Google이 내 전화번호를 공유함

• Three Rings는 전화 지원을 공식 제공하지 않는데도, Dan Q의 개인 휴대전화로 기술 지원 전화가 이어지며 번호 노출 경로가 문제가 됨
• 네 번째 발신자가 “Three Rings login” Google 검색 결과를 지목했고, 실제로 Google Business Profile에 개인 번호와 “Call” 버튼이 표시됨
• 이 번호는 몇 년 전 Google 신원 확인 절차에 제공한 것이며, 공개 공유에 동의한 적은 없고 최근 몇 주 사이 노출된 것으로 보임
• Google Business Profile에서 번호를 삭제하자 곧 외부 노출은 멈춘 듯했지만, “Your phone number was updated by Google” 메시지도 사라져 원인을 확인하지 못함
• 지난달 Halifax의 신용 계약 정보 오발송까지 겹치며, 개인 식별 정보가 의도치 않게 퍼지는 상황에 대한 불신이 커짐

---

전화 지원을 하지 않는데 걸려온 지원 전화

• Three Rings는 자원봉사자와 근무표 관리를 위한 소프트웨어 시스템이며, Dan Q가 2002년에 만들었음
• 운영팀은 분산된 자원봉사자들로 구성되어 특정 핵심 근무 시간을 보장하지 못하므로, 전화 기반 기술 지원을 엄격히 제공하지 않음
• 대신 이메일과 웹 문의에는 하루나 주중 어느 때든 비교적 빠르게 답변함
• 과거 사용자에게 콜백한 일이 있어 일부 사용자가 개인 휴대전화 번호를 저장했을 가능성은 남아 있었음
• 최근 새 역할에 지원 중이라 모르는 번호도 받는 습관이 있었고, 이달 첫 세 번의 지원 전화 이후 번호가 어딘가에 공개됐는지 의심하게 됨

Google 검색 결과에 뜬 개인 번호

• 네 번째 기술 지원 전화에서 발신자는 “Three Rings login”을 Google에 검색하면 번호가 바로 나온다고 말함
• 실제 검색 결과에는 Three Rings CIC의 Google Business Profile이 표시됐고, 여기에 Dan Q의 개인 휴대전화 번호가 노출됨
• 결과 화면에는 해당 번호로 바로 연결되는 “Call” 버튼도 함께 있었음
• Dan Q는 몇 년 전 Google에 신원 확인 과정의 일부로 번호를 제공했지만, 공개 공유에는 동의하지 않았음
• 번호는 처음부터 공개되어 있던 것이 아니라, 최근 몇 주 안에 임의로 공개되기 시작한 것으로 보임

삭제는 됐지만 원인은 확인하지 못함

• Dan Q는 변경 사항을 되돌릴 수 있는지 확인하려고 Google Business Profile에 로그인함
• 비즈니스 목록에서 개인 번호를 삭제하자, 몇 분 안에 인터넷상의 낯선 사람들에게 더 이상 제공되지 않는 듯했음
• 하지만 번호 삭제와 함께 “Your phone number was updated by Google” 메시지도 사라짐
• 그 결과 “Learn more” 링크를 눌러 이 변경이 어떻게, 왜 발생했는지 확인할 기회를 잃음

두 달 사이 반복된 개인정보 노출

• 지난달에는 Halifax가 Dan Q의 신용 계약 상세 정보를 본인이 아닌 두 사람에게 우편으로 보낸 일이 있었음
• 해당 사건은 Halifax posted the details of a credit agreement I have with them to two people who aren’t me에 연결됨
• 두 달 사이 두 번의 개인정보 관련 사고가 발생하면서, 개인 식별 정보가 여기저기 유출되는 데 동의한 것처럼 된 게 아닌지 의심하게 됨
• 이번 일은 Google의 개인정보 처리와 노출 통제에 대한 강한 분노로 이어짐

