지난 몇 년간 우리는 악명 높은 쿠키(cookie)를 비롯한 다양한 웹 기술과 매우 친숙해졌습니다. 실제로 쿠키는 웹의 핵심 요소 중 하나로 자리 잡았고, 유럽연합(EU)은 'EU 쿠키 지침(EU Cookie Directive)'이라는 이름 아래 모든 웹사이트가 쿠키 사용 고지를 표시하도록 의무화하기까지 했습니다.
쿠키처럼 성숙한 기술이라면 충분히 이해되고 통제되고 있을 것 같지만, 광고 차단기가 널리 보급된 요즘 기업들은 규칙을 우회할 교묘한 방법을 찾아내고 있습니다.
쿠키는 인터넷 브라우징의 기반이 되는 여러 요소 중 하나입니다. 세션이 바뀌어도 로그인 상태를 유지하게 해주고, 사용자별 환경설정을 저장할 수 있게 해주죠. 개인정보 보호에 관심이 있는 사람들 사이에서는 쿠키를 차단하고 삭제하는 것이 온라인 추적을 최소화하는 대표적인 조언으로 통합니다.
그러나 '슈퍼쿠키(supercookie)'의 등장과 함께 온라인 추적 무대에는 또 다른 플레이어가 나타났으니, 바로 웹 비콘(web beacon)입니다.
웹 비콘이란 무엇일까?
웹 비콘은 웹 페이지에 대개 눈에 보이지 않는 형태로 삽입되는 아주 작은 객체입니다. 가장 흔한 형태는 1x1 픽셀 크기의 GIF 이미지(밈에서 흔히 보던 움직이는 GIF와는 다릅니다)입니다. 포맷 자체는 동일하지만, GIF가 비콘으로 활용되는 이유는 모든 현대 웹 브라우저에서 예외 없이 인식되는 범용 포맷이기 때문입니다.
왜 하필 이렇게 작은 크기를 쓸까요? 파일 용량을 최소화해 다운로드 시간을 줄이고, 결과적으로 웹 페이지 로딩 속도에 미치는 영향까지 최소화하기 위해서입니다. 덕분에 저속·저용량 데이터 연결 환경에서도 웹 비콘은 문제없이 작동합니다.
브라우저가 웹 페이지에 접속했을 때 해당 페이지에 비콘 이미지가 포함되어 있다면, 브라우저는 웹 서버에 그 이미지를 내려달라고 요청합니다. 그리고 이 요청과 함께 서버는 IP 주소, 접속 일시 등 특정 정보를 기록(log)합니다.
사이트 운영자는 이 로그를 통해 해당 페이지가 몇 번 조회되었는지, 언제 접속했는지, 접속자들이 어느 지역에 있는지 등을 파악할 수 있습니다. 또한 이 요청은 웹 서버가 이전에 컴퓨터에 설정해 둔 쿠키의 존재 여부까지 참조할 수 있습니다.
웹 비콘은 어떤 광고를 노출할지 판단하기 위해 사용자의 브라우징 프로필을 구축하려는 광고주에게도 유용한 도구가 되었습니다. '웹 버그(web bug)', '페이지 태그(page tag)' 같은 별칭 외에도 삽입되는 1x1 GIF를 빗대어 클리어 GIF(clear GIF) 또는 트래킹 픽셀(tracking pixel)이라고도 불립니다.
이메일 속 비콘
비콘은 웹사이트에만 국한되지 않습니다. 이메일 열람률과 링크 클릭 수를 추적·모니터링하는 데에도 널리 쓰입니다. 다큐멘터리 팟캐스트 '시리얼(Serial)'로 유명해진 이메일 마케팅 업체 MailChimp 역시 '오픈 트래킹(Open Tracking)'이라는 기능을 제공하는데, 이는 이메일 안의 이미지에 비콘을 심는 방식입니다.
메일 클라이언트가 이미지를 불러오려는 순간, 비콘은 고유 식별자에 접근이 있었다는 사실을 서버에 알립니다. 이를 통해 서버는 해당 이메일을 '열람됨'으로 표시할 수 있습니다. 어떤 링크가 클릭되었는지와 함께, 이것은 이메일 마케터에게 매우 중요한 지표입니다.
비콘은 링크 자체에도 삽입될 수 있는데, 보통 URL 끝부분에 리퍼럴 ID 형태로 붙습니다. 링크가 클릭되면 이 고유 ID를 통해 MailChimp는 어떤 링크가 언제 열렸는지 식별할 수 있습니다.
