
- '비공개'로 설정된 숨김 영상을 공개 상태로 전환
- 계정에 저장된 개인 이메일 주소 등 개인정보 노출
이러한 취약점이 악용될 수 있는 대표적인 예가 'SMS 스푸핑' 기법입니다. 해커는 마치 틱톡 공식 번호에서 온 것처럼 보이는 문자 메시지를 사용자에게 발송합니다. 틱톡 웹사이트에는 앱 다운로드 링크를 문자로 받을 수 있는 기능이 있는데, 이 시스템이 제대로 보호되지 않아 해커가 이를 조작해 악성 링크를 보낼 수 있었던 것입니다. 사용자는 진짜 틱톡 번호에서 온 메시지라고 믿고 악성 링크를 클릭하게 됩니다.
문제는 여기서 끝나지 않습니다. 틱톡 앱에는 웹페이지를 표시하는 내장 기능이 있는데, SMS 스푸핑과 결합하면 악성 웹페이지를 틱톡 앱 내부에서 열 수 있습니다. 이렇게 되면 사용자의 정보가 유출되거나 기기에 악성코드가 침투할 수 있습니다. 연구진은 이 외에도 앱과 웹사이트를 공격할 수 있는 다양한 경로를 추가로 발견했습니다.
체크포인트는 2019년 11월 틱톡에 이 문제를 먼저 통보했고, 틱톡은 이후 보안 업데이트를 통해 해당 공격 경로를 차단했습니다. 그럼에도 불구하고 계정 삭제를 진지하게 고민해볼 만한 대목입니다.
왜 미국은 틱톡을 국가 안보 위협으로 보는가?
보안 우려는 여기서 끝나지 않습니다. 2019년에는 미국 정부 관료들이 틱톡을 국가 안보 위협으로 규정할 정도로 강한 우려를 표명했습니다.
우려의 핵심은 틱톡이 중국 기업 바이트댄스(ByteDance)에 인수되었다는 점입니다. 중국 정부는 중국 내 기업에 대해 강력한 통제권을 행사하며, 필요시 데이터 제출까지 강제할 수 있습니다. 따라서 미국 당국은 틱톡이 미국 사용자의 데이터를 중국으로 전송할 가능성을 우려하는 것입니다.
짧고 가벼운 영상 앱이 안보 위협이라는 말이 처음에는 우스꽝스럽게 들릴 수 있습니다. 하지만 앱이 불안전한 상태에서 수많은 사람이 사용한다면, 해커가 다수의 기기에 침투할 수 있는 통로가 됩니다. 여기에는 요직에 있거나 민감한 데이터를 다루는 사람들의 기기도 포함됩니다. 실제로 미 육군과 해군은 정부 지급 스마트폰에서 틱톡 사용을 금지한 바 있습니다.
미국의 찰스 슈머 상원의원 역시 이 플랫폼의 위험성에 대해 적극적으로 목소리를 냈습니다. 그는 육군 참모총장에게 보낸 서신에서 틱톡을 "2016년 선거 당시 미국 소셜미디어 플랫폼에서 벌어졌던 것과 같은 외부 세력의 여론 조작 캠페인의 잠재적 표적"이라고 언급했습니다. 또한 틱톡이 국가안보 심사 대상이 될 수 있다는 보도도 있었습니다.
틱톡 계정을 더 안전하게 지키는 방법
이 사례는 틱톡처럼 가볍고 재미있는 앱도 보안 문제를 일으킬 수 있음을 보여줍니다. 앱을 계속 사용하고 싶다면, 중국으로 데이터가 전송될 가능성 자체는 사용자가 통제하기 어렵습니다. 하지만 내가 올리는 영상이 생각만큼 무해하지 않을 수 있다는 점은 인식해야 합니다. 영상에는 생각보다 많은 개인정보가 담길 수 있으므로, 무엇을 촬영하고 공유할지 신중해야 합니다.
그와 함께 계정 보안을 강화할 수 있는 네 가지 방법을 소개합니다.
1. 강력한 비밀번호 사용
어떤 서비스든 마찬가지지만, 특히 개인 영상 같은 데이터를 저장하는 서비스라면 강력한 비밀번호가 필수입니다. 숫자, 영문자, 특수문자를 혼합해 구성하고, 익숙한 이름이나 생일 같은 날짜는 피하세요.
또한 기존에 쓰던 비밀번호를 재사용하거나 여러 사이트에서 동일한 비밀번호를 쓰는 것도 금물입니다. 다른 계정 하나가 유출되더라도 틱톡 계정까지 연쇄적으로 노출되지 않도록 하기 위함입니다. 틱톡은 2단계 인증(2FA)을 지원하지 않으므로 비밀번호 관리가 더욱 중요합니다.
2. 계정 비공개 설정
틱톡에 자유롭게 게시하되 열람 대상을 제한하고 싶다면 계정을 비공개로 전환하세요. 이렇게 하면 허용한 팔로워만 영상을 볼 수 있습니다. 틱톡 특유의 무작위 발견의 재미는 다소 줄어들지만, 누가 나를 지켜볼까 걱정 없이 게시할 수 있습니다.
단, 비공개 설정은 틱톡 자체가 내 정보를 보는 것까지 막아주지는 못합니다. 다만 일반 대중이 내 영상을 보는 것은 차단할 수 있습니다.
비공개로 설정하려면 앱에서 프로필(Profile) 탭으로 이동한 뒤 오른쪽 상단의 설정(Settings) 아이콘을 탭하세요. 개인정보 및 보안(Privacy and Safety) 메뉴에서 비공개 계정(Private Account)을 활성화하면 됩니다.
3. 인스타그램·유튜브 계정 연동 해제
틱톡에는 인스타그램, 유튜브 등 다른 플랫폼 계정과 연동하는 기능이 있습니다. 연동하면 틱톡 영상을 다른 플랫폼에도 손쉽게 올릴 수 있다는 장점이 있습니다.
하지만 계정을 연동하면 기업들이 사용자에 대한 데이터를 훨씬 수집하기 쉬워집니다. 온라인 활동 전반을 입체적으로 파악해 더 많은 정보를 얻을 수 있기 때문입니다. 프라이버시 침해를 줄이려면 계정 연동을 해제하는 것이 좋습니다.
연동을 해제하려면 틱톡 앱에서 프로필 페이지로 이동한 후 프로필 편집(Edit Profile)을 탭하세요. 하단에 Instagram, YouTube 항목과 연동된 계정 이름이 표시됩니다. 계정 이름을 탭하면 연동을 해제할 수 있습니다.
4. 소프트웨어 최신 상태 유지
운영체제(OS)와 앱을 주기적으로 업데이트하는 것도 중요합니다. 앱을 최신 버전으로 유지하면 체크포인트가 지적한 것과 같은 보안 문제를 개발사가 수정한 패치를 빠르게 적용할 수 있습니다. 스마트폰에서 자동 업데이트를 켜두면 일일이 수동으로 업데이트할 필요가 없어 더욱 편리합니다.
틱톡 이용 시 보안 위험을 인식하자
틱톡은 분명 즐거운 앱이지만, 이용할 때 보안 문제를 인식하는 태도가 필요합니다. 업로드하는 영상이 과도한 개인정보를 노출하지 않도록 주의하고, 계정 비공개 설정을 고려해 보세요. 모든 서비스와 마찬가지로 강력한 비밀번호 사용과 앱 최신 업데이트 유지도 기본 중의 기본입니다.