어디를 가든 근처에 Wi-Fi 연결이 있을 거라고 대부분은 당연하게 여깁니다. 그래서 모바일 데이터를 아끼기 위해 스마트폰의 Wi-Fi를 항상 켜두는 것이 자연스럽기도 하죠.
하지만 많은 기술이 그렇듯, 우리는 의도보다 더 많은 정보를 흘리고 있습니다. Wi-Fi도 예외는 아닙니다. 가장 우려되는 점은 Wi-Fi 네트워크에 연결하지 않았더라도 정보가 새어나갈 수 있다는 사실입니다.
Wi-Fi 연결은 어떻게 작동할까?
Wi-Fi는 전파를 이용해 두 장치 간에 네트워크 연결을 제공합니다. 일반적으로 공유기(AP)와 사용자 기기 사이에서 연결이 이루어지며, 공유기는 2.4GHz 또는 5GHz 주파수로 전파를 송출합니다.
기기에서 Wi-Fi를 켜면 '능동 스캐닝(active scanning)' 모드로 연결 가능한 AP를 검색합니다. 이 과정에서 주변 AP에 자신의 MAC 주소를 노출하게 되는데, MAC 주소란 특정 기기에 고유하게 할당된 물리적 주소입니다.
핫스팟에 연결되면 인터넷 접속을 허용하는 IP 주소가 부여됩니다. 즉, 식별 방식은 두 가지입니다. AP와 기기 사이에서는 MAC 주소가, 인터넷과 기기 사이에서는 IP 주소가 사용됩니다.
쓰레기통이 밝혀낸 추적의 실체
2013년, '리뉴 런던(Renew London)'이라는 회사가 인터넷에 연결된 쓰레기통으로 헤드라인을 장식한 적이 있습니다. 이 회사는 2012년 런던 올림픽 기간 동안 지나가는 행인에게 광고를 보여주고, 디스플레이 시간의 5%를 공익 광고에 할당하는 쓰레기통 시범 운영을 진행했습니다.
광고를 볼 기회가 늘어난다고 해서 크게 반발하는 사람은 많지 않았습니다. 그러다 2013년, 런던 시티(City of London)에서 진행된 시범 확장 과정에서 지나가는 모든 사람의 MAC 주소를 추적하는 기능이 추가되었다는 사실이 밝혀지면서 상황이 달라졌습니다.
회사는 쓰레기통에 Wi-Fi 액세스 포인트를 설치했고, AP는 Wi-Fi가 켜져 있는 모든 기기의 MAC 주소를 수집했습니다. Quartz의 보도에 따르면 리뉴는 시범 운영 기간 동안 100만 개 이상의 고유 기기를 식별했으며, 2013년 7월 6일 하루 만에 106,629명을 식별하고 하루 동안 무려 946,016회 위치를 파악했다고 밝혔습니다.
리뉴의 CEO는 이 시스템의 활용 예시도 소개했습니다. 한 바(bar)가 트래커 다섯 개를 설치한다고 가정해 봅시다. 입구 하나, 옥상 하나, 계산대 근처 하나, 화장실마다 하나씩 설치하면, 바는 화장실을 통해 성별을 파악하고, 체류 시간과 식사 목적인지 술자리 목적인지까지 알 수 있습니다. 이 정보를 바탕으로 도시 곳곳에서 맞춤형 광고를 제공할 수 있는 것이죠.
이러한 행태가 드러나자 프라이버시 단체들의 거센 반발이 일었고, 결국 런던 시티는 시범 운영을 중단하고 해당 쓰레기통들을 철거했습니다.
이것이 전부가 아니다
리뉴 런던은 '프레즌스 오브(Presence Orb)'라는 프로젝트의 일부였습니다. 이 프로젝트의 목표는 "웹 기반 소매업체가 누리는 데이터 인사이트 수준을 오프라인 매장에도 동등하게 제공하는 것"입니다.
쉽게 말해, 현실 세계에 쿠키(cookie)를 도입하겠다는 것입니다. 홍보 영상에 나오는 잭(Jack)의 사례를 살펴보겠습니다. 잭은 새 차를 구매하려고 두 곳의 매장에서 시승을 했습니다. 그중 한 곳이 프레즌스 오브를 사용 중이라면, 시스템은 잭의 MAC 주소를 기록하고 그가 신차 구매를 고려 중임을 파악합니다. 이후 같은 MAC 주소가 다른 장소에서 감지되면 해당 차량 광고를 보여줄 수 있습니다.
놀랍게도 이 모든 과정은 Wi-Fi 네트워크에 연결하지 않아도 이루어집니다. 만약 프레즌스 오브 네트워크에 연결하기라도 하면, 모든 웹 서핑 습관이 MAC 주소와 연계되어 온라인과 오프라인 모두에서 당신을 따라다니게 됩니다.
