CAPTCHA는 보안 측면에서는 훌륭한 도구지만, 프라이버시 관점에서는 결코 호감스럽지 않습니다.
흥미로운 사실 하나: 우리가 일상에서 접하는 CAPTCHA의 상당수는 사실 '원조' CAPTCHA가 아닙니다. 대부분 검색 엔진 거인 구글(Google)이 소유한 reCAPTCHA로 대체되었기 때문입니다. 스팸봇을 막기 위해 끊임없이 진화해 온 reCAPTCHA는 이제 사용자의 프라이버시를 위협하는 요소가 되었다는 지적이 나오고 있습니다.
reCAPTCHA란 무엇일까요?
CAPTCHA(Completely Automated Public Turing Test to Tell Computers and Humans Apart)는 컴퓨터와 인간을 구별하기 위한 완전 자동화된 공개 튜링 테스트로, 봇이 온라인 폼에 스팸을 도배하는 것을 차단하는 유용한 도구였습니다. 전통적인 CAPTCHA는 텍스트를 일그러뜨려 악성 소프트웨어가 읽지 못하도록 만들었고, 사람은 이를 해독할 수 있기 때문에 필터 역할을 했습니다.
하지만 스팸봇도 점점 똑똑해졌고, CAPTCHA 역시 진화가 필요했습니다. 그렇게 최초 개발팀이 만든 것이 reCAPTCHA입니다. 2009년 구글이 이 프로젝트를 인수하자 많은 사용자들은 그 의도를 의심스럽게 바라보았습니다.
그럼에도 reCAPTCHA는 큰 효과를 발휘했습니다. 무작위 문자 대신 구글 봇이 판독하지 못하는 단어를 제시했고, 이 과정에서 얻은 데이터는 기계 학습 발전에 기여했습니다. 실제로 고전 문학 작품들이 자동으로 디지털화되어 구글 북스(Google Books) 서비스에 활용되기도 했습니다.
그러나 알고리즘이 인간을 능가하게 되면서 기존 reCAPTCHA는 무용지물이 되었고, 구글은 NoCAPTCHA reCAPTCHA를 선보이게 됩니다.
NoCAPTCHA reCAPTCHA란?
'저는 로봇이 아닙니다' 버튼을 클릭했는데 추가 입력 없이 바로 통과된 경험이 있으신가요? 그 사이트가 reCAPTCHA v2 이상을 사용하고 있기 때문입니다.
구글은 두 번째 버전부터 새로운 지표 기반 검증을 도입했습니다. 사용자가 해당 사이트에서 보여준 활동이 인간다운지 봇다운지를 평가하고, 판별에 실패했을 때에만 CAPTCHA를 제시하는 방식입니다.
이어서 등장한 reCAPTCHA v3는 '저는 로봇이 아닙니다' 체크박스를 아예 없애고 인증 과정을 간소화해 사용자 경험을 한층 끌어올렸습니다.
v3는 v2와 마찬가지로 사이트 내 활동을 평가하는 방식을 기반으로 하지만, 한 걸음 더 나아가 온라인 행동 전반을 깊이 파고듭니다.
덕분에 CAPTCHA 농장(captcha farmer, 전통적인 CAPTCHA를 대신 풀어주며 돈을 버는 사람들)이 보안 장벽을 통과할 위험도 줄어들었습니다. v3 환경에서 이들의 임무는 사실상 일반 사용자의 행동 패턴을 흉내 내는 것인데, v3의 광범위한 분석 범위 때문에 더욱 포괄적인 온라인 프로필까지 갖춰야만 가능합니다.
현재 약 450만 개 사이트가 reCAPTCHA를 사용 중이며(방문자 수 상위 1만 개 사이트의 4분의 1 포함), 그중 65만 개 이상이 이미 v3를 설치한 상태입니다.
물론 웹사이트 관리자가 오래된 플러그인을 그대로 쓰는 경우도 있어 인터넷 곳곳에서 다양한 버전을 만날 수 있습니다. reCAPTCHA v1(기본 CAPTCHA 형태)은 사이트 보안에는 불리하지만, 프라이버시 면에서는 오히려 낫습니다.
reCAPTCHA가 프라이버시에 나쁜 이유
reCAPTCHA v3는 어떻게 작동하며, 왜 프라이버시에 부정적일까요?
v3가 유효성을 검증하는 방법 중 하나는 브라우저에 구글 쿠키가 이미 설치되어 있는지 확인하는 것입니다. 쿠키는 사이트와의 상호작용 정보를 담은 데이터로, 일반적으로 콘텐츠를 더 빠르게 다시 불러오기 위해 사용됩니다. 구글 계정에 로그인한 상태라면 reCAPTCHA는 당신을 호의적으로 평가할 겁니다.
논리 자체는 타당합니다. 구글 계정을 가진 사람이라면 봇이 아니라 실제 인간일 가능성이 높다는 것이죠.
또한 구글은 관리자들에게 모든 웹 페이지에 reCAPTCHA 코드를 삽입할 것을 권장합니다(변경되는 암호화 키로 보호됩니다). 그래야 서비스가 일반적인 활동 패턴을 더 정확하게 측정할 수 있기 때문입니다. 하지만 이는 어떤 데이터가 수집되는지, 구글이 그 데이터로 무엇을 하는지에 대한 의문을 불러일 수밖에 없습니다.
