동기들이 중죄 혐의로 협박할 때

• Stanford 캠퍼스에서 인기를 얻던 익명 소셜 앱 Fizz를 선의로 점검한 학생들이 데이터베이스 전체 읽기·쓰기 접근과 익명화되지 않은 사용자·게시물 정보를 발견함
• 연구자들은 취약점 공개 보고서와 수정 제안을 보냈고, Fizz가 고칠 시간을 갖도록 공개 유예에도 동의했지만 이후 대응은 법적 위협으로 바뀜
• Fizz는 주·연방법 위반, 민사·형사 책임, 징역 20년 가능성을 거론하며 발견 내용을 공개하지 말라고 요구함
• 연구자들은 Electronic Frontier Foundation의 Kurt Opsahl과 Andrew Crocker에게 무료 법률 대리를 받아 침묵 요구에 굴복하지 않음
• 선의의 보안 연구라도 목적·범위·행동 기록을 남기고, 데이터 저장·유출·계정 조작을 피하며, 법적 위협에는 혼자 대응하지 않는 편이 안전함

---

Fizz에서 발견한 보안 문제

• Stanford 학생 스타트업 Fizz의 익명 소셜 미디어 앱은 캠퍼스에서 인기를 얻고 있었고, 앱은 “100% secure”에 가까운 표현을 내세움
• 사용자들이 민감한 이야기를 올리는 공간이었기 때문에, 보안에 관심 있던 학생들은 해당 정보가 실제로 안전한지 확인하려고 함
• 몇 시간 만에 Fizz 데이터베이스에 대한 전체 읽기·쓰기 접근이 가능해짐
  • 데이터베이스에는 사용자와 게시물 정보가 저장돼 있었음
  • 해당 정보는 완전히 익명화되지 않은 상태였음
• 연구자들은 Fizz에 보안 보호 장치가 거의 없다고 판단함

책임 있는 공개에서 법적 위협으로

• 연구자들은 발견 내용을 취약점 공개 보고서로 정리해 Fizz에 이메일로 보냄
• 보고서에는 발견한 문제와 수정 제안이 포함됐고, Fizz가 고칠 시간을 갖도록 특정 공개 유예일 전까지 공개적으로 말하지 않겠다고 먼저 동의함
• Fizz는 처음에는 보고서에 감사하며 문제 수정이 최우선이라고 답했고, 몇 주 동안 일부 업데이트를 보냄
• 이후 태도가 바뀌며 연구자들에게 주·연방법 위반과 민사·형사 책임을 거론하는 위협을 보냄
  • 위협에는 징역 20년 가능성까지 포함됨
  • 발견 내용을 공개하지 말라는 요구가 핵심이었음
  • 침묵에 동의하면 법적 조치를 추진하지 않겠다는 구조였고, 응답 기한은 5일이었음
• 연구자들은 이를 겁을 줘 침묵시키려는 시도로 받아들임

EFF의 법률 지원과 해결

• 연구자들은 네트워크에 도움을 요청했고, 며칠 안에 Electronic Frontier Foundation의 Kurt Opsahl과 Andrew Crocker와 연결됨
• 두 사람은 연구자들을 무료로 대리하기로 했고, 연구자들은 공개 과정과 관련 문서를 변호사들에게 설명함
• 법률 조언을 받은 뒤 연구자들은 Fizz의 위협에 굴복하지 않기로 함
• Kurt와 Andrew는 Fizz에 보낼 답변을 작성했고, 이후 Fizz 팀은 만남을 요청함
• 양측은 상황을 원만하게 해결했고, 연구자들은 Fizz가 문제를 사용자에게 선제적으로 공개하도록 압박함
• Fizz는 결국 사용자에게 문제를 공개함

