페이스북이 사용자의 스냅챗 트래픽을 염탐한 것으로 드러나 충격을 주고 있다. 이번주 화요일에 캘리포니아 연방 법원은 새로운 문서와 회사 내부 이메일 일부를 공개해 페이스북이 그동안 숨겨왔던 비밀 프로젝트 '프로젝트 고스트버스터즈'의 실체를 공개했다.
이러한 법원 문서는 사라 그라버트(Sarah Grabert)와 막시밀리언 클라인(Maximilian Klein)이 메타를 상대로 제기한 집단 소송 과정에서 공개되었다. 두 원고는 페이스북의 반독점 행위 및 기만적 수단을 통한 사용자 데이터의 부적절한 사용 등을 문제 삼았으며 2020년에 소송을 제기했다.
프로젝트 고스트버스터즈 자세히 들여다보기
이 데이터를 고객 행동을 이해하는 데 사용되었으며 사용자가 어떻게 스냅챗과 상호작용하는지 파악해 우위를 점하는 데 활용되었다.
법원 문서에 따르면, 아마존과 유튜브도 프로젝트의 염탐 대상에 포함되었다.
염탐 행위는 2016년 6월 이후 시작되었다. 이를 추정할 수 있는 가장 큰 증거는 2016년 6월 9일에 발송된 이메일로, 마크 저커버그가 그의 팀에게 스내챗 애널리틱스 데이터를 가져오라고 명령했다.
저커버그는 이메일에서 스냅챗의 트래픽이 암호화되었기 때문에 사용자 기반에 대한 어떠한 정보도 얻을 수 없다고 말했다. 그러나 스냅챗의 인기가 증가하고 있어 이를 우회할 방법을 찾아야 한다고 주장했다.
이에 페이스북 엔지니어들은 회사가 2013년에 인수한 VPN 관련 서비스 제공업체 오나보(Onavo)를 사용하는 방법을 떠올렸다.
'프로젝트 고스트버스터즈'가 시작한 지 한 달만에 오나보 팀은 사용자의 안드로이드 및 iOS 기기에 설치할 수 있는 '키트'를 개발해 특정 서브도메인의 트래픽을 중간에서 가로챘다.
해당 키트는 중간자 공격과 매우 비슷한 기능을 가졌다. 중간자 공격에서 해커는 하나의 서버에서 다른 서버로 트래픽이 이동할 때 이를 가로챈다. 따라서 그 안에 든 모든 데이터에 접근할 수 있다.
유일한 차이가 있다면, '중간자' 공격은 보통 암호화되지 않은 트래픽을 목표물로 삼는다면, 오나보의 기술은 정보가 암호화되어 인터넷으로 전송되기 전 상태인 트래픽을 목표물로 삼았다.
"우리는 이제 오나보 연구 프로그램에서 참여 동기를 가진 참여자로부터 수집된 스냅챗 애널리틱스를 파싱하여 인앱 활동을 측정할 수 있게 되었습니다." – 키트의 성공을 알리는 이메일
2019년에 페이스북이 웹 활동 추적을 위해 앱을 사용하는 청소년들에게 돈을 지불한 것으로 알려지며 오나보가 폐쇄되었다. 그러나 피해는 이미 발생한 후였다.
해커들이 이러한 공격으로 개인 정보를 갈취할까봐 걱정된다면 VPN 서비스를 사용하는 방안을 고려할 수 있다. VPN은 인터넷 트래픽을 암호화하고 IP 주소를 숨겨 염탐하는 자들로부터 정보를 보호할 수 있다.
페이스북 지원들의 반응은?
그러나 참여한 페이스북 직원이 모두 동의한 것은 아니었다. 예를 들어, 당시 인프라 엔지니어링 수석이었던 제이 파리크(Jay Parikh)와 당시 보안 엔지니어링 수석이었던 페드로 카나후아티(Pedro Canahuati) 모두 프로젝트에 반대했다.
이러한 사실은 카나후아티가 발송한 이메일에서 분명하게 드러난다.
"이러한 프로젝트가 정당할 수 있는 근거를 하나도 떠올릴 수 없다. 어느 보안 책임자도 여기에 동의할 수 없을 것이며, 아무리 대중의 동의를 얻었다고 해도 달라지지 않았다. 대중은 작동 원리를 모르기 때문이다." – 페드로 카나후아티
아마존은 이에 관한 입장 표명을 거절했으며 메타, 구글, 스냅챗도 아직 반응하지 않았다.
메타는 사용자의 개인 정보 보호가 안중에도 없을까?
메타가 사용자의 개인 정보 침해 관련해서 문제를 일으킨 것이 이번이 처음이 아니다. 이번 달 초에 메타는 대규모 데이터 처리 사업을 영위한 것으로 고발당했다.
페이스북, 인스타그램 계정 해킹에 관해 무심한 것에도 부족해, 메타의 신규 AI 글래스와 스레드 역시 얼마 전 개인정보 보호 문제가 제기되었다.