수집된 데이터를 바탕으로 reCAPTCHA는 방문자에게 점수를 매겨 위험도를 분류합니다. 1.0이면 확실히 인간, 0.0이면 거의 확실한 스팸봇입니다. 일반적으로 저위험 사용자는 추가 검증 없이 통과합니다.
문제는 VPN(가상 사설망) 사용자가 자동으로 고위험군으로 분류된다는 점입니다. 그런데 온라인 프라이버시 강화를 위해 VPN 사용을 권장하는 목소리가 많습니다. VPN은 방문자를 익명화해 활동 데이터 수집을 막아주고, 지역 차단과 검열을 우회하며, 비용 절약에도 도움이 되고, 사이버 범죄로부터 보호막이 되어 줍니다.
VPN을 사용해야 할 이유는 무척 많습니다. 그럼에도 reCAPTCHA가 VPN 사용자에게 불이익을 주는 것은 큰 걸림돌입니다. 물론 놀랄 일도 아닙니다. 구글은 사용자 정보에 의존해 수익을 창출하는 회사이니까요.
구글은 개인 정보로 무엇을 할까?
그렇다면 구글은 수집한 데이터를 어떻게 활용할까요?
이 서비스는 사이트 방문자의 IP 주소, 브라우저 플러그인, 사용 중인 기기 등 소프트웨어 및 하드웨어 정보를 수집합니다.
구글은 reCAPTCHA API를 통해 수집된 정보가 사용자의 관심사를 파악하는 데 쓰이지 않는다고 밝히고 있습니다. 광고에도 사용되지 않는다는데, 이는 다소 의외일 수 있습니다. 구글의 공식 입장은 다음과 같습니다.
'서비스 이용과 관련하여 수집된 정보는 reCAPTCHA 개선과 일반적인 보안 목적으로 사용됩니다. 구글의 맞춤형 광고에는 사용되지 않습니다.'
물론 사용자를 추적하는 회사는 구글만이 아닙니다. 페이스북, 트위터 등으로 글을 공유하는 소셜 미디어 플러그인 중 일부도 방문자 정보를 수집합니다. 프로필이 없더라도 페이스북은 여전히 당신을 추적할 수 있죠.
더욱이 구글 서비스 약관에는 reCAPTCHA v3에 대한 내용이 전혀 없습니다. reCAPTCHA가 해당 정책에 링크되어 있음에도 말입니다. 결국 우리는 구글의 말을 믿는 수밖에 없습니다.
CAPTCHA의 미래는?
프라이버시 우려를 제쳐두고도 핵심적인 문제가 하나 남아 있습니다. reCAPTCHA v3조차 충분하지 않다는 것입니다. 연구팀의 조사에 따르면 인공지능은 여전히 90%의 성공률로 테스트를 통과했습니다.
잠재적인 프라이버시 침해에 대한 인식이 확산되면서 외부 압박은 더욱 가중되고 있습니다.
문제는 인간의 다양성 때문에 보편적인 해결책을 찾기 어렵다는 점입니다. 이미지 기반 CAPTCHA는 보통 횡단보도나 신호등을 찾게 하는데, 얼굴 표정 판독으로 대체 가능한지 시험한 결과는 실패였습니다. 예상대로였죠.
게임 기반 테스트가 유력한 대안으로 꼽힙니다. 퍼즐 조각을 올바른 위치에 맞추거나 요소를 회전시키는 단순한 방식으로, 지침이 없다면 봇이 이런 연결 관계를 파악하기 어렵습니다. 하지만 이 역시 인간의 논리에 의존하는데, 인간의 논리가 그리 신뢰할 만하지 않다는 게 함정입니다.
2017년 아마존은 흥미롭지만 결함이 있어 보이는 특허를 출원했습니다. 인간의 실수 가능성 자체가 열쇠라는 발상입니다. '실패를 통한 튜링 테스트(Turing Test via Failure)'는 대부분의 사람이 짧은 시간 안에 완료하기 어려운 과제를 제시합니다. 인간은 틀리고 인증받고, 봇은 항상 정답을 맞힌다는 이론입니다.
커져가는 구글의 독점?
CAPTCHA 공동 창시자이자 카네기 멜론 대학(Carnegie Mellon University) 팀과 함께 연구했던 루이스 폰 안(Luis von Ahn)은 이미 많은 사람들이 이 서비스를 구글 소유로 여겼다는 이유로 구글의 reCAPTCHA 인수가 공정하다고 주장합니다. 하지만 v3는 reCAPTCHA가 구글 사용자에게 유리하게 설계되어 있음을 분명히 보여줍니다. 이것이 인터넷을 장악하려는 또 다른 방식일까요? 아니면 순수한 의도일까요?
어느 쪽이든 구글이 마음에 들지 않는다면 더 프라이버시 친화적인 브라우저로 갈아타는 방법이 있습니다. 그런데 아이러니하게도, 주류 브라우저 보안 평가에서는 크롬이 1위를 차지했습니다…