[태그:] 개인정보보호

위치 권한, 딱 한 번 눌러서 허용했을 뿐인데. 그 사이 내 동선 정보가 어느 광고 회사 서버에 차곡차곡 쌓이고 있다면 기분이 어떨까. 전자프런티어재단(EFF) 조사에서 실제로 이런 사례가 여러 건 확인됐다. 더 황당한 건, 앱을 만든 개발자조차 이 사실을 모르는 경우가 적지 않다는 점이다. 앱에 심어둔 광고 SDK나 분석 라이브러리가 사용자 모르게, 심지어 개발자도 모르는 사이에 위치 데이터를 긁어다 제3자에게 넘기는 구조 때문이다. 테크크런치가 최근 이 문제를 짚었는데, 그 내용을 바탕으로 내 폰에서 위치 정보가 새고 있는지 확인하고 막는 방법을 정리해봤다.

권한은 앱에 줬는데, 데이터는 왜 광고사로 흘러가나

안드로이드 앱을 만들 때 개발자가 코드를 처음부터 끝까지 직접 짜는 경우는 드물다. 광고를 붙이거나 사용자 행동을 분석하거나 크래시를 리포트하는 기능, 이런 건 대부분 서드파티 SDK(소프트웨어 개발 키트)를 가져다 쓴다. 문제는 이 SDK가 앱 전체에 부여된 권한을 그대로 물려받는다는 데 있다. 사용자가 위치 정보 허용을 누르면, 그 앱 안에 얹혀 있는 광고 SDK도 똑같이 위치 정보에 접근하게 된다.

개발자 입장에서는 지도 기능이나 배달 앱처럼 실제로 필요해서 권한을 요청한 건데. 정작 그 데이터를 실어 나르는 건 개발자가 통제하지 못하는 외부 코드인 셈이다. 광고 네트워크는 이렇게 모은 위치 데이터를 사용자 프로필과 엮어서 타겟 광고에 쓰거나, 데이터 브로커에 되팔기도 한다. 개발자도 모르는 새 벌어지는 일이라니, 씁쓸하다.

내 폰에서 위치 권한 준 앱, 한눈에 보기

안드로이드라면 설정 → 위치 → 앱 위치 권한 순서로 들어가보자. 어떤 앱이 위치 정보에 접근 가능한지 목록으로 뜬다. 여기서 체크할 부분은 이거다.

• 손전등, 계산기처럼 위치가 전혀 필요 없는 앱이 권한을 갖고 있는지
• 설치만 해두고 안 쓰는 앱이 여전히 권한을 쥐고 있는지
• 같은 카테고리 앱인데 유독 권한이 많은 앱이 있는지

구글 플레이 스토어 앱 상세 페이지의 데이터 보안 섹션에서도 해당 앱이 위치 데이터를 제3자와 공유하는지 표시해준다. 설치 전에 한 번씩 훑어보는 습관, 들이면 좋다.

‘항상 허용’과 ‘앱 사용 중에만’, 뭐가 다른가

위치 권한을 켤 때 보통 선택지가 세 개 뜬다.

• 항상 허용 — 앱을 꺼놔도 백그라운드에서 계속 위치를 추적한다
• 앱 사용 중에만 허용 — 화면에 앱이 떠 있을 때만 위치에 접근한다
• 이번만 허용 — 한 번 쓰고 나면 권한이 자동으로 풀린다

배달 앱이나 내비게이션처럼 실시간 위치가 꼭 필요한 경우가 아니라면, 앱 사용 중에만 허용으로 낮춰두는 편이 안전하다. 백그라운드 위치 추적은 사용자가 앱을 켰는지조차 모르는 사이에 데이터를 쌓는다. SDK가 몰래 위치를 넘기는 구조에서 제일 큰 구멍이 바로 이 지점이다.

광고 ID 재설정, 추적 끊어내는 법

안드로이드에는 앱마다 다른 개인정보 대신, 광고사가 사용자를 식별할 때 쓰는 광고 ID라는 게 있다. 이 값이 그대로 유지되면 여러 앱에서 모은 위치 데이터가 하나의 프로필로 묶일 위험이 생긴다. 설정 → 구글 → 광고 경로로 들어가면 광고 ID를 삭제하거나 새로 발급받을 수 있다. 완전히 막는 방법은 아니다. 다만 기존에 쌓인 프로필과의 연결고리는 끊어내는 효과가 있다.

최근 안드로이드 버전에서는 광고 ID를 아예 꺼버렸을 때 앱들이 대체 식별자를 못 쓰게 막는 옵션도 추가됐다. 메뉴 이름은 기기 제조사나 OS 버전마다 조금씩 다를 수 있으니 참고하자.

위치정보 요구하는 앱, 걸러내는 나만의 기준

설치 전이든 후든, 아래 체크리스트로 한 번씩 걸러보면 도움이 된다.

• 앱의 핵심 기능과 위치 권한 요청이 실제로 맞물리는지 (손전등 앱이 위치를 요구하면 일단 의심)
• 리뷰나 개발자 정보에 낯선 SDK, 과도한 트래커 관련 언급이 있는지
• 구글 플레이 프로텍트, 프라이버시 대시보드에서 최근 권한 사용 이력을 확인했는지
• 비슷한 기능의 앱이 여러 개라면, 요청 권한이 적은 쪽을 고르는지

안드로이드 13 이상이면 설정 → 개인정보 보호 → 프라이버시 대시보드에서 최근 24시간 동안 어떤 앱이 위치 정보에 몇 번 접근했는지 그래프로 확인된다. 생각보다 자주 들락거리는 앱을 발견하면, 그 자리에서 권한을 낮추면 그만이다.

아이폰이라고 완전히 안심할 건 아니다

iOS는 앱 추적 투명성(ATT) 정책 덕분에 광고 목적의 추적을 앱마다 따로 허용받아야 한다. 구조적으로는 확실히 더 촘촘한 편. 다만 위치 권한 자체를 준 다음에는, 그 안에 포함된 SDK가 데이터를 수집하는 구조는 안드로이드와 크게 다르지 않다. 설정 → 개인정보 보호 및 보안 → 위치 서비스에서 앱별 권한을 확인하고, 화면 하단 시스템 서비스 항목에서 ‘중요한 위치’ 같은 백그라운드 추적 기능도 따로 꺼두면 된다.

자주 나오는 질문들

Q. 위치 권한을 다 꺼버리면 앱이 안 돌아가나?
지도, 내비게이션, 배달처럼 위치가 핵심 기능인 앱은 권한을 꺼두면 제대로 작동하기 어렵다. 그 외 대부분 앱은 위치 없이도 아무 문제 없이 돌아간다.

Q. VPN을 쓰면 위치 정보 수집을 막을 수 있나?
VPN은 인터넷 접속 위치, 그러니까 IP 기반 위치를 가려주는 거지, 앱이 GPS나 와이파이로 직접 수집하는 위치 권한 데이터까지 막아주진 않는다. 완전히 별개의 문제로 봐야 한다.