보안 연구자가 지켜야 할 원칙

• 연구를 정당하고 문서화된 상태로 유지해야 함
  • 연구 전에 목적을 분명히 하고 윤리적 경계를 넘지 않는지 확인해야 함
  • 연구자들은 접근 가능한 데이터를 저장하거나 유출하지 않았음
  • 다른 사람의 계정을 조작하지 않았고 피해를 일으키지 않았음
  • 모든 작업을 상세히 문서화했고, 이는 취약점 공개 보고서 작성과 법률 대응에 도움이 됨
• 침착한 대응이 필요함
  • 법적 위협을 받더라도 전문적으로 대응해야 함
  • 목표는 문제를 키우지 않고 상황을 해결하는 것임
  • 감정적인 이메일 답변은 원만한 해결 가능성을 해칠 수 있음

• 변호사를 구해야 함

  • 법적 위협을 혼자 처리하려는 것은 큰 실수가 될 수 있음
  • Fizz는 연구자들이 순진하게 위협에 굴복할 것이라고 기대했다고 봄
  • 모든 사람이 EFF의 무료 대리를 받을 수는 없지만, 선의의 보안 연구자를 위한 자원이 늘고 있으므로 활용해야 함

[GN⁺]

Hacker News 의견들

• 변호사는 아니지만 이 법의 이상한 영역에 직업적으로 관심이 있는데, EFF 스태프 변호사가 여기서는 조금 무리한 주장을 한 것처럼 보임
  Fizz는 클라이언트/서버 애플리케이션, 아마 웹앱으로 보이고, 연구자들이 테스트한 것은 Fizz 서버에서 돌아가는 소프트웨어였음
  취약점을 찾은 뒤 연구자들은 확보한 데이터베이스 활동을 이용해 관리자 계정을 만들었고, 이 테스트에 대한 허가를 받은 적은 없었음
  이 사실관계가 맞다면, 내가 모르는 California 법이 있지 않은 한, 그리고 그렇다 해도 연방법 우위 때문에 무의미하지 않나 싶은데, 이들은 EFF 답변의 주장과 달리 CFAA를 꽤 직접적으로 위반한 것으로 봄
  다만 법적 위험을 낮추는 요소가 적어도 셋 있음: 공개 내용과 이후 행동을 보면 선의의 보안 연구였다는 점이 분명해 기소 대상으로 매력적이지 않고, 의미 있는 피해가 있었는지도 불분명하며, Fizz가 작고 신생이라 포렌식 업체나 보험사 정산까지 갔을 가능성도 낮아 보임
  또한 Fizz 변호사들이 연구자들에게 가치 있는 양보를 받아내려고 형사기소를 위협한 것은, EFF가 짚었듯 주 변호사협회 규칙 위반임
  여기서는 좋은 쪽이 이긴 것 같지만, 너무 많은 교훈을 일반화하기는 조심스러움. Fizz가 아니라 Dunder Mifflin Infinity의 소셜 기능이었다면 결과가 훨씬 험악했을 수 있음

