인터넷이 등장하기 전에는 특정 회사나 업체를 신뢰할 수 없다면 거래하지 않으면 그만이었습니다. 지역 기업의 신뢰도 역시 상대적으로 쉽게 판단할 수 있었습니다.
그러나 요즘은 우리의 디지털 삶이 수많은 온라인 앱과 서비스에 분산되어 있고, 이 모든 곳에서 개인 정보와 기밀 데이터를 수집합니다. 우리는 이들 서비스가 보안을 중요하게 여기기를 기대하지만, 실제로 그렇지 않은 경우도 많습니다.
여기 고객의 보안에 별 관심을 두지 않는 기업 네 곳의 사례를 소개합니다.
1. 페이스북(Facebook)
초창기 페이스북에서는 많은 사람들이 생각, 아이디어, 일상, 사진을 자유롭게 공유했습니다. 페이스북은 폭발적인 속도로 사용자를 늘려가며 2018년 12월 기준 약 23억 명의 사용자를 확보했습니다. 하지만 시간이 지나며 드러난 것처럼, 그 성장의 대가는 결국 사용자가 치르게 되었습니다.
2018년은 페이스북에게 최악의 해였습니다. 프라이버시 스캔들, 규제 압박, 거센 비판, 보안 취약점이 끊이지 않았습니다.
모든 문제의 도화선을 당긴 사건은 바로 '캠브리지 애널리티카(Cambridge Analytica)' 스캔들입니다. 사용자가 사적이라고 믿었던 페이스북 데이터가 전 세계 정치 조사 단체에 제공되었고, 이 회사는 2016년 미국 대통령 선거와 영국 EU 잔류 여부 국민투표 개입에 깊숙이 연루된 것으로 밝혀졌습니다.
이 폭로 이후 세계 최대 SNS에서는 문제가 끊이지 않았습니다. 2018년 10월에는 무려 5천만 개 이상의 계정이 해킹당했다는 사실이 밝혀졌고, 이후에는 사용자의 비공개 사진을 노출하는 버그가 발견되었습니다. 또한 의심스러운 VPN 앱을 통해 청소년들의 데이터를 수집하는 부도덕한 행태까지 적발되면서, 페이스북은 결국 2019년 초 온아보(Onavo) VPN 앱을 서비스 종료해야 했습니다.
이런 악재가 연이은 가운데 마크 저커버그는 페이스북이 세상에 긍정적인 힘이 된다고 주장했습니다. 하지만 그 메시지가 회사 내부까지는 전달되지 못했던 모양입니다. 2019년 3월, 페이스북이 수년간 사용자 비밀번호를 평문(암호화되지 않은 형태)으로 저장해 왔다는 사실이 보도되었습니다.
2. 인텔(Intel)
1968년에 설립된 인텔은 실리콘밸리 초기 기술 기업 중 하나로, 컴퓨터 프로세서가 주력 사업입니다. 하지만 세월이 흐르면서 회사는 다양한 분야로 사업을 확장해 왔습니다.
2015년 인텔은 소비자용 미니 PC인 '인텔 NUC(Next Unit of Computing)'과 '인텔 컴퓨트 스틱(Compute Stick)' 등을 출시했습니다. 이 미니 컴퓨터는 공간 절약형 하드웨어에 초점을 맞춰 키보드 같은 주변기기를 포함하지 않았습니다. 대신 회사는 원격으로 기기를 조작할 수 있는 스마트폰 앱을 내놓았습니다.
경험상 틈새시장용 앱은 예산 삭감이나 개발자의 프로젝트 전환 등으로 꾸준한 업데이트를 받기 어렵습니다. 안드로이드용 '인텔 리모트 키보드(Intel Remote Keyboard)' 앱도 예외가 아니었습니다. 2018년 중반 보안 연구원들은 이 앱에서 세 가지 보안 취약점을 발견해 공개했습니다.
세 가지 결함 중 두 가지는 높음(High) 등급, 나머지 하나는 심각(Critical) 등급을 받았습니다. 연구원들은 이 취약점을 통해 공격자가 키 입력을 주입하거나, 심지어 사용자 기기를 장악할 수도 있다고 경고했습니다.
그런데 인텔은 이 심각한 결함들을 수정하겠다고 약속하는 대신, 구글 플레이 스토어에서 해당 앱을 완전히 삭제해 버렸습니다. 기존 사용자들은 취약점이 있는 기기를 그대로 쓰든가, 아니면 자신의 인텔 미니 PC를 과감히 놓아버리는 선택지만 남겨졌습니다.
3. 아마존(Amazon)
세계 최대 온라인 유통업체 아마존은 대부분 대형 유출 사건 없이 넘어왔습니다. 그러나 2018년 11월 일부 고객들은 회사로부터 자신의 데이터가 우연히 노출되었다는 이메일을 받게 됩니다.
