화상 채팅 보안: Houseparty에는 누가 들어와 있을까요?

Houseparty 같은 화상 채팅 앱은 지난 몇 달 동안 사용자가 크게 늘었습니다. 전 세계 사람들이 집에서 보내는 시간이 늘고 친구와 동료를 온라인으로 더 많이 만나기 때문입니다. 기업이 이렇게 빠르게 성장하면 사용자 보호가 뒤처지는 경우가 많습니다. WhatsApp, iMessage, FaceTime처럼 플랫폼에 내장된 오래된 커뮤니케이션 앱은 수십억 명이 사용하고 그만큼 많은 검증과 테스트를 거쳤기 때문에 견고한 편입니다.

규모가 작고 더 새로운 화상 플랫폼은 이런 검증을 받지 못했고, 최근 일부 화상 앱의 사용 안전성이 의문시되고 있습니다. 저희는 이전에 기업이 합법적으로 내 데이터를 수집하는 방식, 온라인에서 안전하게 지내는 방법, 계정이 침해되었을 때 취할 조치에 대해 자세히 쓴 적이 있습니다. 이번 글에서는 Houseparty와 이 앱을 사용할 때 따르는 위험, 그리고 비공개로 두고 싶은 것을 공유하지 않기 위해 간단한 단계로 할 수 있는 일을 간략히 살펴보겠습니다.

모든 사용자가 직면하는 4가지 위험: 데이터 도난, 과도한 공유 또는 데이터 추적, 취약한 보안

일반적으로 이런 화상 앱을 사용할 때 사용자가 직면하는 위험은 네 가지입니다.

1. 부적절한 콘텐츠와 허술한 보호자 통제.
2. 앱 회사가 앱에서 직접 저지르는 고의적이고 불법적인 데이터 도난.
3. 합법이지만 흔히 예상하지 못하는 데이터의 고의적인 공유 또는 추적.
4. 앱 보안의 부주의, 또는 취약한 앱 보안의 결과로 이루어지는 해킹을 통해 다른 사람이 내 개인 정보에 접근하는 것.

이 각각이 일어날 가능성을 살펴보겠습니다.

Houseparty의 홈페이지는 이 앱을 소셜 네트워크로 홍보하지만, 소셜 네트워크라면 사용자가 당연히 기대할 만한 보호자 통제 기능이 없습니다. Google Play 스토어의 앱 홍보 문구는 이 앱을 “truly the next best thing to hanging out in person”이라고 설명합니다. 거의 맞는 말입니다. Houseparty를 사용하는 아이들에게 이 앱은 직접 만나 노는 것과 같지만, 섬뜩한 연상의 사람이 성에 관한 질문을 던진다는 점이 다릅니다.

Houseparty에 가입할 때 모든 사용자는 생년월일을 입력해야 하며, 앱은 실행되는 동안 이 정보를 바로 쓸 수 있게 보관합니다. 앱이 사용하는 추적 제품에 사용자의 생년월일을 정기적으로 전송합니다. Houseparty의 최신 기능이자 수익화 계획의 핵심은 사용자 연령에 아랑곳하지 않는 통합 퀴즈 시리즈입니다.

퀴즈를 고를 때 모든 사용자에게 같은 퀴즈 목록이 표시되며, 18세 이상 대상인 “Slang terms” 퀴즈는 미성년 사용자에게도 목록의 세 번째에 나타납니다. 이 블로그는 성인 콘텐츠를 다루지 않으므로 구체적인 내용은 언급하지 않겠지만, 퀴즈에는 아이들에게 전혀 맞지 않는 내용이 다양하게 들어 있습니다. 욕설의 약어, 스트립 클럽에서 실제로 벌어지는 일, 헤로인에서 마리화나에 이르는 약물 관련 언급, 성과 성기에 대한 여러 묘사 등이 주제입니다. 그리고 Jeffrey Dahmer 관련 콘텐츠도 있습니다.

Houseparty 앱은 Apple의 App Store에서 “12+”에 적합한 것으로 표시되어 있고, Google의 Play 스토어에는 “Teen”에 적합한 것으로 광고되어 있습니다. 이 앱에는 통합된 보호자 통제 기능이 없습니다.

많은 부모가 아이들이 온라인과 앱에서 무엇에 노출되는지 걱정하는 것은 당연하며, 여러 사이트가 앱을 평가하고 이런 안내를 제공합니다. 영국에서는 비영리 단체 Internet Matters가 BT, Sky 등의 후원을 받아 이런 서비스를 제공합니다. 이 단체는 현재 Houseparty에 대한 안내를 적극적으로 홍보하고 있으며, 업계, 정부, 학교와 협력해 이 안내를 제공한다고 설명합니다.