  • 친구가 짚어줬듯 EFF가 딛고 선 가지는 꽤 튼튼했음. DOJ가 선의의 보안 연구는 기소하지 않겠다는 정책 성명을 냈기 때문임
    https://www.justice.gov/opa/pr/department-justice-announces-...
  • “무단 보안 연구로 5~6자리 피해액이 쉽게 쌓일 수 있다”는 식으로 작동한다면, 이건 기존 법의 문제처럼 보임
    “피해액” 규모가 피해자 손에 들어가고, 큰 관료조직 입장에서는 사소하지만 절대액으로는 큰 자원을 임의로 쓰게 해, 자신을 망신시킨 불완전한 행위자에게 가혹한 처벌을 걸기 위해 자원을 낭비할 왜곡된 유인을 줌
    그런 조치가 정당한 범위 안에 있더라도, 그 필요성을 알려준 사람에게 비용을 돌리는 것도 부적절함. 공개 서비스에 심각한 취약점을 둔 채 운영했다면, 이 사람이 부적절한 행동을 했는지와 무관하게 다른 누군가가 악용했을 가능성을 평가해야 함
    그 비용의 원인은 취약한 서비스를 운영한 자기 행동이고, 취약점을 스스로 발견했더라도 운영 이후라면 부담했어야 할 비용임
    피고에게 귀속될 손해는 실제로 일으킨 피해, 예컨대 접근권을 이용해 고객 금융정보를 얻고 신용카드 사기를 저지른 경우 같은 것으로 제한돼야 함
  • EFF 변호사가 딛고 선 “가지”는 결국 법정에서 다퉈졌을 쟁점이라고 봄
    앱 설정이 너무 나빠서 그냥 Firebase 프로토콜을 따르는 것만으로 데이터베이스 쓰기 권한이 생긴다면, 실제로 보안 조치를 우회한 게 아니라고 쉽게 주장할 수 있음. 우회할 보안 조치 자체가 없었기 때문임
    AT&T가 iPad 데이터 가입자 정보를 목록에 없는 웹페이지에 그냥 올려둔 사건이 떠오름. 결과는 기억나지 않지만, 그때는 당사자가 얻을 수 있는 데이터를 최대한 긁어가려 했던 것으로 알고, 여기와는 다름
  • 좋은 분석임. 2020년대에 누가 비요청 침투 테스트를 제정신이고 환영받을 행동이라고 생각하는지 정말 이해가 안 됨
    원문에는 “mea culpa”가 없어 보이는데, 글이 “이 사람들이 뭘 하려 했는지 믿기냐?” 같은 밈스러운 톤이더라도 교훈은 배웠기를 바람
    의도는 좋아 보이지만, 법은 꽤 명확히 어긴 것으로 보임
  • 중요한 단서 하나는, 기술적으로는 CFAA 위반일 수 있어도 DOJ가 실제로 기소할 가능성은 거의 없다는 점임
    작년에 DOJ는 “선의의 보안 연구”를 하는 사람을 기소하지 않도록 CFAA 기소 정책을 업데이트했음 [1]
    CFAA는 악명 높게 범위가 넓기 때문에, DOJ 정책은 보안 연구의 합법성을 더 명확히 하도록 법을 개정하는 것에 비하면 한참 부족함
    새 행정부에서 정책이 바뀔 수도 있어 여전히 위험하지만, 공식화 전보다는 덜 위험함
    [1] https://www.justice.gov/opa/pr/department-justice-announces-...

• 계약서나 특히 위협적인 법률 커뮤니케이션에서, 작성하는 쪽이 내용을 정확히 쓰지 않아도 거의 결과를 감수하지 않는 이유를 이해하기 어려움
  직원 계약서에서 “이 계약의 일부가 무효여도 나머지는 무효가 되지 않는다” 같은 문구를 본 적 있음. 고용주는 자기 규칙을 집행하려는 것이고 그 자체는 합리적이지만, 허용되지 않는 내용을 써도 불이익이 없음. 기껏해야 법원이 그 조항을 무효로 볼 뿐임
  부담은 독자에게 있고, 보통 독자가 훨씬 약한 쪽임
  여기서도 회사가 “너 이걸로 연방 교도소 20년 갈 수 있어!” 같은 위협 편지를 보낼 수 있는 이유가 뭔가? 명백히 거짓인데도 말임
  작성자에게 합리적인 내용을 보장할 부담이 있어야 하는 것 아닌가. 터무니없고 입증 가능하게 틀렸다면 “아, 없던 일로”보다 큰 부정적 결과가 있어야 하지 않나

