매일 수많은 웹사이트를 방문하고 좋아하는 소셜 네트워크를 이용하면서도, 우리는 자신도 모르게 얼마나 많은 정보가 외부로 흘러나가고 있는지 깊이 생각하지 않습니다. 트위터에 '여행을 떠난다'고 언급했다가 그 사실을 알아본 도둑에게 집을 털렸다는 이야기를 한 번쯤은 들어보셨을 겁니다. 실제로 2009년에는 IzzyVideo.com의 운영자인 이스라엘 하이먼(Isreal Hyman)이 여행을 떠나면서 트위터에 여행 소식을 올렸다가, 집에 돌아왔을 때 집이 도둑맞은 것을 발견한 사례도 있었습니다.
여행 계획을 직접 올리지 않는다고 안심할 일이 아닙니다. 많은 온라인 앱에는 위치 추적 서비스가 기본으로 탑재되어 있어서, 트윗이나 페이스북 업데이트, 플리커(Flickr) 게시물 등에 자동으로 지리적 위치가 태그됩니다. 도둑과 범죄자들이 점점 더 기술적으로 영리해지는 요즘, 어떤 위치 정보를 노출하고 있는지 파악하고, 소셜 네트워크 속에 숨어 있는 개인정보 보호 도구를 활용해 이를 차단하는 것이 중요합니다.
소셜 네트워크 계정에는 위치 정보뿐 아니라 계정 자체를 지킬 수 있는 개인정보 보호 기능도 마련되어 있습니다. 해커들이 계정을 쉽게 털 수 있는 가장 큰 이유는 대부분의 계정이 단일 인증 단계로만 보호되어 있고, 사람들이 너무나 쉽게 추측 가능한 비밀번호를 사용하기 때문입니다. 이번 글에서 소개할 도구들은 추가 인증 단계를 만들어 누구도 계정을 해킹하기 어렵게 만들어 줍니다.
계정 보안 강화하기
계정을 안전하게 지키는 방법은 크게 두 가지입니다.
첫째, 다양한 계정에 2단계 인증(two-factor authentication)을 추가하는 것입니다. 여기서는 구글 계정과 드롭박스(Dropbox)에 적용하는 방법을 소개하지만, 사용 중인 모든 온라인 서비스에서 해당 기능이 있는지 확인하고 활성화하는 것이 좋습니다. 보안 수준이 비약적으로 올라가기 때문입니다.
둘째, 소셜 네트워크의 위치 추적 기능을 확인하고, 게시물이나 업데이트에 위치 정보가 노출되지 않도록 비활성화하거나 최소화하는 것입니다. 이 두 가지만 신경 써도 다음 피해자를 노리는 범죄자들로부터 계정을 크게 보호할 수 있습니다.
1. 2단계 인증(2-Factor Authentication) 설정
대기업에서 근무하는 분이라면 회사 노트북으로 재택 접속할 때, 화면에 수시로 바뀌는 숫자가 표시되는 하드웨어 키를 사용해 본 경험이 있을 것입니다. 이 일회용 숫자와 평소 로그인 정보를 조합하는 방식이 바로 2단계 인증입니다. 간단히 말해, 두 겹의 인증 장벽을 두는 것입니다.
구글(Google)에서는 계정 설정 메뉴에서 '보안' 항목으로 이동한 뒤, '2단계 인증(2-step verification)' 섹션을 찾으면 됩니다. 해당 섹션의 설정 버튼을 클릭하면 인증 절차가 시작되는데, 첫 단계는 구글이 '비밀 코드'를 보낼 수 있는 주 휴대전화 번호를 등록하는 것입니다.
등록 즉시 SMS 또는 음성 통화로 인증 코드가 전송되며, 화면으로 돌아와 받은 코드를 입력하면 됩니다.
설정 자체는 어렵지 않습니다. 다만 주의할 점이 있습니다. 2단계 인증을 활성화한 후에는 새로운 앱이나 서비스가 구글 계정에 접근하려면 매번 보안 설정에서 권한을 직접 허용해야 합니다. 이미 여러 서비스가 계정에 연결된 상태에서 2단계 인증을 켜면, 기존 연결 대부분이 끊어질 수 있다는 뜻입니다.