Q. 권한을 껐다가 필요할 때 다시 켜도 되나?
물론이다. 평소엔 꺼두고 내비게이션처럼 위치가 꼭 필요한 순간에만 켰다가 다시 끄는 방식, 이게 제일 안전하다.

출처: TechCrunch

아이클라우드에 올라간 사진, 메모, 백업 파일. 이걸 애플 직원조차 들여다볼 수 없게 막아주는 기능이 있다. 의외로 아는 사람이 적다. 이름은 고급 데이터 보호, 영어로 Advanced Data Protection, 줄여서 ADP다. 최근 각국 정부와 애플 사이에 이 기능을 두고 신경전이 벌어지면서 검색량이 확 늘었다. 대체 뭐길래 정부까지 나서서 문제 삼는 걸까. 아이폰에서 켜는 방법까지 하나씩 짚어본다.

아이클라우드, 원래 이 정도는 안전하다

아이폰을 쓰면 사진, 메시지, 백업이 자동으로 아이클라우드에 쌓인다. 전송 중에도, 서버에 저장된 상태에서도 암호화는 걸려 있다. 문제는 여기부터다. 대부분 데이터는 애플이 암호화 키를 같이 갖고 있다. 해커는 못 뚫는다. 하지만 애플 자신, 혹은 법적 요청을 받은 수사기관은 열어볼 수 있다는 뜻이다.

기본값 상태에서 종단간 암호화가 걸려 있는 항목은 이렇다.

• 건강 데이터
• 키체인에 저장된 비밀번호
• 아이메시지와 페이스타임 대화 내용
• 애플페이 및 결제 정보
• Wi-Fi 비밀번호

반대로 사진, 메모, 아이클라우드 백업, 알림 같은 항목은 기본값에서 애플이 키를 같이 쥐고 있다.

ADP를 켜면 뭐가 바뀌나

고급 데이터 보호(ADP)를 켜면 얘기가 달라진다. 암호화 대상이 23개 카테고리로 늘어난다. 사진, 메모, 기기 백업, 음성 메모, 사파리 북마크까지 전부 종단간 암호화 안으로 들어온다. 이걸 풀 수 있는 키는 이제 사용자 기기에만 있다. 애플 서버엔 저장되지 않는다. 법원 명령이 와도 애플이 넘길 게 애초에 없는 구조가 되는 셈이다.

예외는 있다. 아이클라우드 메일, 연락처, 캘린더는 ADP를 켜도 표준 암호화로 남는다. 다른 이메일 서비스나 캘린더 앱과 호환을 맞춰야 해서다.

정부는 왜 이걸 껄끄러워할까

수사기관 입장에선 종단간 암호화가 골칫거리다. 범죄 수사 중 클라우드에 저장된 증거에 손을 못 대기 때문. 그래서 일부 국가는 기술 기업에 ‘백도어’를 요구한다. 특정 조건에서만 열리는 우회 통로를 심으라는 얘기다.

문제는 그 통로를 정부만 쓴다는 보장이 없다는 것. 보안 연구자들은 백도어가 생기는 순간 해커나 적대적 국가도 같은 구멍을 노릴 수 있다고 지적한다. 자물쇠에 만능열쇠를 하나 더 달면, 그 열쇠를 노리는 사람도 같이 늘어난다는 논리다. 애플은 이런 요구를 받을 때마다 기능 자체를 해당 국가에서 내려버리는 방식으로 대응해왔다. 백도어를 만드느니 서비스를 제한하는 쪽을 택해온 것.

ADP 켜는 법, 순서대로

설정 자체는 어렵지 않다.

• iOS 16.2 이상, 아이패드OS 16.2 이상, macOS 벤투라 13.1 이상이 필요하다
• 설정 앱 → 맨 위 애플 계정 이름 → iCloud → 고급 데이터 보호 순으로 들어간다
• ‘보호 켜기’를 누르고 안내에 따라 복구키 또는 신뢰할 수 있는 연락처를 등록한다
• 로그인된 다른 모든 기기도 최신 OS로 업데이트되어 있어야 한다

구형 기기가 최신 OS를 못 받으면, ADP를 켜는 순간 그 기기의 아이클라우드 로그인이 풀릴 위험이 있다. 켜기 전에 쓰고 있는 기기 목록부터 확인하는 게 안전하다.

켜기 전에 이건 꼭 확인

ADP의 핵심은 애플조차 키를 안 갖는다는 것. 장점이자 동시에 위험 요소다.

• 비밀번호와 복구키를 동시에 잃어버리면 애플 고객센터도 데이터를 복구해줄 방법이 없다
• 복구 연락처(가족이나 지인의 기기)를 미리 등록해두면 비상 상황에 도움이 된다
• 복구키는 종이에 적어 금고나 별도 장소에 보관하는 편이 낫다
• 일부 웹 기반 iCloud.com 접근이나 서드파티 백업 도구와의 호환에 제약이 생길 수 있다

이 기능, 누구한테 필요한가

기자, 인권 활동가, 변호사, 기업 임원처럼 민감한 자료를 다루는 사람에겐 ADP가 확실한 안전판이다. 데이터 유출이나 계정 탈취가 터져도 암호화된 내용 자체는 안 열린다.

반대로 평범한 사용 패턴이라면 기본 암호화만으로 충분한 경우가 많다. 편의성 손실을 감수할 만큼 민감한 데이터가 없다면, 복구키 관리 부담이 오히려 더 크게 느껴질 수도 있다. 이건 좀 갈리는 지점이다.

아이클라우드 말고 다른 선택지

클라우드 백업을 다른 방식으로 관리하고 싶다면 몇 가지가 있다.

• 구글 드라이브: 저장 시 암호화는 걸리지만 키를 구글이 보유해 종단간 암호화는 아니다
• 마이크로소프트 원드라이브: 개인 보관함(Personal Vault) 기능으로 일부 파일만 추가 보호가 가능하다
• 맥 파인더나 아이튠즈로 만드는 로컬 암호화 백업: 클라우드를 아예 거치지 않아 통제권이 전적으로 사용자한테 있다
• 프로톤 드라이브 같은 서드파티 서비스: 처음부터 종단간 암호화가 기본값이다

결국 기준은 하나. 통제권을 얼마나 직접 쥐고 싶은지, 그 대가로 얼마나 번거로움을 감수할지.

암호화 기능 하나 켜고 끄는 문제처럼 보이지만, 실은 프라이버시와 수사 편의 사이의 오래된 줄다리기다. 아이클라우드에 어떤 데이터를 얼마나 맡길지는 결국 각자 판단할 몫이다.