  • “계약 일부가 무효여도 나머지는 유지된다”는 개념은 분리가능성으로, 거의 모든 계약에 존재하고 보통 계약의 본질에 근본적이지 않은 조항에 한정됨
    무엇이 근본적인지는 말한 대로 법원이 해석함
    직원 계약의 예에서는 분리가능성이 오히려 개인인 당신도 보호함. 일부 조항이 무효가 되어도, 당신을 보호하는 조항을 포함한 나머지 약정이 계속 유효하게 되기 때문임
    계약 전체가 무효가 되면 아무것도 없는 상태에서 다시 시작해야 하고, 아마 직장도 잃을 수 있음. 보호가 조금 있는 편이 0보다 낫다
  • 분리가능성은 계약 일부를 잘라내도, 그것이 계약 조건을 근본적으로 바꾸지 않는 한 나머지를 유지할 수 있게 하는 개념이고, 헌법법에서 나와 판례가 새 사건마다 통째로 뒤집히는 것을 막기 위한 것이었음
    양쪽 모두가 사소한 기술적 이유로 전체 법적 의무에서 빠져나가거나, 법적 심사를 견디지 못할 독소조항을 일부러 넣는 것을 막아줌
    계약 일부가 무효가 되면 그 부분은 활용할 수 없음. 그 부분의 무효가 계약을 근본적으로 바꾸면 전체 계약이 무효가 됨. 여기서 더 뭘 원하는지 모르겠음
    나쁜 계약서를 작성한 것에 대해 징벌적 대응을 하자는 것처럼 들리는데, 이는 모든 법률·사업 관계 형성에 위축 효과를 만들 수 있어 꽤 나쁜 생각 같음
    강한 법률 작성자에 접근하기 어려운 약한 쪽이 더 크게 타격받을 가능성도 있음. 계약 문구 변경을 협상하는 것조차 협상자에게 책임 지뢰밭이 되면, 법무팀 전체를 마주한 작은 행위자에게 책임 부담이 더 불균형해지지 않겠나
    상상하는 세계가 지금보다 약한 당사자에게 더 큰 위험을 만들지 않는 방식이 잘 보이지 않음
  • 지나친 경우는 분명 있지만 선을 명확히 긋기는 어려움
    선의의 맥락에서는 법과 판례가 빠르게 바뀌고, 때로는 판사의 변덕에 따라 달라지며, 명확한 판례가 없거나 지침이 흐릿한 법 영역도 많음
    그런 경우 작은 조항 하나가 법정에서 버티지 못했다고 해서 계약 전체를 재협상하지 않도록 분리가능성이 중요함
    예컨대 경업금지 조항이 들어간 고용계약을 생각해보면, 회사가 모든 지역에서 같은 계약서를 쓸 수 있고, 경업금지가 불법인 주에서는 분리가능성 조항 덕분에 관할구역마다 별도 계약서를 만들지 않아도 됨
    한 주가 과거에는 경업금지를 허용했다가 금지법을 통과시킨다면, 경업금지 조항이 있는 모든 고용계약이 갑자기 무효가 되어야 할까? 당연히 아님. 그게 분리가능성의 역할임
    원문의 위협도 맥락을 알기 어렵지만, “우리 컴퓨터 네트워크에 대한 무단 접근은 XYZ 법령상 연방 범죄이며 최대 징역 20년까지 가능하다” 같은 표현이었을 수 있음
    일반인에게는 몹시 무섭지만 엄밀히 거짓은 아니고, 대부분의 변호사는 헛소리라고 눈을 굴리겠지만 자격어를 충분히 붙이면 어디서 선을 그을지 어렵다
    결국 이런 문서는 보통 사람을 위해 설계되지 않은 법률어로 변호사가 씀. 대학생들에게 이런 위협을 한 것은 형편없는 일이고, 회사를 대신해 이 편지를 쓰고 보낸 변호사는 회사에 엄청나게 나쁜 조언을 한 셈임
    변호사협회에 문제 제기할 수는 있겠지만, 이런 상황에서 설득력 있는 사건으로 만들기는 매우 어려울 것 같음
    이것이 단체교섭이 중요한 이유 중 하나임. 노조는 회사 변호사와 맞설 법률 대리인을 감당할 수 있지만, 개인 직원은 그러기 어렵다
  • 한편으로 권리를 주장하도록 장려하고, 다른 한편으로 무익한 소송 제기를 억제하는 균형의 문제임
    미국식 제도는 “각자 자기 법률비용을 부담”하는 방식이라 피해자가 소송을 제기하기 쉽게 함
    반면 영국은 대체로 “패자가 양쪽 법률비용을 부담”하는 방식이라, 크게 피해를 입었더라도 많은 원고가 소송을 꺼리게 됨
  • 결과가 있을 수는 있지만, 피해를 입었다는 점을 입증해야 함
    그런 위협으로 어떤 피해를 입었고, 정당한 보상은 얼마인가? 보상을 받기 위해 변호사를 고용해 소송하는 비용은 얼마이고, 승소 가능성은 어느 정도인가?
    위협 편지를 보내는 쪽도 같은 종류의 질문을 스스로 했을 것임
    상대에게 더 많은 자원이 있어 불공평하다고 느낀다면, 그건 더 일반적인 사회 문제임. 돈이 많으면 모든 형태의 정의에 더 잘 접근할 수 있음