이런 서비스는 부모에게 중요한 자료이지만, Internet Matters의 경우 실사가 거의 또는 전혀 이루어지지 않은 것으로 보입니다. 부모를 위한 조언은 매우 제한적이어서, 영상 속 낯선 사람의 위험에 대한 일반적인 경고에 머물고, 부모에게 앱을 다운로드하라고 권하는 행동 유도로 끝납니다.

Houseparty 이용약관을 대충만 읽어도 합리적인 전문가라면 이 앱이 GDPR을 준수하지 않고, 보호자 통제 기능이 없으며, 사용자가 앱에서 공유하는 모든 것을 사용할 권리를 주장한다는 점을 알아챌 것입니다. 이는 18세 이상 퀴즈 콘텐츠와 함께 부모에게 꼭 알려야 할 사항입니다. Internet Matters는 이런 내용을 제공함으로써 전 세계의 걱정하는 부모들에게 적극적으로 해를 끼치고 있습니다.

충분한 검증을 거치지 않은 앱에 대해 안심시키는 페이지를 게시하는 서비스는 Internet Matters만이 아니지만, 저희가 이곳을 짚은 이유는 4월 2일 현재 적어도 한 명의 사용자가 공개적으로 우려를 제기했음에도 이들이 여전히 오해를 부르는 콘텐츠를 홍보하는 데 투자하고 있기 때문입니다.

이런 서비스는 앱을 검증할 때 어떤 단계를 거치는지 눈에 띄게 표시해야 하며, 약관이나 제품 자체를 검토하지 않고 마케팅 자료만으로 피상적으로 검증한 경우에는 이를 분명히 알리는 고지문을 추가해야 한다고 저희는 생각합니다. 제품과 서비스가 업데이트된 뒤에는 콘텐츠가 앱의 현재 상태를 적절히 반영할 수 있을 때까지 해당 콘텐츠를 내리는 것도 고려해야 합니다. (Internet Matters의 안내는 2019년 12월 24일에 마지막으로 업데이트되었는데, Houseparty는 그보다 11개월 앞선 2019년 1월에 퀴즈를 도입했습니다.)

추적, 추적, 어디에나 추적이...

합법적이지만 예상치 못한 개인 데이터 공유는 어떨까요? Houseparty에는 이와 관련해 몇 가지 문제가 있습니다.

불법적인 데이터 도난의 위험은 매우 낮습니다. Houseparty의 모회사는 이런 행위가 포함되지 않은 명확한 비즈니스 모델을 갖추고 있으며, 데이터 보호법이 제대로 갖춰진 나라에 본사를 두고 있습니다. Houseparty는 Epic Games가 소유하고 있습니다. 이 회사가 사용자의 데이터를 훔칠 것이라고 볼 증거는 없으며, 그러다 적발되면 오히려 손해일 것입니다.

Houseparty는 유료 제품이 아니며 수익 모델도 현재로서는 분명하지 않습니다. 이 앱이 무엇을 추적하고 있을지 경계해야 할 충분한 이유입니다. 다만 현재로서는 Houseparty가 해킹당했거나 정보를 유출하고 있다는 증거는 보지 못했습니다.

Twitter의 일화만으로는 충분하지 않습니다...

Houseparty를 사용한 뒤 은행 계좌가 털렸다거나, Spotify 계정에 접근당했다거나, 이메일이 노출되었다고 주장하는 사용자들의 글이 Twitter에 많이 올라와 있지만, 이런 글은 모두 일화에 불과하며 신뢰할 수 없습니다. 추측하기 쉬운 비밀번호를 쓰다가 늘 해킹당하는 사람이 많습니다. Security Magazine은 메릴랜드 대학교의 연구를 인용해 해커가 39초마다 공격한다고 보도했고, Gemalto의 데이터는 매초 291건의 기록이 도난당한다고 시사합니다.

이를 보여 주는 예가 있습니다. Apple의 보안은 대체로 매우 견고하지만, 그래도 가끔 Apple이 해킹당했다는 주장이 나옵니다. Twitter에서는 언제든 이런 주장을 하는 괴짜를 얼마든지 찾을 수 있습니다. 일화에 기댄 비난은 잘못을 입증하지 못합니다.

한편 Houseparty는 제3자가 자신들을 겨냥한 중상 캠페인을 벌이고 있다고 주장합니다.

Houseparty는 이렇게도 말했습니다.

