매일 수억 명의 사람들이 스냅챗(Snapchat)을 통해 친구들에게 사진과 영상을 주고받습니다. 이 메시지는 단 몇 초만 볼 수 있으며, 그 후에는 저절로 삭제되어 다시는 볼 수 없습니다. 바로 이러한 특성 덕분에 민감하고 친밀한 사진도 '비공개로 유지될 것'이라는 기대 속에 전송될 수 있는 것이죠.
그러나 이러한 안전장치가 무너질 위기에 처했습니다. 제3자 스냅챗 클라이언트 앱이 해킹당하면서 약 20만 개의 스냅챗 계정이 이미지보드 4chan 사용자들에게 유출된 것으로 알려졌습니다. 해커들은 해당 계정과 연관된 사진과 영상을 검색 가능한 데이터베이스 형태로 공개하겠다고 위협하고 있으며, 이 사건은 '스내핑(The Snappening)'이라고 불립니다.
특히 우려되는 점은 스냅챗 사용자 중 상당수가 미성년자라는 사실입니다. 전체 사용자의 절반 이상이 13세에서 17세 사이입니다.
'스내핑'이라는 이름은 올해 초 발생한 '패닝(The Fappening)' 사건에서 따온 것입니다. 당시 애플의 아이클라우드(iCloud) 서비스가 해킹당하면서 약 200장의 연예인 사진이 4chan과 레딧(Reddit)에 유출되어 큰 파장을 일으켰습니다.
혹시 스냅챗 사용자이신가요? 소중한 개인 영상이 유출될 가능성이 걱정되시나요? 이번 사건이 어떤 의미를 갖는지 자세히 살펴보겠습니다.
스내핑 사건의 전말
사실 스냅챗은 보안 문제와 관련해 낙인찍힌 적이 여러 번 있습니다. 올해 초에도 API 취약점을 이용해 사용자 이름으로 전화번호를 무차별 대입(brute-force) 방식으로 확인할 수 있다는 결함이 발견되면서, 약 460만 명의 사용자 이름과 전화번호가 온라인 검색 가능한 데이터베이스에 유출된 바 있습니다.
그럼에도 불구하고 프라이버시와 보안에 대한 불안한 평판에도 불구하고, 스냅챗 측은 이번 사진·영상 유출에 대해 자사 책임이 없다는 입장을 분명히 했습니다. 공식 성명에서 이렇게 밝혔습니다.
"스냅챗의 서버는 한 번도 해킹당한 적이 없으며, 이번 유출의 출처도 아닙니다. 스냅챗 사용자들은 스냅을 주고받기 위해 제3자 앱을 사용하다 피해를 입었습니다. 이러한 행위는 사용자의 보안을 위협하기 때문에 당사 이용약관에서 명확히 금지하고 있습니다. 우리는 앱스토어와 구글 플레이에서 불법 제3자 앱을 면밀히 모니터링해 왔으며, 실제로 상당수 앱의 삭제에 성공했습니다."
대신 책임은 두 가지 제3자 서비스, 즉 스냅세이브(SnapSave)와 스냅세이브드닷컴(SnapSaved.com)으로 돌려졌습니다.
스냅세이브(SnapSave)의 반박
스냅세이브는 '궁극의 스냅챗 대체 앱'을 표방했던 서비스입니다. 구글 플레이 스토어에서 이미 삭제되었고 APK 파일 형태로 배포되던 이 앱은 공식 앱과 동일한 기능을 제공하는 동시에, 받은 사진과 영상을 기기에 저장할 수 있게 해주는 것이 특징이었습니다.
스냅세이브 역시 유출 사진·영상의 출처가 자신들이 아니라고 공개적으로 부인했습니다. 개발자 조지 케이시(Georgie Casey)는 Engadget에 다음과 같이 말했습니다.
"우리 앱은 이 사건과 아무런 관련이 없으며, 사용자 이름이나 비밀번호를 기록한 적도 없습니다."
또한 스냅세이브는 사용자 콘텐츠를 자사 서버에 저장하지 않는다고 강조했습니다. 대신 사용자 기기에 로컬로 저장되는 복사본을 생성할 뿐이라는 설명입니다.
스냅세이브드닷컴(SnapSaved.com)의 정체
유출의 또 다른 용의자로 지목된 곳은 스냅세이브드닷컴입니다.
비즈니스 인사이더(Business Insider)에 따르면, 해당 사이트는 몇 달 전에 이미 폐쇄되었고 최근까지는 TV 액세서리를 판매하는 덴마크 쇼핑 사이트로 리디렉션되었다고 합니다. 또한 공개적으로 유출된 사진 대부분에 덴마크어 텍스트가 겹쳐져 있으며, 노르웨이 타블로이드 닥블라데(Dagbladet)는 피해자 다수가 덴마크인과 노르웨이인이라고 보도했습니다.
흥미롭게도 스냅세이브드를 운영한 사람이 누구인지는 불분명합니다. 사이트 소유자의 이름, 주소, 이메일 등이 담기는 Whois 정보가 은폐되어 있기 때문입니다. 그럼에도 2013년 10월부터 활동해 온 것으로 보이는 페이스북 페이지는 존재하며, 게시물은 드물지만 그중 하나에 스냅세이브드 웹사이트의 스크린샷이 포함되어 있습니다.