아마존은 웹사이트의 기술적 오류 때문이라고 설명했지만, 이메일은 짧았고 담긴 정보도 거의 없었습니다.
"저희 웹사이트의 기술적 오류로 인해 고객님의 이름과 이메일 주소가 의도치 않게 노출되었음을 알려드립니다. 해당 문제는 수정되었습니다. 이는 고객님이 취한 어떤 행동과도 무관하며, 비밀번호 변경이나 기타 조치를 취하실 필요는 없습니다."
영향을 받은 고객들이 이 통보에 안심할 만큼 순진하지는 않았습니다. 회사는 추가 설명을 거부했고, 어떤 데이터가 얼마나 오랫동안 노출되었는지조차 알려주지 않았습니다. 입을 다무는 반응 탓에 많은 이들은 회사가 숨기는 것이 있다고 느꼈습니다.
결국 이번 일은 아마존에 대한 신뢰 회복에는 전혀 도움이 되지 못했습니다.
아마존은 안면 인식 기술 활용과 관련해서도 큰 비판을 받아 왔습니다. 겉으로는 안면 인식 기술 사용에 반대한다는 입장을 유지하면서도, 실제로는 '레코그니션(Rekognition)'이라는 안면 인식 제품을 미국 여러 법 집행 기관에 판매하고 있었습니다.
제품 마케팅 자료에는 법 집행 기관의 활용이 가장 유력한 용도 중 하나이며, 한 장의 이미지에서 최대 100명을 실시간으로 식별할 수 있다는 내용이 명시되어 있었습니다.
4. "고객의 프라이버시와 보안을 중요하게 생각합니다"라고 말하는 기업들
데이터 유출 사건은 그 어느 때보다 빈번하게 발생하고 있습니다. 아무리 보안에 신경을 써도 이러한 해킹은 결국 우리 모두에게 영향을 미칩니다. 최근 몇 년간 공격 대상이 된 다양한 업종과 기업들을 보면, 해커가 특정 대상만 골라 공격하는 것이 아니라는 사실을 알 수 있습니다.
물론 아무리 최선을 다해도 기업이 공격을 완전히 막지 못하는 경우가 있습니다. 그렇다면 그다음 단계는 사용자에게 책임감 있게 상황을 알리고, 어떻게 복구할 계획인지 명확히 밝히는 것이어야 합니다.
미디어에 익숙해진 우리는 기업 PR과 책임 회피용 상투구를 감지하는 데 능숙해졌습니다. 최근 해킹을 당한 기업이 "저희는 고객의 프라이버시와 보안을 중요하게 생각합니다"라는 취지의 말을 하는 것을 본 적이 있을 것입니다. 사실 이 문구야말로 그들이 보안을 진지하게 생각하지 않는다는 강력한 신호입니다.
문제가 너무 만연해지자 TechCrunch는 이 상투구를 따로 분석하기도 했습니다. 캘리포니아 검찰총장실에 접수된 총 285건의 데이터 유출 통보를 분석한 결과, 3분의 1 이상이 이 문구를 사용하고 있었던 것입니다.
TechCrunch 분석은 또 하나의 사실을 짚어냈습니다. 다국적 자금력 좋은 기업들이라면 사이버 보안을 개선하는 것보다 유출 사건에 따른 벌금을 내는 편을 택한다는 것입니다. 2017년 에퀴팩스(Equifax)는 전 세계 2억 명에 영향을 미치는 대규모 유출 사건을 겪었습니다.
회사의 대응은 난잡했고, 사건에 대한 책임은 최소화했으며, 피해자 대부분에게 실질적인 지원도 제공되지 않았습니다. 지금까지 에퀴팩스가 보안 조치 부실로 인한 별다른 제재를 받지는 못했으며, 일부 개별 소송에서 최대 1만 달러의 배상 판결이 나온 정도에 그쳤습니다.
그렇다면 누구를 믿을 수 있을까?
우리는 온라인에서 살아가며 인터넷 곳곳에 개인 정보와 기밀 정보를 흘려보냅니다. 그리고 그 정보를 맡긴 기업이 우리를 지켜줄 것이라 믿곤 합니다. 하지만 항상 그렇지는 않습니다. 데이터 유출 사건과 그에 대한 기업들의 대응 방식은, 우리의 데이터가 얼마나 안전하지 않을 수 있는지를 보여줍니다.
다행히 스스로를 지키기 위한 노력은 가능합니다. 오픈소스 도구를 활용해 데이터를 안전하게 보호할 수 있습니다. 또한 대형 SNS에 대한 신뢰가 흔들린다면, 데이터를 훔치지 않는 페이스북 대안 플랫폼으로 갈아타는 방법도 있습니다.