출처: TechCrunch

플레이스토어에서 뭔가 하나 받으려고 하는데 대뜸 “나이를 확인해주세요” 창이 뜬다. 계정 만든 지 몇 년째인데 왜 갑자기. 분명 성인인데 인증이 반려되는 일도 있다. 요즘 구글이 앱 개발사들에게 이용자 나이 정보를 전달하는 ‘Age Signals API’를 전 세계로 넓히면서, 이 연령 인증이라는 게 대체 어떻게 돌아가는 건지 궁금해하는 사람이 늘었다. 왜 막히는지, 어떻게 뚫는지, 실제 구조는 뭔지 하나씩 짚어본다.

인증 창이 갑자기 뜨는 이유

플레이스토어 앱은 콘텐츠 등급별로 이용 가능 나이가 정해져 있다. 성인용 게임, SNS, 데이팅 앱, 인앱결제가 붙은 앱 대부분이 나이 확인을 거친다. 최근 각국이 미성년자 보호 법규를 강화하면서 구글도 계정 단위 나이 확인을 예전보다 훨씬 자주 요구하는 분위기다. 앱 하나 설치할 때마다 인증 창을 마주치는 이유가 여기 있다. 개발사 입장에서는 미성년자에게 부적절한 콘텐츠 노출시켰다가는 법적 책임을 지게 되니, 확인 절차를 건너뛸 재간이 없다.

인증이 계속 실패하는 이유, 대개 이 다섯 가지

연령 인증이 반복해서 막힌다면 아래부터 하나씩 점검해보자.

• 구글 계정에 등록된 생년월일이 실제 나이와 다르게 입력된 경우
• 패밀리 링크로 관리되는 자녀 계정으로 로그인 중인 경우
• 신용카드나 통신사 소액결제 같은 결제 수단이 계정에 등록돼 있지 않은 경우
• VPN이나 해외 IP를 써서 국가별 인증 방식이 꼬인 경우
• 계정을 만든 지 얼마 안 돼 신뢰도 점수가 낮게 잡히는 경우

이 중 하나만 걸려도 인증 창이 계속 뜬다. 하나씩 지워가며 원인을 좁히는 게 제일 빠르다.

먼저 구글 계정 생년월일부터 보자

myaccount.google.com에 들어가서 개인정보 메뉴의 생일부터 확인하자. 가입 초기에 잘못 입력했거나, 오래전 만든 계정이라 아예 비어 있는 경우도 의외로 많다. 실제와 다르면 고치면 되는데, 생년월일을 낮추는 방향으로 수정할 땐 구글이 신분증이나 결제 수단 같은 추가 인증을 요구한다. 반대로 예전에 실수로 어리게 적었던 걸 바로잡을 때도 본인 확인이 붙는 편이니, 카드나 신분증을 미리 챙겨두는 편이 낫다.

패밀리 링크 계정이라면 여기부터 손보자

자녀 명의로 만든 패밀리 링크 계정은 보호자 승인 없이는 특정 앱 설치나 나이 제한 콘텐츠 접근이 원천 차단된다. 아이가 자라서 국가별 기준 나이를 넘겼는데도 여전히 감독 계정에 묶여 있다면, 보호자 기기의 Family Link 앱에서 감독 해제 절차를 밟아야 한다. 해제해도 계정 생년월일 자체가 낮게 설정돼 있으면 인증에 또 걸리니, 해제 후엔 생년월일도 같이 확인하자.

카드 한 장이 나이를 증명해주는 경우

일부 국가에서는 신용카드 등록만으로 성인 인증을 대신하기도 한다. 카드사 시스템 자체가 미성년자 발급을 제한하고 있으니, 유효한 카드가 결제 수단으로 연결돼 있으면 구글이 이걸 나이 확인 신호로 쓰는 셈이다. 카드가 없다면 통신사 본인인증이나 신분증 스캔으로 대신하는 국가도 있다. 방식이 뭐든 한 번 인증을 마쳐두면 계정에 기록이 남아서, 이후 다른 앱 설치할 때 재인증 빈도가 눈에 띄게 줄어든다.

왜 이제 앱마다 따로 인증 안 해도 되나

지금까지는 앱마다 자체적으로 생년월일을 묻고, 심하면 신분증까지 요구하는 경우가 흔했다. 앱 개수만큼 개인정보가 여기저기 흩어지는 셈이라 이용자도 불편하고, 개발사도 인증 인프라를 따로 만들어야 하는 부담을 안았다. 구글이 새로 내놓은 Age Signals API는 이 구조를 뒤집는다. 개발사가 이용자의 정확한 생년월일을 직접 모으는 대신, 구글 계정에 이미 쌓인 신호 — 가입 시점, 결제 이력, 패밀리 링크 상태 같은 것들 — 을 바탕으로 산출된 연령대 정보만 API로 건네받는 식이다. 개인정보는 최소한만 오가면서도 미성년자 보호 요건은 채운다는 게 설계 방향이다. 개발사는 자체 인증 화면을 따로 만들 필요가 줄고, 이용자는 앱마다 생년월일을 반복 입력하는 번거로움에서 벗어난다. 이 정도면 꽤 실용적인 타협안 아닐까.

궁금한 것들 몇 가지

Q. 나이를 잘못 입력해서 낮춰 수정하면 계정이 정지되나?
정지는 아니다. 다만 본인 확인 절차가 하나 더 붙는다. 신분증이나 결제 수단으로 실제 나이를 증명해야 반영된다.

Q. Age Signals API, 사용자가 따로 켜야 하나?
아니다. 개발사가 앱에 붙이면 백그라운드에서 알아서 처리되는 구조라, 이용자가 켜고 끌 수 있는 기능이 아니다.

Q. 연령 인증 정보가 다른 회사로 넘어가나?
구글 설명으로는 생년월일 원본 대신 연령대 구간 — 성인인지 미성년인지 — 정도의 요약 신호만 전달한다. 다만 얼마나 자세히 공유되는지는 국가별 정책에 따라 달라질 여지가 있다.

출처: Engadget

조지아주에 사는 한 활동가가 세관국경보호국(CBP) 심문 도중 휴대폰을 초기화했다가 중범죄 혐의로 기소됐다. 국경에서 휴대폰을 뺏기거나 잠금을 풀라는 요구, 미국을 드나드는 사람이라면 언제든 겪을 수 있는 일이다. 그런데 그 순간 내게 어떤 권리가 있는지, 뭘 하면 절대 안 되는지 정확히 아는 사람은 의외로 별로 없다. 여행 가방 검사랑은 완전히 다른 얘기다. 미리 알아두지 않으면 공항에서 순식간에 골치 아픈 상황에 놓인다.

국경에서는 왜 영장 없이 뒤질 수 있나

미국 헌법 수정 4조는 부당한 압수수색을 금지한다. 그런데 국경에는 예전부터 ‘국경 검색 예외(border search exception)’라는 판례가 따로 적용돼 왔다. 공항 입국 심사대, 국경 검문소 — 이 구역은 일종의 법적 회색지대다. 세관 요원은 영장도, 구체적인 혐의도 없이 가방과 전자기기를 열어볼 권한을 가진다. 짐가방 뒤지는 것과 스마트폰 속 몇 년 치 메시지·사진을 훑어보는 것을 똑같이 취급한다는 비판, 꾸준히 나온다. 이거 좀 이상하지 않나 싶은데, 아직 이 기준을 뒤집은 대법원 판결은 없다.