Google Search에 대한 덧붙임

• 각주에서는 Google Search를 기본 검색 엔진으로 계속 쓰고 있다면 다른 선택지를 찾아볼 때가 지났다고 말함
• 대안 검색 엔진은 사용자 기준에 따라 더 나은 프라이버시, 더 적은 광고나 더 관련성 높은 광고, 더 적은 AI 생성 저품질 결과를 제공할 수 있다고 봄

[GN⁺]

Hacker News 의견들

• 웹사이트에 전화번호가 있고, 같은 번호가 Google Play 개발자 프로필의 공개 정보에도 들어가 있음. 틀렸다면 정정해 달라지만, 둘 다 본인이 공개한 것으로 보임
  개인 번호와 사업 번호로 같은 전화번호를 쓰면 이런 일이 예상 밖이라고 보기는 어려움
  처음엔 Google이 이 번호를 공개 전화번호로 올린 게 부적절하다고 느꼈지만, Google Play가 고객이 연락할 수 있는 전화번호를 명확히 물어본 것으로 보임

  • 글쓴이임. 웹사이트에는 번호가 없어야 하고 실제로도 못 찾겠는데, Google Play 개발자 프로필 쪽은 안타깝다. 알려줘서 고맙다

• 몇 년 전 산 Samsung 폰에 가능한 경우 모르는 발신자의 이름을 보여주는 기능이 있었고, 아마 다른 사람들의 연락처에서 모은 데이터베이스를 쓰는 것 같았음
  어느 날 이웃이 전화했는데 내 연락처에는 없었고, Samsung이 그를 GRINDER로 표시함. 누군가 자기 연락처에 그렇게 저장해 둔 듯함
  그는 동네에서는 공개적으로 게이였지만 부동산 영업도 하고 있었고, Samsung이 자신이 전화하는 낯선 사람들에게 성적 지향을 노출한다는 걸 말해줬을 때 전혀 좋아하지 않았음. 게다가 Grindr는 7년쯤 안 썼다고 함

  • 이건 정말 말도 안 되게 보임. 실제로 이런 일이 있었거나 지금도 있다면 왜 더 많이 알려지지 않았는지 놀랍다
    이 예시도 나쁘지만, 훨씬 더 치명적인 상황을 쉽게 떠올릴 수 있음
  • 기억상 일부 Samsung 폰에는 Truecaller나 CallApp이 들어가 있고, 그런 앱들이 설명한 일을 함

• 우리 경우 Google이 상공회의소 등록부에서 회사 전화번호를 가져와 업데이트했음. 우리는 전화 지원을 제공하지 않지만, 네덜란드에서는 법적으로 그 등록부에 전화번호가 있어야 함
  그래서 바로 음성사서함으로 가는 VoIP 번호를 넣고, 전화 지원은 제공하지 않는다고 안내하게 해뒀음. Google Business 프로필에서는 제거했지만, Google이 가끔씩 “도움이 되게” 다시 넣어버림

  • 팁: 상공회의소 등록 때 “아직 사업용 전화 회선이 없다”고 말하면 됨. 이전 회사에서 매주 스팸 전화를 받은 뒤, 이 허점을 써서 미등재 상태를 유지했음

• 사용자 중 누군가가 전화번호를 알고 있었고 유용하다고 생각해서 비즈니스 프로필을 친절하게 업데이트했을 수도 있음

  • 스크린샷에는 분명히 “Your phone number was Updated by Google.”이라고 되어 있음
    사용자 입력으로 보이진 않음
  • 무작위 사용자가 비즈니스 프로필 전화번호를 수정할 수 있고, Google이 번호 소유자의 허락 없이 게시한다면 큰 허점처럼 보임