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

하지만 어느 정도는 말장난입니다. 합리적인 제품이라면 비밀번호를 수집하거나 저장하지 않고 대신 인증 토큰을 사용합니다. 사용자가 Houseparty 계정을 Facebook, Spotify, Snapchat과 연결하면 Houseparty 앱은 해당 계정의 인증 토큰이나 데이터 공유 토큰에 접근하고 저장할 수도 있으며, 이를 저장하는지 여부를 알려 주는 정보는 없습니다. 이런 토큰을 저장하는 것은 본질적으로 특이한 일은 아니지만, 중요한 의문이 남습니다. Houseparty는 가입할 때만 Facebook과 연락처를 동기화할까요, 아니면 이후에 연락처나 다른 계정 데이터를 동기화할 수 있도록 Facebook 인증 토큰을 저장해 둘까요? 이들의 트윗은 이 가능성을 배제하지 않습니다.

Houseparty의 보안과 데이터 사용을 더 자세히 살펴보기

ESET은 Houseparty의 Android 앱을 살펴보고 대체로 괜찮은 것으로 보인다고 밝혔습니다. 저희도 Houseparty의 iOS 앱과 데이터 저장 방식, 그리고 서비스와 관련된 계약과 법률 문구를 비슷하게 살펴보았습니다. 앱 이름이 com.herzick.houseparty인 이 앱에서 눈에 띄는 몇 가지를 정리했습니다.

• Houseparty는 Zoom이 그랬던 것처럼 현재 Facebook과 연동됩니다. 연동에는 일부 사용 데이터를 Facebook과 공유하는 일이 포함됩니다. 표면상 Facebook 친구를 초대할 수 있게 하기 위한 것이며, 사용자가 Facebook 연결을 선택하면 추적은 불가피하게 따라옵니다.
• Houseparty는 온갖 설정 데이터의 피드 주소를 사용자 기기에 저장하고 캐시합니다. 예를 들어 Houseparty의 “fun fact” 퀴즈 게임에 쓰이는 모든 질문과 답변의 경로가 포함되어 있습니다. 이것이 다른 여러 피드와 함께 모든 사용자의 휴대폰에 남아 있는 것으로 보입니다.
• Houseparty 앱은 사용자가 받은 일부 “Facemails”를 캐시합니다. 이는 Library/Application Support/Prefetch-Facemails에서 찾을 수 있으며 mp4 형식으로 저장됩니다. (직접 확인해 보고 싶다면 이 문서가 도움이 될 것입니다.)
• 사용자의 휴대폰에 관한 상당한 양의 추적 정보가 저장되며, 이는 기기 핑거프린팅을 위한 것일 가능성이 큽니다. Netflix와 마찬가지로 Houseparty는 기기의 user-agent(즉, Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148)를 저장할 뿐 아니라 bnc_device_fingerprint_id 같은 값도 보관하며, 이 값들은 서비스를 이용하는 기기를 시간이 지나도 식별하는 데 도움이 됩니다 기기 핑거프린팅은 Apple이 거듭 단속해 온 만연한 관행인데, Houseparty는 Apple이 제공하는 권장 IDFA / IDFV 추적 식별자를 사용하지 않는 것으로 보입니다. 아마도 그 식별자가 추적의 효과를 떨어뜨리기 때문일 것입니다!
• 놀랍게도 Houseparty 앱의 백업에는 앱의 전체 로깅 / 추적 데이터베이스가 포함됩니다. 사용자 본인의 데이터만 들어 있기는 하지만, 매우 상세하며 백업에 있어서는 안 될 온갖 세부 데이터가 담겨 있습니다.

저희는 Houseparty가 제3자 보안 감사를 받았다면 이런 지적 사항 중 적어도 일부는 걸렸을 것으로 짐작합니다. 따라서 이런 점이 앱의 현재 버전에도 여전히 남아 있다는 사실이 우려됩니다. Houseparty가 제3자 보안 감사를 받았다는 확인이 있다면 안심이 될 것입니다.

약관을 자세히 살펴보면...

마지막으로 Houseparty의 개인정보 처리방침과 법률 문구를 살펴보니, 마음에 걸리는 점이 몇 가지 있었습니다. 첫째, 책임 있는 취약점 공개 정책이 없습니다. 이는 보안 연구자가 문제를 발견했을 때 회사가 어떻게 대응하는지를 설명하는 문서입니다. 보통 이런 정책에는 발견자가 문제를 회사에 책임 있게 공개해 해결할 수 있게 하는 조건으로 보안 현상금을 지급한다는 내용이 담겨 있습니다.

이런 정책이 없으면 보안 연구자는 문제를 발견했을 때 보통 고객 지원팀에 이메일을 보내야 하는데, 고객 지원팀을 거쳐 회사의 보안팀과 연락이 닿기란 악명 높을 만큼 어렵습니다. 저희가 앱을 살펴보다 정말 심각한 문제를 발견했다면, 공개 정책이 있었다면 발견한 내용을 쉽게 보고할 곳이 생겼을 것입니다. (참고로 Reincubate의 취약점 공개 정책은 여기에 있습니다.)