• 이 글은 오늘날 취약점 공개가 처리되는 방식이 전반적으로 긍정적으로 바뀌었음을 보여주는 것 같음
  90년대에는 모든 회사가 이런 식이었음. 회사들은 소송을 위협했고, 공개 자체가 법적으로 의심스러워 보였음. 포럼이나 BBS에서는 애초에 공개해도 안전한지 논의했고, 익명 이메일 계정 같은 제안이 오갔음
  물론 지금도 일부는 남아 있음. 특히 구식 회사나, 여기처럼 순진한 대학생들이라면 그렇지만, 전반적으로는 공개에 유리하게 극적으로 바뀌었음
  보안 연구자의 신원을 보호하는 전담 중개자, 공개를 장려하고 칭찬하는 대기업, 6자리 버그 바운티, 보안 연구자에게 더 우호적으로 바뀐 법까지 있음
  글쓴이에게는 꽤 불쾌한 일이었겠지만, 예전에는 이런 상황이 표준이거나 더 나빴고 지금은 어느 정도 드물어졌다는 좋은 reminder임

  • 문제는 허가 없이 이런 종류의 해킹을 하는 것이 여전히 완전히 불법이라는 점임
    많은 회사가 버그 바운티를 받아들이고 자신을 상대로 이런 활동을 장려하다 보니, 안타깝게도 “아이들”에게 이런 일이 완전히 합법적이고 도덕적이며 윤리적이라는 식으로 학습시킴
    하지만 이 이야기에서 보듯 실제로는 주사위를 굴리는 것이고, 이번에는 잘 풀렸을 뿐임
    명시된 버그 바운티 프로그램을 통해 대상의 협조를 얻은 게 아니라면, 익명 이메일 같은 방식은 아직도 더 나은 생각일 수 있음. 다만 보안 연구자가 “이름을 알리는” 데는 도움이 안 됨
    사실상 무단침입을 인정하는 셈이기도 함. 비유하면 잠기지 않은 문으로 들어가 냉장고 안을 볼 수 있는지 확인만 했더라도 마찬가지임
    기업의 거짓말을 드러내는 데 도움을 줬다고 여론 법정에서 보일 수는 있지만, 실제 법정에서는 범죄에 유죄라는 사실은 바뀌지 않음
  • 학생들이 미래 커리어를 지키려는 시도였던 것 같기도 함. “이 일을 조용히 넘기지 않으면…” 같은 식으로, 특히 문제가 빠르게 고쳐졌다면 더 그렇고
    그런 의미에서는 전형적인 90년대식 보복과는 다름. 학생들 입장에서는 꽤 무서웠을 것임
    부유한 부모의 개입 가능성도 무시하지는 않겠지만, 물론 상황이나 당사자들에 대해 아는 건 없음
  • 익명 이메일 계정 같은 방식은 많은 서구권 국가에서도 여전히 가야 할 길임

• 대단한 이야기임. Stanford Daily 기사에는 변호사들이 주고받은 편지 사본이 있는데 상당히 강렬함. EFF가 나서지 않았다면 우리는 그걸 읽지 못했을 것임
  https://stanforddaily.com/2022/11/01/opinion-fizz-previously...