설정 과정의 마지막 단계에서는 현재 내 계정에 접근 권한이 있는 서비스 목록을 확인할 수 있습니다. 하단의 입력란에 새 서비스 이름(예: 스마트폰의 구글 동기화)을 입력하고 추가 버튼을 누르면, 구글이 임시 비밀번호를 발급해 줍니다. 이 임시 비밀번호를 해당 앱에 입력해야 계정이 정상적으로 다시 연결됩니다. 초기 설정에 손이 좀 가지만, 그만큼 해킹 시도로부터 계정을 단단하게 지켜 줍니다.
드롭박스(Dropbox)의 2단계 인증은 더욱 간단합니다. 설정 페이지에서 '보안(Security)' 탭으로 이동하면 기본적으로 비활성화되어 있는 '2단계 인증(Two-step verification)' 섹션이 보이는데, '활성화(Enable)' 링크를 클릭하면 끝입니다.
구글과 마찬가지로 문자 메시지로 코드를 받거나(전용 인증 앱을 사용할 수도 있습니다), 받은 코드를 다음 단계에 입력하면 됩니다.
설정을 완료하면 이후에는 새 기기나 앱이 드롭박스 계정에 접속할 때마다 반드시 휴대전화의 인증 코드가 필요합니다. 내 휴대폰을 소유하지 않은 사람은 계정에 접근할 수 없다는 의미이며, 홍채 인식 수준은 아니더라도 거의 모든 보안 방식을 능가하는 수준의 보호장치입니다.
드롭박스의 장점은 여러 개의 휴대전화를 등록할 수 있다는 점입니다. 주력 폰을 잃어버리더라도 백업 번호로 계정 접근이 가능하니 안심할 수 있습니다.
2단계 인증이 활성화되면 드롭박스 설정의 보안 영역에서 활성화 상태를 확인할 수 있습니다.
2. 소셜 네트워크 위치 서비스 관리
두 번째 숨겨진 개인정보 보호 도구는 계정 설정 깊숙이 자리한 '위치 서비스'입니다. 아이러니하게도 대부분의 소셜 네트워크는 위치 서비스 사용을 적극적으로 유도합니다. 친구들과 여행 정보를 자동으로 공유하게 해주고, 마케터에게는 내가 자주 찾는 업소 정보를 알려주기 때문입니다.
하지만 이것은 심각한 보안 취약점이기도 합니다. 내가 어디에 있고 언제 그곳에 있었는지 남들이 알 수 있기 때문입니다.
페이스북(Facebook)은 게시물 단위로 위치를 제어하는 독특한 방식을 채택했으며, '페이스북 플레이스(Facebook Places)' 기능으로 그 정점을 이룹니다. 작성 중인 게시물 하단에 위치 아이콘이 표시되는데, 다행히 이 아이콘 덕분에 위치를 추가하거나 삭제할 완전한 통제권을 갖습니다. 문제는 모바일이나 메신저로 게시할 때, 페이스북이 휴대전화의 GPS 또는 셀룰러 신호를 통해 내 위치를 삼각측량할 수 있다는 점입니다.
모바일 기기에서 이 '위치' 기능이 켜져 있는지 확인하려면 페이스북 앱 설정을 살펴보세요. 예를 들어 안드로이드 태블릿이라면 앱 설정 영역의 '메신저 위치 서비스(Messenger location services)' 옵션에서 페이스북 메신저로 보내는 메시지에 위치가 첨부되지 않도록 비활성화할 수 있습니다.
페이스북에서 위치 노출을 완벽히 통제하는 유일한 방법은 결국 게시물 하나하나를 확인하며 해당 게시물의 위치 설정을 직접 추가하거나 제거하는 것입니다.
구글은 좀 더 자동화된 방식을 씁니다. 구글 래티튜드(Latitude) 같은 위치 공유 서비스를 이용하려면 '위치 기록(Location History)'이 활성화되어 있어야 합니다. 하지만 개인정보가 걱정된다면, 모바일 구글 서비스를 사용할 때마다 내 위치가 외부로 전송되지 않도록 이 설정을 반드시 점검해야 합니다.