기본 검색이랑 포렌식 검색, 완전히 다른 얘기다

CBP의 전자기기 검사는 두 단계로 나뉜다.

• 기본 검색(basic search): 요원이 직접 손으로 화면을 넘겨보는 수준. 별도의 의심 사유 없이도 진행된다.
• 고급 검색, 이른바 포렌식 검색(advanced search): 케이블로 기기를 연결해서 데이터를 통째로 복제·분석한다. CBP 내부 지침상 ‘합리적 의심(reasonable suspicion)’이 있어야 하고 관리자 승인도 필요하다.

문제는 현장에서 이 둘의 경계가 흐릿하게 적용되는 경우가 적지 않다는 점이다. 요원이 기기를 들고 몇 분씩 자리를 비웠다면, 포렌식 검색 절차를 밟았을 가능성 의심해볼 만하다.

시민권자냐 비자 소지자냐, 여기서 갈린다

미국 시민권자와 영주권자는 휴대폰 검사나 잠금 해제를 거부해도 입국 자체를 막히진 않는다. 다만 기기는 그 자리에서 압수당할 수 있다. 며칠 만에 돌려받으면 그나마 다행이고, 몇 주씩 걸리는 경우도 흔하다. 반면 방문 비자나 ESTA로 들어오는 외국인은 얘기가 다르다. 협조를 거부하면 입국 거부로 이어질 여지가 있고, 실제로 소셜미디어 계정을 공개하라는 요구까지 받은 사례도 보고됐다. 유학생, 주재원처럼 미국을 자주 드나드는 신분이라면 이 차이, 꼭 기억해두는 게 좋다.

검사받는 중에 이것만은 하지 마라

제일 위험한 대응, 그 자리에서 데이터를 지우거나 기기를 초기화하는 거다. 검사가 진행 중인 상황에서 증거로 볼 수 있는 데이터를 삭제하면 연방 요원 업무 방해나 증거 인멸로 별도 기소당할 여지가 있다. 여행 전에 클라우드로 데이터 옮겨놓고 로컬 저장 항목 정리해두는 것과, 심문 도중에 기기를 만져서 지우는 행위는 완전히 다른 문제다. 후자는 빼도 박도 못하는 형사 처벌 대상이다. 요원 질문에 거짓으로 답하는 것도 별개의 연방 범죄로 다뤄진다. 답하기 곤란하면 그냥 침묵하거나 변호사 동석을 요청하는 편이 훨씬 안전하다.

출국 전에 이 정도만 챙겨도 마음이 편하다

• 생체인증 끄기: 출국 전에 Face ID나 지문 인식을 잠깐 꺼두면 PIN 입력이 필요해진다. 얼굴이나 지문을 강제로 대라는 요구를 피하는 데 도움 된다.
• 클라우드 동기화 정리: 민감한 사진이나 메시지 앱 로그인 상태를 미리 백업해두고 로그아웃해두면, 화면을 넘겨봐도 노출되는 정보가 줄어든다.
• 전용 여행폰 쓰기: 업무 데이터가 많다면 최소한의 정보만 담은 별도 기기를 들고 다니는 방법도 있다.
• 기기 전체 암호화: 아이폰, 안드로이드 둘 다 기본 암호화 기능은 있다. 설정에서 실제로 켜져 있는지 한 번쯤 확인해두면 좋다.
• 변호사 연락처는 종이에: 디지털 말고 종이에 적어두는 게 안전하다. 압수당하면 연락처 자체가 같이 사라지니까.

실전에서 궁금할 만한 것들

Q. 휴대폰을 압수당하면 언제 돌려받나?
정해진 기한, 없다. 며칠 안에 돌아오는 경우도 있지만 포렌식 분석에 들어가면 수 주씩 걸리기도 한다.

Q. 변호사를 불러달라고 요구할 수 있나?
국경 검문소는 형사 절차상 ‘체포’ 상태가 아니라서 즉시 변호사 동석이 보장되진 않는다. 그래도 요청 자체는 언제든 할 수 있고, 이후 대응에 참고가 된다.

Q. 노트북도 휴대폰이랑 같은 기준으로 검사받나?
그렇다. 스마트폰, 노트북, 태블릿 다 ‘전자기기’로 묶여서 똑같은 국경 검색 규정을 적용받는다.

출처: The Verge

2025년 1월 24일, 애틀랜타 하츠필드-잭슨 국제공항. 도미니카공화국 휴가를 마치고 돌아온 미국 시민 새뮤얼 튜닉이 세관 2차 검사대에 붙잡혔다. 국경 요원이 스마트폰 비밀번호를 요구했다. 튜닉은 순순히 눌렀다. 그런데 화면이 켜지는 대신, 폰 안의 데이터가 통째로 날아갔다. 미국 법무부는 이걸 근거로 튜닉을 연방법 위반 혐의로 기소했다. 판례조차 찾기 힘든, 이른바 위협 비밀번호 기소 1호 사건이다.

비밀번호 하나로 폰이 사라진다고?

튜닉의 구글 픽셀에는 그래핀OS라는 보안 강화 운영체제가 깔려 있었다. 평소 쓰는 잠금 비밀번호 말고, 위협 비밀번호라는 걸 따로 등록할 수 있는 기능이다. 겉보기엔 똑같은 숫자·문자 조합. 그런데 이 비밀번호를 입력하면 확인창 하나 없이 기기 안 모든 데이터가 그 자리에서 삭제된다. 강압적으로 잠금 해제를 요구받는 상황을 대비한 기능이다. 국경 검문, 강도, 뭐든. 튜닉은 요원에게 이 위협 비밀번호를 알려줬고, 요원이 화면에 입력하는 순간 폰은 초기화됐다.

미국 국경엔 영장이 필요 없다

한국에서는 낯선 얘기일 수 있는데, 미국 세관국경보호청(CBP)은 공항이나 국경에서 영장 없이 여행자 전자기기를 수색할 권한을 갖는다. 이른바 국경 수색 예외. 이 원칙 덕분에 CBP가 2025 회계연도에 들여다본 전자기기는 55,318건, 전년보다 17.6% 늘었다. 미국 시민 소유 기기만 따로 떼어봐도 2023년 8,657건에서 2025년 13,590건으로 뛰었다. 문제는 이번처럼 수색 대상자가 데이터를 지워버리면, 정부 입장에서는 증거 인멸로 몰아갈 여지가 생긴다는 점. 튜닉에게 적용된 조항도 해킹 관련법이 아니라 압수를 막으려 재산을 파괴한 죄, 그 조항이다.