광고, 그리고 더 많은 광고
하지만 프레즌스 오브는 빙산의 일각에 불과합니다. 실제로 이는 '스마트 플레이스(Smart Places)'라는 더 큰 글로벌 프로젝트의 일부로, 현실 세계의 쿠키를 확산시키는 것이 목표입니다. 해당 기술을 활용하는 이유로 웹사이트에는 다음과 같은 내용이 명시되어 있습니다.
- 특정 시간대에 고객이 줄서기 위해 평균 얼마나 기다리는지 파악
- 매장 내 어떤 상품과 위치가 가장 인기 있는지 확인
- 어떤 마케팅 진열대가 가장 효과적인지 분석
잘 숨겨진 웹페이지를 통해 MAC 주소 추적을 거부(opt-out)할 수 있습니다. MAC 주소 자체는 데이터베이스에 남지만, 옵트아웃 처리 목적으로만 사용되며 온라인의 'Do Not Track' 요청과 유사한 방식입니다.
흥미롭게도 이 프로젝트의 배후에는 '프라이버시 미래 포럼(The Future of Privacy Forum)'이라는 단체가 있습니다. 이름만 들으면 프라이버시 보호에 힘쓸 것 같지만, 참여 기업 명단을 보면 이야기가 달라집니다.
- Foursquare, Facebook, Netflix, Apple, Microsoft
- Cisco, Lockheed Martin
- Citigroup, Bank of America, American Express
- Ford, Netflix, Apple, Starbucks, Nike, Macy's, Amazon, Toyota, Wal-Mart
- Ernst & Young, AOL, LinkedIn
- Comcast, AT&T, T-Mobile, Verizon
- MasterCard, Visa
현실 세계에 쿠키를 도입하는 데 한몫한 이 단체가 정말 사용자의 이익을 최우선으로 생각할지 의문이 드는 명단입니다.
심지어 감시까지
광고 논란은 어느 정도 납득할 수 있더라도, 문제는 정부와 법 집행 기관이 '스팅레이(Stingray)'라는 장치로 사용자를 추적할 수 있다는 점입니다. 스팅레이는 휴대폰 통신을 가로챌 수 있는 '가짜 기지국'으로, SIM 카드의 국제 이동 가입자 번호(IMSI)를 통해 사용자와 연결합니다. 기존에는 셀룰러 네트워크에서만 가능했고 Wi-Fi로는 불가능했습니다.
그러나 2016년 BlackHat Europe 컨퍼런스에서 옥스퍼드 대학교의 두 연구원이 공공 Wi-Fi 액세스 포인트를 스팅레이로 변형하는 방법을 시연했습니다. 대부분의 스마트폰은 특정 Wi-Fi 네트워크에 자동 연결되도록 설정되어 있습니다. 집 Wi-Fi든 외출 시 접속하는 공공 핫스팟이든 말이죠.
이 자동 연결 과정은 IMSI를 인증 수단으로 사용하며 사용자의 개입 없이 이루어집니다. 따라서 누군가 당신의 동선을 추적하려 한다면, 알려진 Wi-Fi 네트워크인 척하는 '악성 액세스 포인트(rogue access point)'를 설치하면 됩니다. 스마트폰이 자동 연결을 시도하는 순간 IMSI가 AP로 전송됩니다.
IMSI는 기기가 아닌 휴대폰 번호와 SIM 카드에 연결되어 있습니다. 즉, SIM을 다른 기기에 옮겨 꽂더라도 셀룰러 또는 Wi-Fi 네트워크에 연결하는 순간 당신의 동선은 식별되고 감시될 수 있습니다.
Wi-Fi를 끄는 것을 잊지 마세요
모든 것이 엄청나게 침해적으로 들릴 수 있지만(실제로 그렇습니다), 이 모든 추적을 차단하는 하나의 해결책이 있습니다. 바로 Wi-Fi를 끄는 것입니다. 앞서 소개한 모든 추적 방식은 Wi-Fi를 켜둔 상태로 두는 것에 의존합니다.
스마트 플레이스가 자신의 MAC 주소를 추적하지 못하게 하려면 반드시 옵트아웃 신청을 하세요. Wi-Fi 스팅레이를 막으려면 기기의 Wi-Fi 설정에서 자동 연결(Auto-Connect)을 비활성화하면 됩니다. 다만 이 방법은 해당 네트워크 범위 안에 있을 때만 유효합니다.
집을 나설 때 Wi-Fi를 끄는 것을 자주 잊는다면 자동화 방법을 찾아보세요. 안드로이드에서는 Tasker 같은 앱을 사용해 지정된 위치를 벗어나면 Wi-Fi가 자동으로 꺼지도록 설정할 수 있습니다. 연결을 쉽게 켜고 끌 수 있는 위젯을 추가하는 것도 좋은 방법입니다. 필자는 현관문 옆에 NFC 태그를 부착해 Wi-Fi를 토글하도록 설정해 두었습니다.
맞춤형 광고를 위해 추적당하는 것에 대해 어떻게 생각하시나요? 타깃 광고에 대한 생각을 알려주세요. Wi-Fi를 이용한 다른 추적 방법을 알고 계신다면 댓글로 공유해 주세요!