페이스북과 비콘
요즘 페이스북은 개인정보 논란에 익숙한 회사지만, 처음부터 그랬던 것은 아닙니다. 사실 첫 번째 주요 프라이버시 실패 사례가 바로 2007년의 웹 비콘 사용이었습니다. '페이스북 비콘(Facebook Beacon)'은 제휴 파트너 사이트로부터 어떤 웹사이트를 방문했는지, 그곳에서 어떤 활동을 했는지에 대한 데이터를 수집했습니다.
문제는 페이스북이 사용자에게 게시 여부를 묻지도 않고 이 정보를 프로필에 공개했다는 점입니다.
예상대로 사람들은 분노했습니다. 특히 이 정보 공개를 막을 방법조차 없었다는 점 때문이었죠. 이 새로운 '기능'에 반발한 사용자들은 페이스북을 상대로 집단 소송을 제기했고, 결국 약 900만 파운드(약 1,120만 달러)의 합의금 지급과 함께 페이스북 비콘은 폐지되었습니다.
비콘을 막을 수 있는 방법
대부분의 온라인 광고주와 분석 회사는 개인을 식별할 수 없는 집계 데이터만 수집함으로써 사용자의 프라이버시를 존중하려 노력합니다. 그럼에도 많은 개인정보 보호 운동가들은 동의 없는 추적 자체가 침해적이며 막혀야 한다고 주장합니다.
'감시 기계'라는 인상과 달리, 구글은 오래된 슬로건인 "악마가 되지 말자(Don't be evil)"를 경영 판단의 나침반으로 삼아 왔습니다. 구글이 사용자를 보호하려는 대표적인 사례가 바로 이메일 서비스 지메일(Gmail)입니다.
예전 지메일 사용자라면 모든 이메일에서 '이미지를 표시하시겠습니까?'라는 알림을 익숙하게 접했을 겁니다. 이는 사용자가 모르거나 동의하지 않은 상태에서 악성 콘텐츠가 다운로드되는 것을 막기 위한 장치였습니다.
그러다 2013년, 구글은 지메일에 중요한 변화를 도입했습니다. 모든 이메일 이미지가 기본적으로 로딩되도록 한 것인데, 단 이미지는 먼저 구글 자체 서버에서 다운로드되어 캐싱된 후 전달됩니다. 이 방식은 악성 콘텐츠의 직접 다운로드를 막는 동시에 더 빠르고 개선된 메일 경험을 제공했습니다.
하지만 이런 이미지 처리 방식은 이메일 비콘 입장에서는 골치 아픈 변수가 됩니다. 이미지를 구글이 대신 받아오기 때문에 발행자는 누가 최초로 이메일을 열었는지 알 수 없고, 확인할 수 있는 것은 구글의 IP 주소뿐입니다. 이 방식은 비콘이 사용자 컴퓨터의 쿠키를 읽는 것도 차단합니다.
한편, 전자프론티어재단(EFF)의 '프라이버시 배저(Privacy Badger)' 같은 프라이버시 중심 확장 프로그램은 일부 웹 비콘을 차단할 수 있습니다. 웹 전반에서 여러분에 대한 데이터를 수집하는 다른 형태의 추적도 함께 막아주지만, 항상 그렇지는 않습니다. 안타깝게도 웹 비콘은 보이지 않도록 설계되어 있어 프라이버시 확장 프로그램이 놓치는 경우가 생기기 마련입니다.
그래서, 비콘을 막아야 할까?
웹 비콘이 흔히 온라인 추적기로 불리긴 하지만, 수집하는 정보 자체는 개인을 직접 식별할 수 없습니다.
예를 들어 페이스북 픽셀(Facebook Pixel)은 픽셀이 활성화된 웹사이트에 방문한 사실만 감지할 수 있습니다. 픽셀이 설치된 사이트를 방문하면 확인 가능한 것은 시각과 날짜, 일부 브라우저 정보 정도이지, 전체 브라우징 기록이 아닙니다.
물론 웹 비콘은 방대한 온라인 추적 트렌드의 한 조각일 뿐입니다. 광고주와 개인정보 보호 진영 사이에서 '당신의 온라인 데이터를 누가 통제하는가'를 둘러싼 경쟁은 끊임없이 이어지고 있습니다. 웹 비콘 자체는 상대적으로 무해합니다. 문제가 되는 것은 그 데이터가 페이스북 프로필 같은 다른 정보와 결합될 때입니다.
여러분은 웹 비콘에 대해 어떻게 생각하시나요? 유용한 기술인가요, 아니면 광고주의 또 하나의 돈벌이 수단일 뿐이라고 보시나요? 운영하는 웹사이트에 웹이나 이메일 비콘을 사용하고 계신가요? 댓글로 의견을 들려주세요!