아동 착취물 수사였나, 활동가 감시였나

당시 요원들은 튜닉에게 아동 착취 이미지 소지 여부를 캐물었다고 한다. 그런데 튜닉 측 변호인이 낸 증거 배제 신청서를 보면 얘기가 좀 다르다. 변호인단 주장은 이렇다. 정부가 구체적 증거도 없이 혐의만 둘러댔고, 진짜 목적은 튜닉이 몸담은 환경운동 단체 ‘디펜드 디 애틀랜타 포레스트’에 대한 감시였다는 것. 이 단체는 애틀랜타 경찰 훈련시설, 이른바 캅 시티 건설에 반대해온 조직이다. 연방 수사기관 감시 대상으로 이름이 여러 번 오르내렸던 곳이기도 하고. 변호인단은 구금, 변호인 접견 거부, 폰 압수까지 전부 위법이었다며 증거 배제를 요청해둔 상태다.

왜 이례적인 기소라고 하는 걸까

전자프런티어재단 수석 기술자 빌 버딩턴과 보안업체 그래닛 설립자 루나 산드비크는 테크크런치 인터뷰에서 이렇게 말했다. 위협 비밀번호 사용을 이유로 연방정부가 형사 기소에 나선 사례는 본 적이 없다고. 그래핀OS 같은 위협 삭제 기능은 원래 활동가, 기자, 가정폭력 피해자들이 강압적 상황에서 스스로를 지키려고 쓰는 도구로 알려져 있다. 이번 기소가 그대로 유지된다면, 이런 보안 기능을 켜두는 것 자체가 형사 처벌 리스크로 이어진다는 얘기다. 솔직히 여기서부터 갈린다 — 보안이냐 증거 인멸이냐. 애틀랜타 연방법원은 올해 안에 증거 배제 신청에 대한 판단을 내릴 예정이다.

핵심만 4줄

• 그래핀OS의 위협 비밀번호는 강압 상황에서 기기를 지키려고 만든 보안 기능이다.
• 미국 정부는 이 기능 사용을 증거 인멸로 규정, 재산 파괴죄로 기소했다.
• 튜닉 측은 수색 자체가 활동가 감시를 위한 핑계였다고 맞서고 있다.
• 판결 결과에 따라 보안 소프트웨어 업계 전체의 기능 설계 방향이 흔들릴 여지도 있다.

미국 오갈 일 있다면, 남 일 아니다

미국은 한국인이 가장 많이 오가는 나라 중 하나다. CBP는 내국인이든 외국인이든 가리지 않고 전자기기 수색 권한을 행사한다. 미국 출장이나 여행을 앞두고 있다면 그냥 넘길 얘기가 아니라는 거다. 국내에서도 삼성 녹스나 보안 폴더처럼 데이터를 격리·삭제하는 기능은 이미 익숙하다. 비슷한 논쟁이 국내 법정에서 안 벌어진다는 보장도 없다.

• 출국 전 스마트폰을 클라우드에 백업하고, 불필요한 데이터는 미리 지워두기
• 위협 삭제나 게스트 모드 같은 보안 기능을 켠 채 입국 심사를 받을 때의 위험을 숙지해두기
• 세관 요원 요구에 응할 법적 의무 범위를 미리 확인해두기

국경에서의 디지털 프라이버시 논쟁, 이제 어느 한 나라만의 사정이 아니다. 스마트폰 들고 국경 넘는 사람이라면 누구나 마주칠 수 있는 문제로 번지는 셈이다.

출처: The Verge

메일함에 못 보던 스팸이 갑자기 쏟아지기 시작한다. 그럼 제일 먼저 드는 생각, 뻔하다. ‘어디서 내 진짜 주소가 샌 거지?’ 바로 이 물음 때문에 나온 게 이메일 별칭, 흔히 ‘이메일 마스킹’이라 불리는 서비스다. 애플의 ‘가려진 이메일(Hide My Email)’이 제일 유명한데, 문제는 이게 생각보다 헐겁게 뚫린다는 점. 오늘은 이메일 마스킹이 실제로 어떻게 굴러가는지, 어디서 새는지, 그리고 진짜로 주소를 지키려면 뭘 써야 하는지 하나씩 짚어본다.

이메일 별칭, 정확히 뭐길래

이메일 별칭은 진짜 주소 대신 쓰는 임시 가짜 주소다. 쇼핑몰이나 뉴스레터에 가입할 때 실제 지메일 주소 대신 무작위 문자열로 된 가짜 주소를 받고, 여기로 오는 메일은 자동으로 진짜 메일함에 전달되는 식. 아이디어 자체는 단순하다.

• 서비스마다 다른 별칭을 쓰면 어디서 유출됐는지 바로 추적된다
• 특정 별칭에 스팸이 몰리면 그 주소만 지우면 끝
• 진짜 주소는 어떤 업체에도 직접 노출되지 않는다

애플, 구글, 파이어폭스 다 비슷한 기능을 내놓고 있고, 아이폰 쓰는 사람이라면 ‘Sign in with Apple’ 쓰다가 한 번쯤은 이미 경험해봤을 기능이다.

애플 가려진 이메일, 작동 원리부터 보면

애플 가려진 이메일은 iCloud+ 구독자에게 주어지는 기능이다. 설정 앱에서 몇 번 탭만 하면 랜덤 주소가 뚝딱 만들어진다. 이 주소로 온 메일은 iCloud 메일이나 등록된 진짜 주소로 자동 전달되고, 답장을 보낼 때도 상대방은 여전히 가짜 주소만 본다는 게 애플 쪽 설명. 근데 문제는 여기서 시작된다. 답장 과정, 혹은 서드파티 메일 클라이언트를 거치는 과정에서 메일 헤더에 진짜 주소가 그대로 딸려 나가는 사례가 확인됐다는 보도가 나왔다. 겉보기엔 가려진 주소만 뜨는데, 메일 원본 소스나 특정 헤더 필드를 열어보면 실제 주소가 고스란히 드러나는 식이다. 이거 알면 좀 찜찜하다.

왜 완벽하게 안 숨겨질까

마스킹이 뚫리는 지점은 대체로 정해져 있다.

• 답장 경로 문제 — 별칭으로 받은 메일에 답장할 때 클라이언트가 진짜 주소를 Reply-To나 From 헤더에 그대로 넣는 경우
• 서드파티 앱 연동 — 애플 기본 메일 앱 말고 다른 클라이언트로 계정을 연동하면 전달 규칙이 제대로 안 먹히는 경우
• 계정 복구 흐름 — 비밀번호 재설정이나 본인 인증 과정에서 서비스가 진짜 주소를 요구하며 우회하는 경우
• 기업 도메인 필터 — 회사 메일 서버가 별칭 도메인을 스팸으로 걸러내면서 오히려 진짜 주소로 재발송을 유도하는 경우

결국 마스킹은 ‘주소를 숨기는 기능’이지 ‘완벽한 익명 통신 채널’은 아니다. 이 전제를 깔고 써야 뒤통수를 안 맞는다.

