또 한 번의 데이터 유출 사고가 발생했습니다. 이번에는 페이스북과 트위터 사용자들이 큰 피해를 입었습니다. 수많은 데이터 스캔들을 겪은 지금, 우리는 정말 더 조심해지고 있을까요? 아니면 기업들이 반복되는 개인정보 침해 사고를 심각하게 받아들이지 않고 있는 걸까요?
무슨 일이 있었나?
페이스북과 트위터는 사용자 계정으로 특정 서드파티 앱에 로그인한 수백 명의 개인 정보가 부적절하게 접근당했을 수 있다고 발표했습니다. 문제가 된 앱은 '자이언트 스퀘어(Giant Square)'와 '포토파이(Photofy)'입니다. 페이스북이나 트위터 로그인을 통해 해당 앱에 접속할 때 노출된 정보에는 사용자 이름, 이메일 주소, 그리고 트위터 사용자의 경우 최근 트윗까지 포함됩니다.
우선 두 악성 앱은 추가 피해를 막기 위해 구글 플레이 스토어에서 이미 내려진 상태입니다.
페이스북과 트위터에 따르면 사용자들은 구글 플레이 스토어에서 다운로드한 특정 앱에 자신의 계정으로 로그인한 뒤 데이터가 접근당했다고 합니다. 그렇다면 구글 플레이 스토어도 더 이상 안전하지 않다는 뜻일까요? 아니면 사용자가 스스로 보안 단계를 더 강화해야 하는 걸까요? 누군가 내 데이터 보안에 제대로 신경 쓰지 않고 있고, 그 결과 제3자가 내 데이터에 접근하게 된 것처럼 보이기 때문입니다.
트위터는 최소한이라도 사용자 데이터를 보호할 수 있도록 이번 취약점에 대해 구글과 애플에 경고했다고 밝혔습니다. 실제로 아직까지 애플 사용자의 데이터가 부적절하게 접근당했다는 소식은 없습니다.
관계자 발표 내용
트위터 블로그 게시물: "트위터 계정을 탈취하는 데 사용되었다는 증거는 없지만, 그럴 가능성 자체는 존재합니다."
트위터 대변인 린지 맥콜럼(Lindsay McCallum, 선임 커뮤니케이션 매니저)은 "사용자들이 이런 위험이 실재한다는 점을 인식하고, 자신의 계정에 연결하는 앱들을 직접 점검하는 것이 중요하다"고 말했습니다.
페이스북 대변인은 이번 유출 사건과 관련해 다음과 같은 성명을 냈습니다.
"보안 연구원들이 최근 두 명의 악의적인 행위자, 즉 '원 오디언스(One Audience)'와 '모비번(MobiBurn)'에 대해 저희에게 알려왔습니다. 이들은 인기 앱 스토어에서 유통되는 여러 앱에 악성 소프트웨어 개발 키트(SDK)를 탑재하도록 개발자들에게 돈을 지급했습니다. 조사 후 저희는 플랫폼 정책 위반으로 해당 앱들을 제거했고, 원 오디언스와 모비번에 행위 중지 요구 서한을 발송했습니다. 이러한 앱에 프로필 접근 권한을 허용해 이름, 이메일, 성별 등의 정보가 공유되었을 가능성이 있는 사용자들에게 통지할 예정입니다. 사용자 여러분께서는 어떤 서드파티 앱에 소셜 미디어 계정 접근 권한을 부여할지 신중하게 선택하시길 당부드립니다."
이에 대해 모비번(MobiBurn)은 페이스북 데이터를 수집, 공유 또는 수익화한 적이 없다고 해명했습니다.
모비번은 "당사는 모바일 앱 개발자와 데이터 수익화 회사를 연결하는 과정만을 지원했을 뿐"이라며, "그럼에도 불구하고 제3자에 대한 내부 조사가 완료될 때까지 모든 활동을 중단하기로 했다"고 밝혔습니다.
결국 누가 피해를 입나?
한쪽은 자신의 허점(있다면)을 숨긴 쪽을 비난하고 있지만, 결국 피해를 보는 사람은 '사용자'입니다. 낯선 이가 사용자의 데이터에 접근했을 수 있고, 그 정보가 불법적인 목적으로 사용될 가능성도 배제할 수 없습니다. 아직 그런 피해 사례가 보도되지 않았다고 해서 가능성이 없다는 뜻은 아닙니다.