• 나도 비슷했음. 어느 날 새벽 2시에 전화가 왔음
  몇 년 전 지금은 없어진 회사에서 일했는데, 그 회사에는 ID 시스템과 연결된 구직 서비스도 있었음. 동시에 개인 프로젝트를 하면서 Python 개발자가 필요했음. 어리고 순진해서 주니어를 뽑아 빨리 키울 수 있다고 생각했음
  그래서 그 구직 게시판에 “경험 없는 Python 개발자 구함”이라는 공고를 올렸는데, 알고 보니 내 전화번호가 표시되고 끌 수도 없었음
  아주 이상한 사람들이 3~4명쯤 전화해서 어떻게 프로그래머가 되는지 따져 물었음. 이상하게도 모두 새벽 5시쯤부터 전화하기 시작했음. 첫 사람에게는 그 뻔뻔함에 당황해서 유용한 조언까지 해줬음
  지금은 사생활과 그런 데이터 유출을 분리하려고 전화번호를 4개 정도 씀

  • “이상하게도 모두 새벽 5시쯤부터 전화하기 시작했다”는 건, 특정 지역에서 걸려온 전화라 그쪽에선 그 시간이 영업 시작 시간이었기 때문일 수 있음

• 개인이나 소규모 주체가 Google을 실질적으로 소송하기 어렵기 때문에 이런 일이 생김
  독일에서 lieferando(takeaway.com 자회사)는 restaurantname-city.de 형식의 도메인을 등록하고, 이를 자기들의 lieferando Cloudflare 계정으로 연결한 뒤, Google 비즈니스 항목의 소유권을 주장하면서 전화번호를 자기 콜센터로 바꿈
  그런 다음 사업주에게 전화해서 계약서에 서명하도록 압박함. 업주는 사실상 Google에서 더 이상 찾을 수 없고, 주문하려는 사람들은 콜센터 핫라인으로 연결된 뒤 “잘못 건 번호”라는 안내를 듣고 부정적 리뷰를 남기게 되어 사업이 망가질 수 있다는 걸 알기 때문임
  Zeitarbeitsfirmen을 통해 lieferando에서 일하는 사람들도 이를 알고 있고, 판매 수수료를 받으려고 식당 주인을 압박하는 통화에서 이 점을 언급함
  내려가기 전 Crimeflare에는 이런 방식으로 lieferando 웹사이트를 가리키는 도메인이 약 13만 개 있었고, 나는 이 방식으로 갈취당했지만 따르지 않으려던 지역 사업주 몇 명에게 데이터셋을 제공하는 일을 도왔음
  결과적으로 아무도 소송당하지 않았고, 금전 피해가 너무 작아 유럽 법원 수준으로 끌고 가기도 어려웠음. 안타깝게도 집단소송은 미국과 같은 방식으로 작동하지 않는 듯함
  실질적으로 Google은 법을 따르지 않아도 지주회사들의 재무 구조 덕분에 빠져나가고 있음. 그리고 분명히 이걸 알고 있지만 전혀 신경 쓰지 않음

  • “they just don't give a single fvck” 같은 식은 HN에서 안 했으면 함. 그런 단어 자체에 보수적인 건 아니니 쓸 거면 제대로 쓰면 됨
    격앙된 비난을 삼가라는 가이드라인도 있으니 다른 모든 가이드라인과 함께 지켜 달라
    https://news.ycombinator.com/newsguidelines.html
  • 이건 15년쯤 전 BlackHatWorld에서 잘 알려진 전술이었음. VC 회사들이 드디어 수익화한 게 참 좋다…
  • 이건 Google이 아니라, 본인 표현대로라면 갈취하는 회사를 소송할 수 없는 문제처럼 보임
  • 정말 말도 안 된다. Google에는 비즈니스 소유권을 다툴 방법이 전혀 없나? 사업체 이름이 들어간 도메인만 등록하면 지도에서 아무 사업체나 가져갈 수 있는 건가?
  • 세상에. 독일 언론에 이걸 제대로 다룬 좋은 기사가 있었나?