다른 마스킹 서비스랑 비교하면 어떨까

애플만 이 기능 파는 거 아니다. 각자 강점이 조금씩 다르다.

• 파이어폭스 릴레이 — 무료 플랜도 있고, 별칭 차단·재활성화가 직관적이다
• 심플로그인 — 오픈소스 기반이라 코드 검증이 가능하고, 자체 도메인 연결도 지원한다
• 덕덕고 이메일 프로텍션 — 추적 픽셀을 자동으로 없애주는 부가 기능이 있다
• 프로톤메일 별칭 — 프로톤 생태계 안에서 종단간 암호화까지 같이 챙길 수 있다

공통점 하나. 전달 과정에서 헤더가 새는 가능성을 완전히 막지는 못한다는 것. 어떤 서비스를 쓰든 답장 습관, 클라이언트 설정을 사용자가 직접 신경 써야 하는 건 똑같다.

진짜 주소, 지키려면 이렇게

마스킹 기능만 믿지 말고 몇 가지 습관을 같이 챙기는 게 낫다.

• 별칭으로 온 메일엔 되도록 답장 대신 별도 창구(고객센터 링크 등)를 쓴다
• 중요한 계정일수록 별칭에 2단계 인증까지 같이 걸어둔다
• 가입 후 메일 원본 소스를 한 번쯤 열어서 헤더에 진짜 주소가 노출되는지 직접 확인해본다
• 일회성 가입엔 별칭 대신 아예 임시 메일 서비스를 쓰는 것도 방법

결국 이메일 마스킹은 스팸 필터링, 유출 경로 추적엔 확실히 쓸모 있다. 다만 완전한 익명성을 보장하는 도구는 아니라는 것, 이거 하나는 꼭 기억해두자.

이것도 궁금하죠

Q. 가려진 이메일을 삭제하면 이미 받은 메일은 어떻게 되나?
A. 별칭을 비활성화하면 이후 도착하는 메일부터 차단되고, 이미 전달된 메일은 원래 받은함에 그대로 남는다.

Q. 무료로 쓸 수 있는 마스킹 서비스가 있나?
A. 파이어폭스 릴레이와 덕덕고 이메일 프로텍션은 기본 기능을 무료로 제공한다. 별칭 개수 제한 정도만 있는 셈.

Q. 회사 이메일도 마스킹 처리가 필요할까?
A. 업무용 계정은 대부분 도메인 자체가 노출을 전제로 하기 때문에, 마스킹보다는 피싱 필터링과 인증 강화가 먼저다.

이 내용은 와이어드(Wired) 보도를 참고했다.

아마존이 신원도용 피해자를 제대로 챙기지 않았다는 이유로 미국 연방거래위원회(FTC)에 225만 달러(약 31억원) 과징금을 내게 됐다. 블룸버그가 이 소식을 가장 먼저 전했는데, 세계 최대 이커머스 기업이 정작 자기 플랫폼에서 일어난 사기 피해자 보호엔 손을 놓고 있었다는 점에서 업계 반응이 싸늘하다.

정보 요청을 거부당한 피해자들

FTC 고발장을 보면, 아마존은 도용된 계정으로 결제가 이뤄진 사실을 분명히 확인했다. 그런데도 정작 피해 당사자가 “내 명의로 어떤 상품이 결제됐는지 알려달라”고 요청하면 거절했다는 거다. 카드 명세서에 낯선 결제 내역이 찍혀서 신고까지 했는데, 그 돈이 어디에 쓰였는지조차 확인할 길이 막혀 있었던 셈.

• FTC는 이를 공정신용보고법(Fair Credit Reporting Act, FCRA) 위반으로 규정
• 피해자는 사기성 거래 관련 서류·구매 내역에 접근할 법적 권리를 갖고 있음
• 아마존이 이 절차를 사실상 운영하지 않았다는 게 핵심 쟁점

왜 하필 FCRA였나

FCRA는 원래 신용평가기관을 겨냥해 만든 법이다. 다만 신원도용 피해자가 사기범의 거래 기록을 확보해 신용 회복 절차를 밟을 수 있도록 보장하는 조항도 들어 있다. 쇼핑몰 입장에서는 귀찮은 행정 절차로 여길 수도 있다. 하지만 피해자 입장에서는 경찰 신고나 카드사 이의제기에 꼭 필요한 증빙 자료다. 아마존 같은 대형 플랫폼이 이 절차조차 갖추지 않았다는 건, 결제 규모는 커졌는데 사후 대응 인프라는 그만큼 못 따라갔다는 뜻으로 읽힌다.

처음 있는 일도 아니다

아마존은 소비자 보호 문제로 FTC와 자주 부딪혀온 회사다. 2025년엔 프라임(Prime) 멤버십 가입은 쉽게, 해지는 일부러 복잡하게 만든 이른바 ‘다크패턴’ 설계 때문에 소송을 당해 25억 달러(약 3조 5천억원) 규모 합의금을 낸 적도 있다. 이번 225만 달러는 그에 비하면 푼돈처럼 보이지만, 패턴은 똑같다. 소비자에게 불리한 절차는 방치해두다가, 문제가 불거지면 그제야 움직인다.

피해자들이 실제로 겪는 일

신원도용 피해는 카드 한 번 막는다고 끝나는 게 아니다. 도용된 계정으로 수백 달러어치 전자기기가 결제되고, 배송지가 피해자도 모르는 주소로 바뀌어 있는 경우가 흔하다. 이때 피해자한테 필요한 건 “환불해드렸습니다” 한마디가 아니다. 어떤 상품이 어디로 갔는지, 구체적인 기록이다. 이게 있어야 경찰에 정식으로 신고하고 신용기록에서 해당 거래를 지울 수 있다. 아마존은 이 단계에서 발을 뺐다는 게 FTC 주장의 골자다.

국내 이용자도 강 건너 불구경은 아니다

아마존 직구나 해외 결제 쓰는 사람이라면 이 사건, 결코 남 얘기가 아니다. 해외 플랫폼에서 명의 도용이나 결제 사고가 나면, 한국 소비자가 미국 소비자와 똑같이 FCRA상 권리를 주장하기는 현실적으로 어렵다. 분쟁 해결 창구도 다르고 적용 법규도 다르니까. 쿠팡이나 네이버 같은 국내 플랫폼들이 개인정보보호법과 전자상거래법에 따라 피해자 정보 제공 절차를 어떻게 운영하는지 다시 점검해볼 신호로 받아들여도 좋을 듯하다. 몸집은 큰데 사후 대응은 허술하다는 지적, 글로벌 플랫폼일수록 반복된다. 결제 전 약관과 분쟁 해결 절차를 미리 확인해두는 습관, 손해를 줄이는 가장 확실한 방법이다.

