올해 페이스북 F8 컨퍼런스에서 마크 저커버그는 인스타그램을 포함한 페이스북의 모든 소셜 미디어 서비스에 강화된 개인정보 보호 조치를 적용하겠다고 밝혔습니다. 하지만 실제 현장에서는 그 비전만큼 보안 작업이 제대로 이루어지지 않고 있는 것으로 보입니다. 최근 발견된 새로운 해킹 기법은 '요소 검사(Inspect Element)' 도구를 이용해 인스타그램 웹 버전에서 비공개 계정의 게시물과 스토리를 몰래 열람하고 외부로 공유할 수 있음을 드러냈습니다. BuzzFeed의 보도에 따르면, 이 해킹은 인스타그램 웹과 페이스북의 콘텐츠 전송 네트워크(CDN)의 신뢰성에 근본적인 의문을 던지고 있습니다.
위태로워진 인스타그램의 개인정보 보호
해킹은 어떻게 작동하나?
먼저 짚어야 할 점은, 비공개 계정의 게시물과 스토리를 외부에 공유하려면 해당 계정의 팔로워여야 한다는 전제 조건입니다. 비공개 인스타그램 계정의 하이라이트, 스토리, 게시물은 팔로우 관계가 성립되어야만 볼 수 있으며, 원칙적으로는 계정 주인의 팔로워들 사이에서만 공유가 가능합니다.
하지만 이번 해킹은 이러한 개인정보 설정을 우회하여, 특정 비공개 계정의 피드와 스토리를 팔로워가 아닌 사람, 심지어 인스타그램 사용자가 아닌 사람에게도 공유할 수 있게 만듭니다.
방법은 생각보다 간단합니다. 다음 과정을 살펴보겠습니다.
인스타그램 웹에서 친구(비공개 계정 운영자)의 프로필 페이지를 열면, 브라우저는 해당 페이지에 표시되는 모든 콘텐츠에 대한 공개 URL을 생성합니다. 여기에는 피드에서 볼 수 있는 사진과 친구가 저장해둔 스토리·하이라이트가 포함됩니다. 이 공개 URL을 확인하려면 브라우저 화면 아무 곳이나 마우스 오른쪽 버튼으로 클릭한 뒤 검사(Inspect Elements) 옵션을 선택하면 됩니다. 그러면 해당 웹페이지의 요소들이 담긴 창이 아래와 같이 열립니다.
여기서 왼쪽에서 네 번째에 위치한 Network(네트워크) 탭으로 이동합니다. 이 탭에서는 해당 페이지에서 볼 수 있는 모든 이미지(아이콘, 이모지, 썸네일 포함)의 공개 URL을 확인할 수 있습니다. 인스타그램 웹의 경우 피드 이미지, 스토리, 프로필 사진에 대한 링크가 모두 여기에 나타납니다. 이후 관련 링크를 찾아 복사한 뒤 새 탭에 붙여넣으면, 해당 인물을 팔로우하지 않았더라도 사진을 열람할 수 있습니다. 물론 이 링크는 그대로 외부에 공유할 수도 있습니다. 실제로 이 해킹이 작동한다는 사실은 이미 검증된 바 있습니다.
다음은 BuzzFeed가 공개한 GIF로, 요소 검사 도구에서 링크를 복사하는 과정을 보여줍니다.
이러한 요소 검사 도구는 어떤 브라우저에서든 몇 번의 클릭만으로 접근할 수 있습니다. 즉, 이렇게 노출된 공개 URL은 인스타그램상의 개인정보를 침해하고, 플랫폼에 올린 소중한 순간들이 오용될 위험에 처하게 만들 수 있습니다.
한편, 페이스북 측은 이에 대해 나름의 논리적인 입장을 내놓았습니다.
페이스북의 공식 입장
페이스북 대변인은 이번 활동이 인스타그램의 개인정보에 대한 위협이 전혀 아니라고 밝혔습니다. 그 논거는 이것이 결국 자신의 게시물이나 스토리를 팔로워가 스크린샷으로 캡처해 아무에게나 전달하는 행위와 본질적으로 같다는 것입니다. 이 해킹은 이미 친구 관계에 있는 사람만 사용할 수 있으므로, 사용자의 개인정보를 침해하는 행위로 보기 어렵다는 설명입니다. 대변인은 또한 이 해킹이 사용자 계정에 대한 무단 접근을 허용하는 것이 아니기 때문에 당장의 위협으로 간주할 사안이 아니라고 강조했습니다.
어느 정도 일리 있는 말입니다. 이미 팔로우 요청을 수락하면서 친구들에게 사진 열람 권한을 부여했으니, 언제든 스크린샷을 찍을 수 있는 사람이 굳이 이 해킹을 통해 사진을 공유하는 것을 막을 필요는 없다는 것이죠.
하지만 상황은 조금 더 복잡합니다.
스크린샷과 무엇이 다른가?