확인하려면 구글 계정 설정에서 '프로필 및 개인정보 보호(Profile and privacy)'로 이동한 뒤, '대시보드에 로그인(Sign in to Dashboard)' 버튼을 클릭합니다. 대시보드에서 '위치 기록 및 보고(Location history and reporting)' 섹션까지 스크롤하면 위치 설정과 구글 위치 기록 항목이 나타납니다. 위치 기록이 비활성화되어 있다면 가장 이상적인 상태입니다. 만약 활성화되어 있다면, 내가 구글 서비스를 사용하는 동안 위치 이력이 계속 저장되고 있다는 뜻입니다. 이제 이 숨겨진 도구의 존재를 알았으니, 위치 기록 대시보드에 들어가 설정을 변경하면 됩니다.
대시보드에서는 위치 이력을 확인하고 위치 추적을 켜거나 끌 수 있습니다. 필자 역시 래티튜드를 한동안 사용하다가 내 위치를 이렇게 공개적으로 알리는 것이 얼마나 위험한 일인지 깨닫고, 몇 년 전부터 위치 기록 추적을 꺼 두었습니다.
트위터(Twitter)는 위치 추적을 끄는 방법이 가장 간단합니다. 트위터 설정 페이지로 이동해 아래로 스크롤하면 '트윗 위치(Tweet location)' 섹션이 있습니다. '내 트윗에 위치 추가(Add a location to my Tweets)' 체크박스가 해제되어 있다면 이미 안전한 상태입니다.
그리고 설정 페이지에 있는 김에 '비밀번호 재설정 시 개인정보 요구(Require personal information to reset my password)' 옵션도 함께 체크해 두세요. 이 또한 잘 알려지지 않은 숨겨진 보안 기능으로, 비밀번호 재설정을 시도하는 사람은 반드시 내 개인 이메일 주소나 휴대전화 번호를 입력해야만 합니다. 이렇게 하면 비밀번호 재설정 절차를 악용한 트위터 계정 해킹 시도의 가능성을 크게 낮출 수 있습니다.
'Do Not Track' 확장 프로그램은 신중하게
브라우저에 저장된 위치 정보를 추가로 보호하기 위해 'Do Not Track' 같은 확장 프로그램을 고려할 수도 있습니다. 웹페이지의 어떤 요소도 브라우저 정보를 추적하지 못하게 막아주는 도구입니다.
이런 도구가 처음 등장했을 때는 광고 추적 쿠키를 차단한다는 매력적인 컨셉 덕분에 많은 사람들이 앞다투어 설치했습니다. 하지만 문제가 있습니다. 이런 확장 프로그램은 현대 웹사이트가 제공하는 편리한 기능들, 예컨대 사이트에 정상적으로 로그인하거나 커뮤니티에 참여하는 기능마저 무력화시킨다는 점입니다.
실제로 한 기술 전문가는 이렇게 말합니다. "개인정보 보호 플러그인을 설치하면 로그인조차 되지 않아 사용자가 겪는 불편함이 크게 늘어나고, 결국 그 불만을 설명해야 하는 사람은 우리가 됩니다."
결론적으로, 이런 차단 확장 프로그램이 약속하는 '프라이버시'는 생각만큼 중요하지 않은 경우가 많고, 정작 망가지는 사이트 기능들을 감수할 가치가 없습니다. 진짜로 신경 써야 할 부분은 페이스북, 트위터 등 소셜 네트워크 계정의 설정입니다. 위에서 소개한 대로 위치 공유 서비스를 비활성화하고 2단계 인증을 활성화하기만 해도, 오늘날 온라인에서 직면하는 보안 위협의 절반 이상을 제거하는 셈입니다.
혹시 소셜 네트워크 계정 깊숙이 숨어 있으면서 유용한 다른 개인정보 보호 도구나 설정을 알고 계신가요? 댓글로 여러분의 경험과 팁을 공유해 주세요!