출처: The Verge

클릭을 안 해도 감염된다. 악성 문자를 받기만 해도 스마트폰 마이크가 켜지고, 카메라가 돌고, 저장된 메시지가 통째로 빠져나간다. ‘페가수스’가 바로 그 방식으로 작동했다. 이스라엘 NSO 그룹이 만든 이 스파이웨어는 전 세계 언론인·인권 운동가·정치인 수십 명의 기기에 아무 흔적 없이 침투했다. 영화 속 얘기가 아니다. 실제로 보도된 사건들이다.

그래서 애플과 구글이 움직였다. 일반 백신 앱으로는 막히지 않는 ‘제로데이 익스플로잇’이나 ‘제로클릭 공격’을 차단하기 위해, 아예 기기의 공격 표면 자체를 줄이는 극단적인 모드를 만들었다. 애플의 ‘록다운 모드(Lockdown Mode)’, 구글의 ‘고급 보호 기능(Advanced Protection Program)’. 편의성을 상당 부분 포기해야 하지만, 최악의 상황에서 마지막 방어선이 되어준다. 각 기능의 작동 원리, 활성화 방법, 실제로 켰을 때 달라지는 것들을 하나씩 짚어본다.

왜 “의심 링크만 안 누르면 되지”가 안 통하나

스파이웨어는 단순한 악성코드와 차원이 다르다. 마이크, 카메라, 메시지, 위치, 통화 기록 전부에 접근해 실시간으로 데이터를 빼간다. 백그라운드에서 조용히, 피해자가 눈치채지 못하는 방식으로. 일반 안티바이러스 앱은 이미 알려진 패턴의 악성코드는 잡을 수 있다. 문제는 ‘모르는 것’이다.

• 제로데이 공격: 소프트웨어 취약점이 발견되는 순간, 패치가 나오기 전에 바로 파고드는 방식. 제조사도 모르는 구멍을 이용하니 사전에 막을 방법이 없다.
• 표적형 스파이웨어: 특정 개인이나 집단을 겨냥해 맞춤 제작된다. 일반 탐지 시스템을 처음부터 우회하도록 설계되어 있다.

이쯤 되면 “이상한 링크만 클릭하지 않으면 되는 거 아냐?”라는 생각은 버려야 한다. 악성 문자를 받기만 해도 감염되고, 네트워크 장비 취약점을 통해 침투하기도 한다. 운영체제와 하드웨어 레벨에서 방어선을 칠 수밖에 없는 이유가 바로 여기에 있다.

애플 록다운 모드 — 어떻게 작동하고, 얼마나 불편한가

록다운 모드(Lockdown Mode)는 아이폰, 아이패드, 맥에서 제공하는 최종 단계의 보안 기능이다. 일반 사용자가 아닌, 스파이웨어 공격 표적이 될 가능성이 높은 사람들을 위해 설계됐다. 이 모드를 켜면 기기의 공격 표면 자체를 대폭 줄여버린다.

• 대부분의 메시지 첨부 파일 유형이 차단된다. 이미지 이외의 첨부 파일은 기본 비활성화.
• 특정 웹 기술이 꺼지면서, 복잡한 웹 콘텐츠를 통한 침투를 막는다. 일부 사이트가 이상하게 표시될 수 있다.
• 아이폰이 잠긴 상태에서는 유선 연결이 차단된다.
• 새로운 구성 프로필 설치 불가, MDM(모바일 기기 관리) 등록도 막힌다.
• FaceTime 및 다른 Apple 서비스에서 모르는 발신자의 초대가 자동으로 차단된다.
• 공유 앨범이 제거되고, 새 초대도 막힌다.

• 활성화 방법:
  설정 > 개인 정보 보호 및 보안 > 록다운 모드에서 켤 수 있다. 활성화하면 기기가 재시동된다.
• 솔직히 말하면:
  일상적으로 쓰기엔 꽤 불편하다. 웹사이트 일부가 제대로 안 보이고, 앱 기능이 제한되는 경우도 생긴다. 인권 운동가, 언론인, 정치인처럼 감시 위협이 실제로 있는 직군이 아니라면 억지로 켤 이유는 없다.

이 모드의 핵심 철학은 간단하다. ‘어차피 해킹당할 수 있다’는 전제를 깔고, 가능한 한 많은 침투 경로를 선제적으로 막아버리는 것. TechCrunch 보도에 의하면, 애플은 이 기능을 통해 극한 상황의 사용자들이 자신을 보호할 수 있도록 지원하고 있다.

구글 고급 보호 기능 — 계정 통째로 지키는 방식

구글의 고급 보호 기능(Advanced Protection Program)은 안드로이드 스마트폰뿐 아니라 구글 계정 전체에 적용되는 강화된 보안 프로그램이다. 고도의 피싱 공격과 계정 탈취, 승인되지 않은 앱 설치를 막는 게 핵심이다. 애플 록다운 모드와는 결이 약간 다르다.

• 가장 강력한 2단계 인증: USB 보안 키 또는 스마트폰 내장 보안 키로만 로그인 가능. SMS 기반 2단계 인증(2FA)보다 훨씬 안전하고, SIM 스와핑 공격에도 뚫리지 않는다.
• 위험한 앱 설치 차단: Google Play 스토어 외 출처의 앱 설치가 기본으로 차단된다. 스파이웨어 앱 사이드로드(sideload)를 막는 핵심 방어선이다.
• Google 드라이브·Gmail 스캔 강화: 악성 파일과 의심스러운 링크에 대한 경고 수준이 올라간다.
• 계정 복구 제한: 복구 시 추가 인증과 대기 시간이 필요하다. 해커가 계정을 탈취한 후 비밀번호를 바꾸려 해도 시간을 벌 수 있다.

• 활성화 방법:
  구글 계정 설정(myaccount.google.com/security)에서 ‘고급 보호 기능’을 찾아 등록한다. 물리적인 보안 키(예: YubiKey) 또는 스마트폰 내장 보안 키를 반드시 등록해야 한다.
• 단점:
  보안 키를 항상 들고 다녀야 한다. 이게 생각보다 귀찮다. 하지만 계정 탈취를 막는 방법 중 이것만큼 확실한 게 없다는 것도 사실이다. 구글 설명에 따르면, 기자, 정치 캠페인 관계자, 기업 임원 등 타겟 피싱 공격에 노출될 위험이 큰 사용자에게 적극 권장된다.

이 기능의 시각은 단순히 스마트폰을 넘어선다. 사용자의 디지털 아이덴티티 전체를 보호하는 데 초점을 맞춘다. 스파이웨어 감염 경로 중 상당수가 계정 탈취에서 시작된다는 점을 고려하면, 이 접근 방식은 꽤 정확하다.

