인터넷은 세상에서 가장 강력한 감시 도구입니다.
적어도 그렇게 느껴지는 순간이 많습니다. 우리는 온라인에서 자신이 감시당하고 있다는 사실을 항상 알고 있었지만, 대부분은 그저 더 많은 상품을 팔기 위한 것이라고 생각했습니다. 그러나 스노든 사건 이후 정부와 기업들이 수집 가능한 모든 데이터를 활용해 우리를 감시하고 프로파일링한다는 사실이 명확해졌습니다.
NSA(미국 국가안보국)는 우리의 모든 디지털 움직임을 알고 싶어 하고, 아마존과 구글은 가정 안에 감시 장치를 설치하고 있으며, 페이스북은 우리의 삶을 프로파일링해 상품화하려 합니다. 그리고 끊임없이 길어지는 감시 목록에 새로운 항목이 하나 추가되었습니다. 수많은 웹사이트가 방문자가 제출하지 않은 내용까지 포함해 입력하는 모든 것을 알고 싶어 하는 것입니다.
누군가 나를 지켜보고 있다
아마존, 페이스북, 구글 덕분에 우리는 무언가를 검색하면 광고로 마법처럼 추천받게 될 것이라고 기대하는 데 익숙해졌습니다. 웹 추적은 주로 방문한 사이트와 관심사, 그리고 무엇보다 소비자를 어떻게 조작해야 더 많이 지출하게 만들 수 있는지 파악하기 위한 프로필을 구축하는 데 사용됩니다. 많은 사람이 이런 유형의 추적을 불신합니다. 특히 우리에 대한 프로필을 만드는 회사들이 그 정보를 신뢰성 있게 다룰 수 없다는 점 때문입니다.
하지만 추적에는 더 소박한 목적도 있습니다. 바로 분석(analytics)입니다. 웹사이트 개발자들은 오류 없이 유용한 사이트를 제공하고자 하며, 그러려면 무엇이 효과 있고 무엇이 그렇지 않은지 보여주는 데이터가 필요합니다.
"사용자는 언제 그 버튼을 클릭할까?", "독자들이 우리 사이트에서 얼마나 오래 머물까?" 같은 UX 질문은 분석을 통해 답을 얻을 수 있습니다. 분석 업체들은 수집하는 데이터의 양으로 자신들의 가치를 증명하려 하며, 데이터 수집 능력을 높이려는 경쟁 속에서 '세션 리플레이 스크립트(Session Replay Scripts)'가 탄생했습니다.
세션 리플레이 스크립트란?
기존의 분석 방식은 집계 데이터를 기반으로 작동합니다. 예를 들어 사이트의 특정 영역에서 몇 번의 클릭이 발생했는지 확인할 수 있습니다. 하지만 그 클릭이 어떻게 이루어졌는지, 시간이 얼마나 걸렸는지, 클릭 전에 사용자가 어떤 행동을 했는지는 보여주지 못합니다. 세션 리플레이 스크립트를 사용하면 분석 업체가 개별 브라우징 세션까지 파고들 수 있습니다. 명목상 고객 경험 개선을 위한 것이지만, 실제 수집되는 데이터는 합리적인 범위를 훨씬 넘어서는 경우가 많습니다.
세션 리플레이 스크립트는 화면 녹화와 비슷합니다. 웹사이트는 마우스 움직임부터 입력하는 단어까지 방문자가 하는 모든 것을 볼 수 있습니다. 안타깝게도 여기에는 입력했지만 제출하지 않기로 한 내용도 포함됩니다. 검색창에 무언가를 입력했다가 마음을 바꿔 곧바로 삭제한 적이 얼마나 자주 있는지 생각해 보세요. 세션 리플레이 스크립트가 작동 중이라면 해당 웹사이트는 이미 삭제된, 결코 제출되지 않은 텍스트까지 기록해 두었을 것입니다.
그럼 문제가 뭘까?
이렇게 침해적인 추적 방식을 왜 지금까지 들어본 적이 없다고 생각할지도 모릅니다. 그 이유는 세션 리플레이를 배포하는 기업들이 이를 방문자에게 알리지 않기로 선택했기 때문입니다. 이는 수집되는 데이터의 수준에 사람들이 불편함을 느낄 수 있다는 점을 그들 스스로도 인식하고 있다는 태도로 읽힙니다.
특정 웹사이트가 세션 리플레이를 사용하고 있다는 눈에 띄는 표시는 없습니다. 그렇다면 어떤 사이트가 사용하는지 어떻게 알 수 있을까요? 프린스턴대학교 정보기술정책센터(CITP) 연구진은 알렉사(Alexa) 상위 100만 개 웹사이트를 대상으로 세션 녹화의 흔적을 조사했습니다.