• Stanford Daily 기사에 따르면 “당시 Fizz는 Google의 Firestore 데이터베이스 제품을 사용해 사용자 정보와 게시글 등을 저장했다… Fizz는 필요한 보안 규칙을 설정하지 않아 누구나 데이터베이스를 직접 질의할 수 있었다… 모든 사용자의 전화번호 및/또는 이메일 주소에 완전히 접근할 수 있었고, 게시글과 업보트가 이 식별 정보에 직접 연결될 수 있었다… 게다가 데이터베이스 전체가 편집 가능했다. 누구나 게시글, 카르마 값, 모더레이터 상태 등을 편집할 수 있었다”고 함
  이건 정말 말도 안 됨

  • 안타깝게도 Firebase 앱에서 매우 흔한 문제임
    클라이언트가 데이터베이스에 직접 쓰기 때문에 보통 권한 검사를 잊고, 클라이언트가 자기 객체에만 쓸 것이라고 신뢰함
    오래전에 Firebase 사용자 값을 isAdmin=true로 바꿔 전동 킥보드 회사의 관리자 접근권을 얻은 적이 있고, 그 뒤 실수로 빌리고 있던 킥보드를 Firebase에서 삭제해버렸음. 그 후 그 킥보드가 어떻게 됐는지는 모르겠음
  • 몇 년 전 HelloTalk라는 언어 학습 펜팔 앱이 사용자의 실제 GPS 좌표를 iOS 백업에서 찾을 수 있는 SQLite에 저장한다는 걸 발견했음
    앱 안 지도는 대략적인 위치만 보여줬고, 특정 줌 수준에서는 핀이 사라졌음
    mitmproxy로 요청을 다시 작성하면 미성년자는 18세 이상을 검색하지 못하게 하거나 성인은 미성년자를 검색하지 못하게 하는 필터도 우회할 수 있었고, 위치·성별 같은 유료 전용 필터도 우회 가능했음. 유료 상태를 서버 쪽에서 확인하지 않았음
  • 관련해서 Firebase/Firestore 데이터베이스를 감사하거나 탐색하는 도구가 있나? 예를 들어 컬렉션이나 문서를 읽을 수 있는지 확인하는 것 말임
    앱 ID와 공개 프런트엔드 앱에 포함된 API 값들을 넣고, 선택적으로 세션 ID도 지원해 로그인 사용자에게만 보이는 가벼운 보안 규칙을 쓰는 Firestore 앱도 다룰 수 있으며, JavaScript 코드에서 찾은 컬렉션 이름을 받아 탐색하는 웹 도구를 상상해봄

• 흥미롭게도 Fizz의 Ashton Cofer와 Teddy Solomon은 자신들의 잘못이 드러나자 홍보 수습을 시도했음 https://stanforddaily.com/2022/11/01/opinion-fizz-previously...
  그들의 답변은 약했고, 이후 이 사태에 대해 논평을 거부해온 것처럼 보임

  • 원문에 링크된 Stanford Daily 기사 [0]에 따르면, Fizz는 이 사건과 이른바 개선 사항을 다룬 성명도 웹사이트에서 제거했음
    “Fizz가 2021년 12월 7일 ‘Security Improvements Regarding Fizz’라는 성명을 냈지만, 이 글 발행 시점 기준으로 해당 페이지는 Fizz 웹사이트나 Google 검색에서 더 이상 찾아갈 수 없다”고 되어 있음
    또한 앱이 여전히 “익명” 사용자 활동에 대한 개인식별정보를 저장할 가능성이 커 보임
    “게다가 우리 데이터가 내부적으로 익명화되어 있는지도 아직 모른다. 창업자들은 작년에 The Daily에 사용자가 개발자에게 식별 가능하다고 말했고, Fizz의 개인정보처리방침은 여전히 그렇다는 점을 시사한다”고 함
    여기서 “개발자”에는 이 문제에 대한 논평을 거부하고, 회사의 관련 커뮤니케이션을 제거했으며, 처음에는 완전히 새는 양동이를 “100% 안전한 소셜 미디어 앱”으로 마케팅하다 들키자 법적 위협을 활용했던 바로 그 창업자들이 포함될 수도 있음
    내 정보를 Fizz에 넣고 싶은 마음은 전혀 안 생김

• 법적 위협은 하고도 결과를 피할 수 있는데, 신체적 폭력을 위협하면 감옥에 갈 수 있는 이유가 뭔가?