메타 플랫폼 — 소셜 미디어를 통한 침투, 어떻게 막나

페이스북, 인스타그램, 왓츠앱을 운영하는 메타는 운영체제 차원의 ‘록다운 모드’ 같은 기능을 직접 제공하지 않는다. 대신 플랫폼 자체의 보안을 강화하는 방식으로 대응한다. 스파이웨어 공격이 소셜 미디어 메시지를 통한 악성 링크 전달, 또는 제로클릭 취약점 익스플로잇 형태로 이루어지는 경우가 많기 때문이다.

• 강력한 2단계 인증(2FA) 필수화: SMS, 인증 앱, 보안 키 등 옵션을 제공하며, 적극적인 활성화를 권장한다. 계정 탈취를 통한 스파이웨어 유포를 막는 첫 번째 방어선이다.
• 의심스러운 로그인 알림: 낯선 위치나 기기에서 접속하면 즉시 알림이 온다. 비정상적인 활동을 빠르게 감지하는 데 도움이 된다.
• 링크 경고: 메시지나 게시물의 위험 링크에 경고를 표시하는 기능을 지속적으로 강화하고 있다.
• 보안 연구 협력: 외부 연구자들과 함께 플랫폼 취약점을 찾고 패치한다. 메타는 실제로 페가수스 개발사인 NSO 그룹과 법적 분쟁을 벌이기도 했다.
• 종단간 암호화: 왓츠앱은 기본으로 종단간 암호화(End-to-End Encryption)를 제공한다. 통신 가로채기로 내용을 열람하는 건 사실상 불가능하다.

사용자 입장에서 당장 할 수 있는 건 간단하다. 모든 메타 플랫폼 계정에 2단계 인증을 켜고, 모르는 출처의 링크는 열지 않고, 로그인 알림을 켜두는 것. 개인 정보 공개 범위도 최소화하는 편이 낫다. 친구 목록이나 팔로워 목록을 비공개로 설정하면 타겟 선정 자체를 어렵게 만들 수 있다.

나는 공격 대상일까? 냉정한 위협 수준 판단

페가수스 같은 고도의 스파이웨어는 비싸다. 운용도 복잡하다. 그래서 무작위로 뿌리는 게 아니라 특정 고가치 타겟에 집중된다. 정치인, 정부 고위 관계자, 군사·정보 기관 관계자, 언론인, 인권 운동가, 기업 핵심 임직원, 변호사가 주요 표적이다. 민감한 정보를 다루거나 영향력이 큰 개인들이다.

• 일반인도 완전히 안심할 수 없는 이유:
• 주변인 경유 공격: 핵심 타겟에 직접 접근이 어려울 때, 그 가족이나 동료를 먼저 공격해 정보를 얻거나 접근 경로로 활용하는 경우가 있다.
• 점점 저렴해지는 스파이웨어: 고가 스파이웨어 외에도 비교적 저렴하게 구할 수 있는 상업용 스파이웨어 솔루션이 존재한다. 개인 사생활 침해나 불법 감시 목적으로 쓰이는 여지가 있다.
• 일반 악성코드와의 경계: 극도로 정교한 스파이웨어가 아니더라도, 개인 정보를 빼돌리는 악성 앱과 피싱 사이트는 일반인에게도 광범위하게 배포된다. 넓은 의미에서는 이것도 스파이웨어의 일종이다.

결국 자신이 직접적인 고도 스파이웨어의 타겟이 아니더라도, 디지털 연결망 속에서 간접적인 위험에 노출될 수 있다는 점을 인지해야 한다. 고급 보안 모드는 극단적인 상황을 위한 수단이지만, 기본 보안 습관은 누구에게나 필요하다.

그래서 켜야 하나, 말아야 하나

애플 록다운 모드와 구글 고급 보호 기능은 ‘혹시 모를 최악’에 대비하는 극단적인 조치다. 모든 사람에게 필요한 기능이 아니다. 켜면 분명히 불편해진다.

• 이런 사람에게 필요하다:
  고도 스파이웨어의 표적이 될 가능성이 실제로 있다고 판단되는 경우에만 활성화를 고려해야 한다. 민감한 정보를 다루는 직업을 가졌거나, 특정 국가나 조직의 감시 위협이 있다고 생각되는 사람이다. 단순 호기심으로 켰다가 불편함에 바로 끄는 경우가 많다.
• 일반 사용자의 현실적인 방어:
  록다운 모드보다 훨씬 효과적인 방법이 있다. 운영체제와 앱을 항상 최신 상태로 유지하고, 강력한 비밀번호와 2단계 인증을 사용하고, 의심스러운 링크는 클릭하지 않는 것. 기본기가 훨씬 중요하다. 고급 보안 모드는 이 기본이 뚫렸을 때의 최후 방어선에 가깝다.
• 저장된 정보의 중요도를 따져보자:
  스마트폰에 어떤 정보가 있고, 유출 시 파급 효과가 얼마나 큰지 스스로 판단해야 한다. 개인 사진이나 연락처 유출은 불쾌한 일이다. 하지만 국가 기밀이나 기업 핵심 정보 유출은 차원이 다른 문제다. 그 중요도에 따라 보안 수준을 조절하는 게 합리적이다.
• 정기 점검 습관:
  보안은 한 번의 설정으로 끝나지 않는다. 주기적으로 운영체제 업데이트를 확인하고, 설치된 앱 목록을 검토하고, 구글 계정 활동 기록에서 의심스러운 부분을 살피는 습관이 필요하다.

스마트폰은 개인의 거의 모든 정보를 담은 디지털 허브다. 스파이웨어로부터 기기를 지키는 일은 단순한 IT 문제를 넘어, 개인의 자유와 안전을 지키는 과제다. 자신의 상황을 냉정하게 판단하고, 거기에 맞는 보안 전략을 선택하는 것이 중요하다.

자주 묻는 질문 3가지

• Q. 이 모드를 켜면 스마트폰 성능이 느려지나요?
  A. 연산 성능 자체가 저하되지는 않는다. 다만 특정 기능, 예를 들어 웹 페이지의 복잡한 스크립트 실행이나 특정 파일 형식 열기가 제한되면서 평소와 다른 경험을 하게 된다. 보안을 위한 의도적인 기능 제한이지, 속도 저하와는 다른 이야기다.
• Q. 배터리 소모가 심해지나요?
  A. 아니다. 오히려 특정 백그라운드 프로세스와 네트워크 연결이 제한되면서 배터리 소모에 큰 변화가 없거나 미미하게 줄어드는 경우도 있다. 불편한 건 성능이 아니라 막힌 기능들이다.
• Q. 일반 사용자도 꼭 켜야 하나요?
  A. 필수는 아니다. 고도 스파이웨어는 대부분 특정 타겟을 노린다. 일반 사용자에게는 운영체제 최신 업데이트, 강력한 비밀번호, 2단계 인증, 의심 링크 자제 같은 기본 보안 수칙이 훨씬 현실적이고 효과적인 방어책이다. 표적형 공격의 대상이 될 수 있다는 판단이 들 때 고려하는 것으로 충분하다.

출처: TechCrunch