당신의 스마트폰은 대화를 몰래 엿듣고 있지 않다. 이 말이 잘 사라지지 않는 이유는, 유일한 대안 설명이 더 황당하게 들리기 때문이다—스마트폰이 당신의 마음을 읽는다는 것. 하지만 TIDEZINE 편집부는 기사에서 오히려 '독심술'이 진실에 더 가깝다고 지적한다. 당신이 이 글을 스크롤하는 속도, 지금 연결된 게 Wi-Fi인지 모바일 데이터인지, 구글 검색을 통해 들어왔는지 친구가 공유한 링크로 들어왔는지—이런 비언어적 신호들이 조합된 프로필은 어떤 도청보다도 정확하다.
문제는 '앱이 당신의 말을 듣고 있느냐'가 아니라, 당신이 권한을 허용한 그 순간 데이터가 대체 어디로 흘러가느냐다.
기기 식별코드: 메타가 100억 달러를 물어낸 이유
모든 스마트폰에는 고유 식별코드가 있어서, 광고주들이 서로 다른 앱에서의 당신 행동을 하나로 엮을 수 있다. 안드로이드는 기본값이 추적 허용이고, iOS는 앱 추적 투명성(ATT) 프레임워크를 통해 앱이 이 ID에 접근하기 전 반드시 동의를 구하도록 한다. 2022년 메타는 애플이 ATT 팝업을 도입해 사용자가 한 번의 클릭으로 추적을 거부할 수 있게 되면서 100억 달러의 손실을 봤다고 공개적으로 인정했다—대다수 아이폰 사용자가 거부를 선택한 것이다.
이 추적을 끄는 건 어렵지 않다. 안드로이드 사용자는 설정의 구글 항목에서 '광고'를 선택해 광고 식별코드를 삭제할 수 있으며, 한 번만 하면 되고 시스템이 자동으로 새 ID를 발급하지 않는다. iOS는 ID를 직접 삭제할 수는 없지만, '개인정보 보호 및 보안'에서 '추적'을 찾아 '앱의 추적 허용 요청'을 끄고, '애플 광고' 항목에서 맞춤형 광고를 끌 수 있다.
위치 및 센서 권한: 날씨 앱에서 낙태권 소송까지
기기 식별코드보다 골치 아픈 건 GPS, 카메라, 마이크 같은 센서 권한이다. 많은 앱들이 실제로 작동을 위해 이 권한들을 필요로 하기 때문이다. 구글 맵은 위치 권한 없이는 거의 쓸 수 없지만, 구글의 정책 문서에도 이 위치 데이터가 '더 관련성 높은 광고 표시'에 쓰인다고 명시돼 있다. 인스타그램이 카메라에 접근하는 이유는 스토리 사진을 찍게 해주기 위해서지만, 동시에 사진 속 사물, 얼굴, 텍스트를 스캔하는데, 이 역시 더 정밀한 광고 타겟팅을 위해서다.
TIDEZINE 편집부는 특히 은밀한 사례를 짚었다. 일부 날씨 앱은 사용자가 있는 지역의 예보를 제공한다는 명목으로 위치 권한을 요구하지만, 실제 수익원은 사용자 위치 데이터를 데이터 브로커에게 파는 것일 수 있다. 이 데이터가 앱을 떠나는 순간, 그 행방을 통제할 방법은 전혀 없다. 기사는 두 가지 실제 사례를 든다. 미시시피주의 한 여성은 사산 후 낙태약을 검색한 기록 때문에 살인 혐의로 기소됐다(이후 취하됨). 인디애나주의 한 여성은 유산 후 낙태 가능성을 논의한 문자메시지가 태아 살해 혐의의 증거로 사용돼 결국 20년형을 선고받았다. 기사는 또한 캐시 파텔이 이끄는 FBI가 상업용 데이터 브로커로부터 대량으로 사용자 데이터를 구매하고 있으며, 2024년에는 누군가 가족계획연맹(Planned Parenthood) 클리닉 방문자들의 위치 데이터를 구매해 낙태 반대 허위정보를 표적 전송하는 데 쓴 사실이 드러났다고 언급한다.
위치 데이터의 출처는 GPS만이 아니다. 주변 Wi-Fi 네트워크, 기지국, 심지어 블루투스 기기까지 당신의 위치를 GPS 신호에 못지않은 정밀도로 조합해낼 수 있다. 2022년 메타는 위치 권한을 꺼놓은 사용자를 계속 추적했다는 이유로 7000만 명의 사용자를 대표한 집단소송에서 3750만 달러에 합의했다—어떤 과실도 인정하지 않은 채였다.
사실 스마트폰에는 간단한 시각적 알림 장치가 있다. 안드로이드는 마이크나 카메라 사용 시 상태표시줄에 초록색 원이 뜨고, iOS는 카메라 사용 시 초록색 점, 마이크만 사용할 때는 주황색 점이 뜬다.
타이핑 리듬조차 당신의 감정 상태를 드러낼 수 있다
더 막기 어려운 건 이른바 휴리스틱 추적이다. 스마트폰의 가속도계는 원래 기기를 쥔 방향을 파악하기 위한 것이지만, 연구에 따르면 가속도계마다 존재하는 미세한 보정 오차만으로도 사용자의 인구통계학적 특성, 행동 패턴, 심지어 감정 상태까지 추정할 수 있다. 또 다른 연구는 가속도계만으로도 스마트폰을 주머니나 가방에 넣고 걷는 사람의 독특한 보행 패턴을 식별할 수 있음을 입증했다. 여기에 기기 핑거프린팅—당신의 스마트폰 하드웨어와 소프트웨어 조합의 고유성—까지 더해지면, 이런 신호들은 사실상 어떤 권한 허용 없이도 작동한다.
TIDEZINE 편집부는 자신의 사례를 들었다. 이 기사를 구글 문서로 작성하는 동안, 구글 독스의 개인정보 보호정책에는 '성능 데이터'를 수집한다고 명시돼 있었지만 구체적으로 무엇인지는 설명하지 않았다. 타이핑 속도, 단어 선택 전의 망설임, 오타 빈도—이런 것들은 이론상 사용자가 지금 급한지 여유로운지, 화가 났는지 집중하고 있는지를 드러낼 수 있으며, 이 힌트들이 다음에 앱이나 웹사이트를 열었을 때 무엇을 보게 될지를 결정할 수도 있다.
이런 추적에 대응하려면 VPN, 차단 목록이 내장된 프라이버시 중심 DNS, 프라이버시를 중시하는 브라우저와 광고 차단기가 도움이 되지만, 어느 것도 앱을 사용하는 동안 완전히 자취를 감추게 해주진 못한다. 기사가 마지막으로 제시하는 조언은 간단하다. 정기적으로 앱 권한 목록을 확인하고, '이 앱 없이 정말 생활이 힘들어지나'를 자문한 뒤, 쓰지 않는 앱은 삭제하라—어떤 앱이 조용히 데이터를 모으고 있는지는 결코 알 수 없으니까.