그 결과 약 10만 개의 웹사이트(알렉사 상위 100만 개의 10%)에 세션 녹화를 가능하게 하는 스크립트가 포함된 것으로 나타났습니다. 물론 이 모든 사이트가 실제로 추적을 수행하는 것은 아닙니다. 각 사이트는 세션 녹화 기능을 비활성화할 수 있습니다. 하지만 대부분의 분석 서비스 제공업체에서 이 기능을 끄는 과정이 상당히 복잡하기 때문에, 실제로 세션 리플레이가 기록되고 있을 가능성이 충분합니다.
연구진은 분석 스크립트가 설치된 사이트 중 약 1만 개가 실제로 세션 리플레이 녹화를 진행하고 있다는 증거도 확보했습니다. 이 목록에는 마이크로소프트, 월그린스(Walgreens), 인텔, 호주 정부 등 유명한 이름들이 포함되어 있습니다.
스스로를 보호하는 방법
분석 자체가 본질적으로 나쁜 것은 아닙니다. 오히려 분석 덕분에 우리는 여러 기기에서 매끄럽게 작동하는 빠르고 반응성 좋은 현대적인 웹사이트를 누릴 수 있다고 할 수 있습니다. 세션 리플레이 스크립트의 가장 큰 문제는 자신이 추적당하고 있다는 사실조차 인식하지 못한다는 점입니다. 어느 날 깨어나 보니 집 곳곳에 보안 카메라가 설치되어 있다면 얼마나 불편함을 느끼겠습니까? 존재를 밝히지 않는다는 것 자체가 해당 스크립트와 기록된 데이터가 부적절한 목적으로 사용될 수 있음을 시사합니다.
신용카드 번호나 비밀번호 같은 기밀 정보를 입력해야 하는 웹사이트에서는 특히 우려스럽습니다. 세션 리플레이는 이런 정보를 일반 텍스트 형태로 그대로 기록합니다. 문제는 여기서 더 복잡해집니다. 기밀 정보가 이제 여러 회사의 손에 넘어가는데, 이들은 다른 민감한 정보만큼 철저하게 보호하지 않을 수도 있습니다. 추적 서비스 업체들은 이 데이터의 사용이 개인정보 처리방침에 명시되어 있다고 주장할 것입니다.
그러나 방문자에게 웹사이트의 개인정보 처리방침을 읽고, 해당 사이트가 사용하는 분석 업체를 찾아낸 뒤, 그 업체의 개인정보 처리방침까지 읽으라고 기대하는 것은 비합리적이며 현실적이지 않습니다. 물론 비합리적이라는 이유만으로 이런 기업들이 도덕적으로 모호한 방식으로 운영되는 것을 막지는 못합니다.
그렇다면 어떻게 스스로를 보호할 수 있을까요? 안타깝게도 대부분의 경우 뚜렷한 방법이 없습니다.
세션 리플레이 스크립트는 클라이언트 측(client-side)과 서버 측(server-side) 두 가지 형태로 존재합니다. 클라이언트 측 스크립트는 광고 차단기나 추적 방지 애드온으로 차단할 수 있습니다. 서버 측 스크립트는 차단할 수 없지만 전체 화면 녹화는 불가능합니다. 가장 흔한 방식은 두 방식을 혼합한 하이브리드형으로, 이 경우 클라이언트 측 스크립트를 차단해도 녹화를 막을 수 없습니다.
결국 최선의 보호 방법은 세션 리플레이의 존재를 인식하고, 인터넷 어디에서든 무엇을 입력하는지 신중해지는 것입니다.
감시의 정점
세션 리플레이 스크립트는 브라우저 안에만 존재하는 사적인 정보라고 믿었던 것들을 드러냈습니다. 안타깝게도 브라우저가 우리에 대해 유출하는 정보는 이것뿐이 아닙니다. 디지털 경제의 화폐는 데이터이며, 이는 모든 기업이 당신에 대해 가능한 한 많은 정보를 수집하도록 부추기는 유인책이 됩니다. 데이터를 다룰 때는 늘 신중을 기하고, 번거롭더라도 반드시 개인정보 처리방침을 읽으세요. 사전 주의를 기울이고 좋은 사이버 위생(cyber hygiene) 습관을 유지하는 것이 데이터 악용에 대한 최선의 방어책입니다.
세션 리플레이의 만연함이 우려스럽긴 하지만, 상황을 객관적으로 바라볼 필요도 있습니다. 현재까지 이러한 관행으로 인해 데이터가 유출되었다는 증거는 없습니다. 또한 웹사이트 운영자가 인터넷을 더 쉽게 이용할 수 있도록 만들기 위해(설령 최종 목표가 방문자가 더 많은 돈을 쓰게 하는 것일지라도) 세션 리플레이를 사용하는 정당한 사유도 존재합니다.
키보드 입력을 몰래 지켜보는 기업들에 대해 어떻게 생각하시나요? 인터넷이 거대한 감시 도구라고 생각하십니까? 아니면 우려가 과도하다고 보십니까? 의견을 댓글로 알려주세요!