기업들은 전용 앱 스토어에서만 앱을 다운로드하라고 권고하지만, 결국 유출은 일어났습니다. 그렇다면 누구를 탓해야 할까요? 흥미롭게도 이번 사건은 애플 사용자에게는 (아직까지) 발생하지 않았습니다. 그렇다면 이것이 전적으로 페이스북이나 트위터의 잘못이라고 단정하기 어려울 수도 있습니다. 어쩌면 모바일 운영체제가 결정적인 역할을 했을지도 모릅니다.
왜 하필 페이스북일까?
최근 몇 년간의 데이터 유출 사건을 아무리 열거해도 페이스북은 빠지지 않습니다. 왜 페이스북은 늘 사용자 데이터 스캔들의 중심에 서게 되는 걸까요? 캠브리지 애널리티카(Cambridge Analytica) 스캔들부터 이번 사건까지, 페이스북은 여전히 사용자들의 신뢰를 회복하지 못하고 있습니다. 그런데도 우리는 아무 일도 없었다는 듯 이 플랫폼을 계속 사용하고 있습니다.
2016년 미국 대통령 선거에 대한 러시아의 개입 사태 때도 페이스북은 여론 조작 혐의를 받았습니다. 당시 마크 저커버그 CEO는 "페이스북의 가짜 뉴스가 선거에 영향을 미쳤다는 생각은 터무니없는 발상"이라고 반박했지만, 정치 광고에 대한 팩트체크를 하지 않겠다는 결정으로 논란은 더욱 커졌습니다.
이런 사건들이 하나둘씩 이어지면서 페이스북은 사용자 데이터 보안 침해의 '레드존'에 계속 머물러 있습니다.
답 없는 질문들
다시 같은 질문을 던집니다. 이런 사건들을 겪으면서 우리는 정말 더 조심해지고 있습니까? 아니면 이런 스캔들이 나에게도 일어나기를 기다리고 있는 걸까요?
안전한 플랫폼에서 다운로드하라는 가이드라인을 따르지 않은 걸까요? 이번에도 안드로이드 사용자에게 가장 안전하다고 알려진 플레이 스토어에서 다운로드했습니다. 그런데 무슨 일이 있었습니까? 회사들조차 모르는 허점이 존재하는 걸까요? 아니면 이런 사건에 익숙해져 대수롭지 않게 넘기고 있는 걸까요?
마무리하며
트위터는 이번 유출을 안드로이드의 취약점과 연결 지었지만, 악성 행위자들이 어떻게 사용자의 개인 데이터를 빼냈는지는 여전히 불투명합니다. 애초에 이 거대 기업들의 인증 API는 제3자에게 정보를 직접 공유해서는 안 됩니다. 책임을 지는 대신 페이스북은 권한 내용을 제대로 읽지 않고 허용한 사용자에게 피해가 갔다고 말합니다. 과연 그럴까요? 이번 유출의 책임이 정말 사용자에게 있다고 생각하십니까?
사용자가 지금 해야 할 행동 지침
안전한 플랫폼에서 다운로드하는 것 외에도, 사용자는 한 가지를 더 실천해야 합니다.
앱을 설치하거나 살펴볼 때 안내 문구의 모든 줄을 꼼꼼히 읽고, 어떤 권한을 허용하게 되는지 반드시 확인하세요.
회사들의 태도는 대략 이렇습니다. "이런 유출은 일어날 수 있다. 언제나 더 조심해라." 과연 말이 됩니까? 적어도 납득하기는 어렵습니다.
더 이상 구글 플레이 스토어에서 앱을 받으면 안 되는 걸까요? 그렇다면 어디서 받아야 합니까? 다른 앱을 이용할 때 페이스북과 트위터 계정 로그인을 쓰지 말아야 할까요?
위 방법 외에 사용자가 따라야 할 다른 보안 조치가 있다면 댓글로 알려주세요. 더 많은 사용자에게 도움이 되도록 공유하겠습니다.