인스타그램에서 이미지를 스크린샷으로 캡처하는 것과 공개 URL을 통해 공유하는 것 사이에는 미묘하지만 중요한 차이가 있습니다. 첫째, 페이스북은 인스타그램 앱이나 웹에서 이루어지는 스크린샷 촬영, 이미지 공유 등 모든 사용자 활동을 추적합니다. 반면 공개 URL을 이용해 피드나 스토리를 공유하면 페이스북의 콘텐츠 전송 네트워크 차원에서 추적이 불가능합니다. 둘째, 24시간 동안만 활성화되는 만료된 스토리나 삭제된 게시물의 공개 URL이 일정 기간 동안 검사 도구에 남아 있어, 추가적인 개인정보 유출 구멍을 만듭니다.
셋째, 스크린샷에는 별도의 메타 정보가 담기지 않지만, URL을 통해 이미지에 접근하면 사진 크기, 업로드 날짜, 업로드 출처 등의 세부 정보가 함께 노출될 수 있습니다. 이러한 정보만으로도 잠재적인 EXIF 데이터 관련 위험에 노출될 수 있습니다.
일각에서는 이 해킹이 페이스북 계정에도 적용될 수 있다는 보도가 있었지만, 초기에는 그 신뢰성에 대한 확증이 드물었습니다. 그러나 직접 페이스북(본인 프로필)에서 확인한 결과, 실제로 해킹이 작동했습니다(위 스크린샷 참조). 타임라인의 이미지와 타임라인 페이지에 표시된 친구들의 프로필 사진에 접근해 손쉽게 공유할 수 있었습니다. 그 이유는 페이스북이 인스타그램을 포함한 모든 자사 플랫폼에 동일한 콘텐츠 전송 네트워크를 사용하기 때문으로 추정되며, 이것이 이 해킹과 페이스북을 연결하는 고리입니다.
파급 효과
아직 이 해킹과 연관된 악의적 활동으로 인한 심각한 피해 사례는 보고되지 않았습니다. 그럼에도 불구하고 이번 사건은 마크 저커버그가 내세운 '프라이버시 중심의 미래' 비전에 큰 물음표를 던집니다. 2018년 한 해 내내 프라이버시 관련 실수를 거듭했던 페이스북에게, 이 해킹은 최근 몇 달간 내놓은 모든 약속에 큰 타격이 될 수 있습니다. 저커버그 본인이 "자신의 플랫폼에서 우리의 안전을 보장할 수 없다면, 페이스북이 창립 이후 받아온 폭발적인 호응을 감당할 자격이 없다"고 말한 바 있음을 생각하면 더욱 그렇습니다. 지난 몇 달 사이 페이스북 관련 플랫폼에서 터진 개인정보 우려만 벌써 백 번째에 육박하는 셈입니다.
역설적이게도 페이스북은 여전히 사용자 이탈 없이, 인스타그램은 날로 인기를 끌고 있습니다. 이러한 플랫폼들은 이미 밀레니얼 세대의 삶에 깊숙이 스며들어 있어, 개인정보 우려가 대중에게 거의 영향을 미치지 못하는 실정입니다.
소셜 미디어가 개인적·업무적 용도로 확장되면서 완전히 떠나기란 사실상 불가능합니다. 하지만 최소한 플랫폼에서의 존재감을 줄이고, 피드를 스크롤하는 데 허비하는 시간을 줄일 수는 있습니다. Social Fever를 활용하면 인스타그램 장시간 사용에 대한 경고를 손쉽게 받고, 소중한 시간 낭비를 예방할 수 있습니다.
Social Fever는 안드로이드 기반 앱으로, 다양한 앱별로 사용 시간 타이머를 설정할 수 있습니다. 설정한 시간이 지나면 앱이 알림을 통해 이를 알려줍니다. 이를 통해 사용자는 스마트폰 사용 시간을 모니터링하고, 그 시간을 더 생산적인 활동에 쓰도록 유도받을 수 있습니다. Social Fever의 가장 큰 장점은 추적 기능이 인스타그램이나 페이스북에 국한되지 않고, 쇼핑 앱이나 영상 스트리밍 앱에도 적용할 수 있다는 점입니다.
매일의 스마트폰 사용량을 정확하게 추적할 수 있는 이 앱은, 개별 앱 사용 시간을 제한해 중독을 예방하고 건강을 챙기는 데 훌륭한 도구입니다. 또한 이어폰 과다 사용이나 장시간 화면 시청에 대한 경고도 보내 눈과 귀 건강을 지키도록 돕습니다. 이외의 다양한 기능이 궁금하다면 아래 Google Play Store 버튼을 통해 지금 바로 다운로드해 보세요.
올해 초 더스틴 모스코비츠는 페이스북 분리가 독점적 사업 방식에 변화를 가져올 수 있다고 언급한 바 있습니다. 그러나 그날이 오기 전까지, 우리는 소셜 미디어 충동에 그대로 굴복해야 할까요? 아니면 이 문제에서 벗어날 다른 길이 있을까요?
이번 해킹에 대한 여러분의 생각을 댓글로 알려주세요. 이 해킹이 인스타그램 웹의 취약성을 드러내며 사용자 개인정보를 위태롭게 만들고 있다고 보시나요?
더 많은 최신 기술 소식과 꿀팁, 해결책을 원하신다면 WeTheGeek의 Facebook, Twitter, Instagram, 그리고 YouTube를 팔로우하세요.