Houseparty가 자사 보안을 겨냥한 중상 캠페인의 증거를 찾아내는 사람에게 100만 달러의 현상금을(명확한 이용 약관도 없이!) 내걸면서 플랫폼의 보안 문제를 책임 있게 공개하는 데 대한 보상은 전혀 내걸지 않았다는 것은 정말 놀라운 일로 보입니다.

Houseparty 이용약관에는 우려스러운 부분이 있습니다. Safe Harbor / Privacy Shield나 GDPR에 대한 언급이 전혀 없는데, 이는 사용자 보호에 대한 안이한 태도를 보여 주며 유럽 데이터 보호 규제 당국과 법적 문제를 일으킬 수도 있습니다. 게다가 GDPR을 준수하지 않으면 이런 서비스를 이용하는 기업도 데이터 보호법을 위반하는 것이 될 수 있고, 이로 인해 자사 고객들의 이의 제기에 직면할 수 있습니다. GDPR이 고려되지 않았음을 보여 주는 한 가지 단서는, 사용자가 마케팅을 수신 거부만 선택할 수 있다는 점입니다. 이는 가입 시점에 이런 선택지를 “수신 동의(opt-in)” 방식으로 제공하도록 요구하는 유럽의 GDPR 법령을 위반하는 것입니다. 그 밖의 데이터 수집에 대해서는 수신 거부할 방법도 없습니다.

Houseparty의 약관에는 다음 내용이 있습니다.

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

저희는 법률가는 아니지만, 이는 지식재산권 문제를 일으키는 것으로 보입니다. 사업 아이디어나 제품에 대해 이야기하면 Houseparty가 여러분이 논의한 어떤 것이든 자유롭게 가져가 자체 제품을 개발하거나 그 정보를 제3자에게 팔 수 있다는 뜻이기 때문입니다. 또한 이 서비스가 일부 메시지 내용을 보관할 수 있음을 시사하는데, 그렇다면 통신 감시에 관한 유럽 법률에 저촉될 수도 있습니다.

약관에는 원치 않는 마케팅 통신을 수신 거부하려면 Houseparty에 이메일을 보내도록 안내하는 다음 문구도 있습니다.

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Houseparty의 이런 개인정보 문제는 모두 FaceTime, iMessage, WhatsApp, Zoom, Slack 같은 검증된 메시징 앱과 극명하게 대조됩니다. WhatsApp은 개인정보 보호에 관한 훌륭한 문서와 정책을 갖추고 있습니다. Zoom도 “Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes”라고 밝힙니다. Slack은 고객 데이터를 서비스 제공에만 사용하고 고객의 뜻에 따라 보관한다는 점을 분명히 합니다(예: 일부 비즈니스 요금제는 아카이빙을 제공합니다).

보안이 걱정된다면 해야 할 일

온라인에서 자신을 안전하게 지키는 일이나 Houseparty 사용이 걱정된다면 다음 단계를 따르길 권합니다.

• Houseparty를 삭제하는 것만으로는 서비스에서 내 데이터가 지워지지 않습니다. 이 서비스는 여전히 전화번호, 이름, 업로드한 연락처 목록, 인증 토큰을 저장하고 있을 수 있습니다. 약관은 마케팅 수신을 거부하고 내 정보를 삭제하려면 hello@houseparty.com으로 연락하라고 안내합니다. 이상하게도 이메일 data-requests@lifeonair.com은 뒤쪽에서 언급되지만, 데이터 요청용으로는 아닙니다!
• 전화번호 외에 많은 것을 공유하지 않고도 Houseparty를 사용할 수 있습니다. Facebook, Snapchat, Spotify 연동은 모두 선택 사항이며 연락처 목록 업로드도 마찬가지입니다. 이런 것들은 하지 말고 대신 친구를 직접 추가하길 권합니다.
• Houseparty를 실행할 때는 방문자가 언제든 방에 들어올 수 있다는 점을 알아야 합니다. 앱을 여는 즉시 다른 사용자에게 내가 온라인이라는 알림이 갑니다. 주의하세요! 기본적으로 방은 잠겨 있지 않으므로, 내가 추가한 누구든 들어올 수 있습니다. 목욕하는 도중에 상사가 Houseparty에 들어와서 놀랐다는 트윗이 온갖 종류로 올라와 있습니다! 이 설정은 Houseparty의 설정에서 바꿀 수 있습니다.
• 다른 모든 온라인 서비스와 마찬가지로, 온라인에서 안전을 지키기 위한 간단한 예방책을 따르길 권합니다. 이를 이 글의 마지막에 정리했고, Apple 사용자를 위한 포괄적인 보안 팁은 여기에 있습니다.