  • 그 감정은 좀 이상함. 일반적으로, 여기서 다 말하지 않을 중요한 단서는 있지만, 합법적 행위인 소송 제기를 하겠다고 위협하는 것은 당연히 말할 수 있고, 불법 행위인 신체적 폭행을 하겠다고 위협하는 것은 말할 수 없음
  • 변호사는 아니지만, 일부 관할권과 상황에서는 형사기소를 위협하는 것 자체가 공갈이나 절차 남용 범죄가 될 수 있다고 알고 있음
  • 변호사는 아니지만: 1) 폭력 위협은 명시적으로 범죄임 2) 더 높은 수준에서 보면, 폭력 위협이 범죄인 이유는 그 바탕이 되는 행위인 폭력 행사도 범죄이기 때문임
    합법적 행위를 하겠다고 위협하는 것은 대체로 합법임. 예컨대 당국에 신고하겠다고 위협하는 것은 불법이 아님
  • 완전히 합법적인 일을 하겠다고 위협하는 것은 완전히 합법임
  • https://en.wikipedia.org/wiki/Monopoly_on_violence

• “위협의 끝에는 요구가 있었다. 발견한 내용을 절대 공개적으로 말하지 말라는 것. 본질적으로 침묵에 동의하면 법적 조치를 추구하지 않겠다는 뜻이었다”
  법적으로 이런 요구가 주 검찰이나 경찰과의 대화까지 막을 수 있나?
  “100% 안전”하다고 주장하면서 실제로는 안전하지 않고, 사용자들이 회사나 최소한의 실력 있는 해커의 염탐으로부터 아무 보호도 받지 못한다는 걸 안다면, 최소한 사기이고 범죄적 도청에 더 가까움. 사용자가 “100% 안전”하다고 믿고 비밀을 서비스에 털어놓도록 의도적으로 속이는 것이기 때문임
  이 일이 “우호적으로” 끝난 것은 솔직히 정의의 실패임. Fizz 팀은 사기 혐의를 받아야 함

  • Fizz가 자기 보안 취약점을 정말 몰랐을 수도 있음. 그렇다면 사기보다는 과실에 더 가까울 수 있음
  • Fizz의 요구가 법적으로 그다지 설득력 있다고 보지는 않음
    미국에서는 시민보다 기업을 더 중시함. 미국 광고는 허위 주장으로 가득함
    우리는 단어에 의미가 없는 척하면서 이를 무시함

• 흥미로움. 우리 학교에도 SideChat이라는 매우 비슷한 플랫폼이 있는데, 크게 다르지 않을 것 같음
  작년에 “성별 긍정 치료”의 타당성에 의문을 제기했다가 영구 차단됐기 때문에, 그들이 나에 대해 얼마나 알고 있을지 궁금해짐

• 저널리즘 측면에서 보면, Fizz를 공개적으로 지적한 점은 훌륭함. “Fizz는 사용자 데이터를 보호하지 않았다. 그 다음 무슨 일이 벌어졌나?”
  이건 “누가 해킹했다”가 아니라, Fizz가 약속한 일을 하지 못한 것임
  아직도 취약점이 해결됐는지 테스트됐는지는 궁금함

  • Stanford Daily의 후속 기사에서 앱 제작자들이 수백만 달러의 투자를 받고 보안 문제 수정을 포함해 많은 전문적 도움을 받았다고 했던 것 같음
    다만 사용자 데이터는 이전에 주장했던 것처럼 내부적으로 완전히 익명화되어 있지는 않아 보임