이메일을 열 때 가끔 "읽음 확인을 보내시겠습니까?"라는 메시지를 본 적이 있으신가요? 이 메시지가 나타나지 않으면 아무 정보도 전송되지 않는다고 생각하기 쉽지만, 실제로는 꼭 그렇지 않습니다. 추적 픽셀(tracking pixel), 즉 HTML이나 JavaScript에 삽입된 아주 작은 이미지 덕분에, 이메일을 열기만 해도 발신자에게 언제 열었는지는 물론 IP 주소(따라서 대략적인 위치), 사용 중인 이메일 클라이언트, 운영체제까지 전달될 수 있습니다.
추적 픽셀은 이메일과 웹페이지에서 오랫동안 사용되어 왔으며, 사용자에게 아무런 알림 없이 몰래 데이터를 수집하는 교활한 수단이라는 지탄을 주기적으로 받아왔습니다. 문제는 기업만이 아닙니다. 이 기술은 개인도 자유롭게 사용할 수 있어서, 누구든 클릭베이트성 제목과 추적 픽셀이 들어간 이메일 하나만 보내면 상대방의 위치를 알아낼 수도 있습니다.
추적 픽셀이란 무엇이며 어떻게 작동할까?
추적 픽셀은 1×1 크기의 이미지 픽셀(GIF, JPEG, PNG 등)로, 다른 이미지와 동일한 방식으로 이메일이나 웹페이지에 삽입되지만 숨겨져 있다는 점이 다릅니다. 픽셀은 원래도 매우 작지만, 이미지를 투명하게 처리하거나 배경과 섞거나 코드를 조작하면 사실상 육안으로 식별할 수 없게 됩니다. 그러나 결국 이미지이기 때문에, 추적 픽셀이 포함된 콘텐츠를 열면 브라우저나 이메일 클라이언트는 해당 픽셀이 저장된 서버로 요청을 보내게 됩니다.
서버가 이 요청을 접수하면 최소한 요청 시각, 날짜, 그리고 픽셀을 요청한 기기의 IP 주소를 기록합니다. 이메일에 포함된 경우 이 로그 정보는 훨씬 정교한 형태의 읽음 확인으로 활용됩니다. 웹페이지에 삽입된 경우에는 방문자의 IP 주소(그리고 경우에 따라 행동 정보)가 호스팅 서버로 전송되어, 트래픽 분석 또는 더욱 상세한 개인 프로필 구축에 사용됩니다.
이메일 속 추적 픽셀
개인적인 대화 내용이 추적되는 것은 추적 픽셀의 가장 논란이 되는 활용 사례입니다. 실제로 이메일 클라이언트 스타트업 Superhuman은 사용자의 메시지가 언제, 어디서 열렸는지 알려주는 자동 추적 픽셀 시스템을 내장했다는 비판을 받았습니다. 이 회사는 해당 기능을 완전히 제거하지는 않았지만, 기본값을 비활성화로 변경하고 위치 데이터를 삭제하는 조치로 대응했습니다.
SUPERHUMAN 사용자가 아니더라도 누구나 이메일에 추적 픽셀을 넣을 수 있습니다. 간단한 검색만으로 '마케팅'을 돕겠다는 수많은 서비스를 찾아볼 수 있습니다.
개인적인 대화가 이런 식으로 추적된다면 침해감이 들 수 있지만, 마케팅 이메일이 우리를 스토킹하거나 메시지를 열고 답장하기까지 걸리는 시간으로 우리를 평가하려는 것은 아닙니다. 대부분은 커뮤니케이션 전략을 최적화하려는 목적입니다.
Windows 사용자와 Mac 사용자 중 누가 링크를 더 많이 클릭할까? 같은 제목이 위스콘신 주민들에게는 공감을 얻지만 오리건 주민들에게는 외면당할까? 이메일 마케팅을 개선하려는 입장에서(혹은 좋은 스팸 타깃을 찾으려는 입장에서) 추적 픽셀이 제공하는 이런 데이터는 놓치기 아까운 것이 사실이며, 기업들이 이를 자진해서 중단할 가능성은 낮습니다.
하지만 스팸을 받고 싶지 않다면 주의해야 합니다. 스팸 이메일에서 이미지(사실 다른 HTML 요소도 마찬가지)를 로드하면 추적 픽셀이 작동하여, 스팸 서버에 "당신은 스팸을 클릭하는 활동적인 이메일 사용자"라고 알려줍니다. 당신이 받게 될 상품은 바로... 더 많은 스팸입니다! 게다가 스패머들은 이제 당신이 어디에 사는지도 알게 됩니다.
웹에서의 추적 픽셀
이메일이 정보를 유출하고 있다는 사실에 다소 충격을 받을 수 있지만, 웹페이지는 거의 항상 우리를 추적한다고 여겨져 왔기 때문에 이는 상대적으로 덜 놀라운 일입니다. 추적 픽셀은 쿠키 외에 사이트가 사용하는 수많은 추적 수단 중 하나일 뿐이며, 인기 있는 웹 분석 도구와 광고 타기팅 도구에서 폭넓게 활용되고 있습니다.
대표적인 예가 페이스북 픽셀(Facebook Pixel)입니다. 사이트에 추적 픽셀을 삽입하면 방문자의 IP 주소와 검색 활동이 페이스북으로 전송되고, 페이스북은 이 데이터를 활용해 사용자 계정을 특정하여 맞춤형 광고를 노출합니다. 페이스북만 이런 일을 하는 것은 아닙니다. 픽셀 추적은 사용자 데이터를 수집하고 중개하는 것을 전문으로 하는 광고 타기팅 및 분석 업계 전반에 널리 퍼져 있습니다.
추적 픽셀을 막을 수 있을까?
이메일 추적을 막는 가장 기본적인 방법은 이메일 클라이언트가 외부 이미지를 로드하기 전에 사용자에게 확인하도록 설정하는 것입니다. 단점은 이메일에 포함된 모든 이미지를 거부해야 한다는 점인데, 그중에는 실제로 보고 싶은 이미지도 있을 수 있습니다. 좀 더 강경하게 대응하고 싶다면 이메일에서 HTML을 아예 비활성화하는 방법도 있습니다. 일부 메일 제공업체와 클라이언트는 이를 지원하며, 일반 텍스트 이메일에는 보안과 프라이버시 측면에서 확실히 장점이 있습니다.
또는 Gmail(오직 Gmail에 한함)을 사용한다면 Ugly Email이나 Pixelblock을 설치해 볼 수 있습니다. 이 Chrome 확장 프로그램은 다른 이미지는 차단하지 않으면서 이메일 속 추적 요소만 감지하여 비활성화해 줍니다.
웹에서는 상황이 더 복잡합니다. 웹 비컨(web beacon)은 애초에 발견하기 어렵게 설계되어 있어, Ghostery나 Privacy Badger 같은 프라이버시 확장 프로그램이 일부를 잡아낼 수는 있지만 전부 차단하지는 못할 가능성이 높습니다. GDPR은 사이트가 추적 전에 사용자의 동의를 받도록 요구하지만, 준수율은 고르지 않고 사용자가 접속한 지역에 따라 적용 여부가 달라집니다. 어느 쪽이든 어떤 차단 장치를 세워도 일부 추적기는 통과할 수 있으므로, 진정한 의미의 프라이버시 보호를 위해서는 최소한 VPN과 Tor를 함께 사용해야 합니다.