다만 이 페이스북 페이지의 좋아요 수는 고작 378개에 불과하고, 방명록에 댓글을 남긴 사람도 세 명뿐입니다. 20만 명이 넘는 사용자를 보유한 사이트의 모습이라고 보기는 어렵습니다.
같은 페이스북 계정에는 해킹을 당했다는 사실을 인정하는 성명도 게시되어 있습니다. 이름을 밝히지 않은 운영자는 이 성명에서 도난당한 콘텐츠의 규모(언론에 보도된 13GB가 아닌 500MB)와 해커가 유출 자료를 검색 가능한 데이터베이스로 만들 수 있는지 여부를 크게 축소해 설명했습니다.
해커의 성명: "이 콘텐츠를 유출하지 마십시오"
페이스북 게시물에는 페이스트빈(Pastebin)에 올라온 성명도 언급되어 있습니다. 이 글은 스냅세이브드 해커가 작성한 것으로 알려져 있으며, 그는 사이트 관리자로부터 아카이브를 제공받았다고 주장했습니다. 동시에 개인 프라이버시 침해이자 디지털 자유에 미칠 부정적 영향 때문에 유출 콘텐츠를 공개하지 않겠다고 밝혔습니다.
"이제 이 미디어를 보유하고 있거나 수집하려는 사람들에게 말하고 싶습니다. 잠시 생각해 보십시오. 20만 명의 이미지가 한꺼번에 유출되는 것이 인터넷에 좋은 일일까요? 그것이 우리 인터넷을 자유롭게 지킬 수 있을까요? 오늘 이미 영상과 이미지가 일부 유출되었다는 것은 알고 있습니다. 이 콘텐츠를 내려받으려는 사람들이 알아야 할 것은, 우리가 침범하고 있는 것이 바로 개인의 프라이버시라는 점입니다. 나를 소셜 저스티스 워리어로 보고 싶지는 않지만, 우리는 매일 인터넷의 자유를 위해 싸우고 있습니다. 이 콘텐츠가 게시되거나 유출되면 인터넷의 모든 활동을 감시하려는 자들의 손에 장단을 맞춰주는 꼴이 됩니다. 우리가 매일 사랑하고 즐기는 인터넷을 위해 부디 이 콘텐츠를 유출하지 말아 주십시오."
그는 성명을 마무리하며 피해자들에게 사과하고, 스냅챗 사용자들에게 '게시하기 전에 생각하라'고 당부했습니다.
"이런 사건이 이토록 전 세계적인 파장을 일으킬 줄은 상상도 못 했습니다. 이 일로 피해를 입은 모든 분께 사과드립니다. 여러분의 소중한 개인 자산을 훼손할 의도는 아니었습니다. 부디 이번 일을 계기로, 직접 통제할 수 없는 매체로는 절대 노출적인 이미지를 보내지 말아야 한다는 사실에 각성하길 바랍니다. 요컨대, 나는 오늘도, 내일도, 앞으로도 어떤 콘텐츠도 유출하지 않을 것입니다. 이 이미지와 영상이 인터넷과 개인 프라이버시를 위해 비공개로 남기를 바랍니다. 모두에게 행운을 빕니다. 게시하기 전에 꼭 생각하십시오."
글을 쓰는 시점 기준, 584MB 규모의 영상 아카이브가 여러 인기 파일 공유 사이트에 이미 공개된 상태입니다. 이 토렌트는 스냅세이브드 유출에서 나온 첫 번째 영상 묶음이라고 주장하고 있습니다. 다만 해당 콘텐츠의 불쾌하고 거의 확실하게 불법적인 성격을 고려해 필자는 이를 내려받지 않았으며, 따라서 진위 여부를 단정할 수 없습니다.
확인된 사실은 무엇인가?
지금까지 확실하게 확인된 것은 아무것도 없습니다.
13GB의 이미지가 실제로 유출되었다는 결정적인 증거는 아직 확인되지 않았습니다. 사실 이번 사건은 대규모 트롤링(장난성 허위 유포)일 가능성도 배제할 수 없습니다. 이런 일은 처음이 아니니까요. 시간이 지나야 답이 나오겠지만, 필자는 회의적인 태도를 유지하겠습니다.
그럼에도 이 사건에서 몇 가지 교훈을 얻을 수 있습니다. 첫째, 해커로 추정되는 인물이 말했듯이, 직접 통제할 수 없는 플랫폼에 친밀한 성격의 이미지를 올리는 것은 현명하지 않습니다. 대신 텍스트시큐어(TextSecure)나 프라이버텍스트(Privatext)처럼 암호화를 제공하고 서비스 제공업체조차 열람할 수 없는 앱을 사용하는 것이 좋습니다.
둘째, 스냅챗, 페이스북, 이메일, 트위터 계정에 접근 권한을 부여하는 제3자 서비스에 대해 항상 의심하는 자세가 필요합니다. 해당 서비스가 해킹당하면 소중한 개인 메시지, 사진, 영상에 대한 통제권을 잃을 수 있습니다.
이번 사건에 대해 어떻게 생각하시나요? 스냅세이브드를 사용해 보셨나요? 아래 댓글로 의견을 들려주세요.