• 이 댓글들에만 대안 설명이 적어도 3개 올라와 있음
  여기에 오컴의 면도날을 적용하면, 본문에서 제시한 설명이 어쩌면 가장 가능성이 낮아 보임
  좀 더 확인하려면 Takeout으로 보유 데이터 사본을 받아, Google이 아직 그 번호를 가지고 있는지와 어떤 용도로 보관하는지 보면 됨

  • Google이 Business Profiles에 Takeout을 제공하는지는 모르겠음. 기업은 개인처럼 개인정보 보호 법률(GDPR 등)의 보호를 받는 경우가 많지 않아서, 기술 회사들도 대량 데이터 내보내기 도구를 만드는 데 덜 적극적임

• Google이 계정 종료를 위협하며 한 달 넘게 사업자 번호 인증을 요구했고, 결국 선택지가 없어져서 개인 휴대전화 번호가 Play Store에 공개됐음

  • 비슷한 상황이었음. 독립 앱 게시자로 App Store에 앱을 올렸지만, 내 앱 옆에 전화번호를 공개하는 건 불편했음. 고객 지원도 하지 않음
    이 요구사항은 인디 앱 개발자를 벌주는 셈이라, 보고 나서 앱을 App Store에서 내리기로 했음

• Google Search를 쓰는 사람이라면 누구나 사업체 전화번호를 수정할 수 있음. 이상하지만 사실임
  https://www.google.com/search?q=Three+Rings+CIC&hl=en#irp=ph

  • Google 계정으로 Google Maps를 쓰는 사람은 누구나 수정 제안을 제출할 수 있지만, 게시 전에는 모두 검토됨. 사업체가 존재하지 않는다거나, 주소가 다르다거나, 새 웹사이트가 있다거나, 기존 웹사이트가 작동하지 않는다거나, 영업시간이 바뀌었다거나 하는 여러 정보를 알릴 수 있음
    사업체에만 국한되지 않고 버스 정류장, 기차역, 역사적 명소처럼 핀을 찍으면 데이터베이스 항목이 보이는 거의 모든 것이 포함됨
    이건 아마 Search 쪽 절차와 연결되어 있을 것임. 이름은 크라우드소싱임
    https://support.google.com/business/answer/3038311
    글에는 Google Business Profile을 관리하고 있다고 되어 있음. 예전에는 “Google My Business”라고 부르기도 했음. 등록하고 소유자 인증을 하면 리뷰에 답하고 Maps 항목을 관리하는 등의 도구를 쓸 수 있음
    https://business.google.com/us/business-profile/

• 참고로 스크린샷에서는 흐림 처리되어 있지만 그래도 읽을 수 있을 것 같음

  • 블로그 주인임. 흐림을 풀어도 괜찮음. 흐림 처리하기 전에 그 번호를 Ofcom의 공식 미할당 전화번호 목록 중 드라마(영화·TV 등)용 번호로 바꿔뒀음
    (https://www.ofcom.org.uk/phones-and-broadband/phone-numbers/...)
    그 번호는 내 것이 아니고 앞으로도 누구의 것도 되지 않음
  • 확실히 읽을 수 있음. 더 강한 흐림 처리도 상황을 해결하진 못했을 것임. 흐린 이미지에서 정보를 얼마나 잘 복원할 수 있는지 정말 말도 안 될 정도임
    예를 들어 아래 이미지의 “Data” 열은 사실상 내용 없는 회색 이미지처럼 보이지만, 신경망은 흐려진 문자 대부분을 복원할 수 있음: https://fips.fi/wp-content/uploads/2024/07/HDC_result_exampl...
  • 어차피 07700 987654라서 가짜 번호처럼 보임
  • 민감한 정보를 흐림 해제하는 데 쓸 수 있는 컴퓨터 기법들이 있으니, 전문가 조언은 단순한 흐림 효과를 쓰지 말라는 것임
    하지만 이 경우에는 고급 소프트웨어 없이도 숫자를 읽기가 매우 쉬움
    @author, 흐림 처리 이유가 신원 보호였다면 이미지를 빨리 업데이트해야 함. 지금 방식으로는 번호를 숨기지 못하고 있음
  • 새 AI 크롤러들은 추가 데이터셋을 얻으려고 이미지에서도 텍스트를 추출한다고 들었음. 저 정도 흐림이면 LLM에 들어갈 수도 있음