개인정보 보호 기업 Onerep.com의 CEO, 수십 개의 인물 검색 회사 설립

 (krebsonsecurity.com)
2P by GN⁺ | ★ favorite | 댓글 1개
  • 개인정보 삭제를 판매하는 Onerep.com의 창업자 Dimitri Shelest가 여러 인물 검색 서비스와 연결된 정황이 드러나, 서비스의 신뢰성과 이해상충 문제가 커짐
  • Onerep은 거의 200개 인물 검색 사이트에서 개인정보를 제거해준다고 홍보하며, 개인 월 $8.33, 가족 월 $15부터 시작하고 기업·공공 부문 고객도 겨냥함
  • DomainTools와 Constella Intelligence 기록에는 Shelest의 이메일, 벨라루스 전화번호, Onerep·Nuwber·국가별 인물 검색 도메인이 반복적으로 함께 나타남
  • Shelest는 3월 21일 업데이트에서 Nuwber 지분 보유를 인정했지만, OneRep과의 정보 공유나 교차 운영은 없고 오래된 다른 도메인은 더 이상 운영하지 않는다고 밝힘
  • Mozilla는 Mozilla Monitor의 자동 데이터 삭제 서비스가 OneRep 제휴라고 설명하며, 과거 관계가 종료됐다는 확인을 받았지만 사안을 추가로 살펴보겠다고 밝힘

Onerep의 서비스와 고객 대상

  • Onerep.com은 버지니아 기반 서비스로 자신을 소개하며, 거의 200개 인물 검색 웹사이트에서 개인정보를 제거해준다고 홍보함
  • “Protect” 서비스는 개인 월 $8.33, 가족 월 $15부터 시작함
  • 기업 고객에게는 직원 데이터가 인물 검색 사이트에서 지속적으로 제거되도록 하는 서비스를 판매함
  • Onerep.com의 고객 사례에는 Permanente Medicine 직원 대상 계약이 소개돼 있음
    • Permanente Medicine은 Kaiser Permanente 내 의사들을 대표함
  • Onerep은 미국 경찰 부서에서도 진입 성과가 있다고 밝힘

도메인·이메일 기록이 만든 연결고리

  • Onerep.com은 창업자 겸 CEO를 벨라루스 민스크 출신 Dimitri Shelest로 소개하며, Shelest의 LinkedIn 프로필도 같은 정보를 담고 있음
  • DomainTools.com의 과거 등록 기록에는 Shelest가 dmitrcox2@gmail.com 주소를 사용한 onerep.com 등록자로 나타남
  • Constella Intelligence 검색 결과는 Dimitri Shelest 이름과 다음 정보를 연결함

    • dimitri.shelest@onerep.com

    • d.sh@nuwber.com

      • 벨라루스 전화번호 +375-292-702786
      • Nuwber.com은 인물 검색 서비스이며, Onerep이 데이터 제거 대상으로 내세우는 여러 사이트 중 하나임
      • Onerep 웹사이트는 “OneRep은 Nuwber.com과 관련이 없다”고 명시함
      • 그러나 Constella는 Nuwber와 연결된 벨라루스 전화번호 375-292-702786가 dmitrcox@gmail.com 주소와 여러 차례 함께 사용됐음을 찾음
      • DomainTools는 comversus.com이 dmitrcox@gmail.com과 dmitrcox2@gmail.com 모두에 연결됐다고 표시함
      • 같은 두 이메일이 WHOIS 기록에 함께 나타난 도메인에는 careon.me, docvsdoc.com, dotcomsvdot.com, namevname.com, okanyway.com, tapanyapp.com이 포함됨

수십 개 인물 검색 도메인과 초기 Onerep 정황

  • DomainTools에서 dmitrcox@gmail.com을 검색하면 최소 179개 도메인 등록과 연결되며, 그중 다수는 현재 운영되지 않는 인물 검색 회사였음
  • 이 도메인들은 아르헨티나, 브라질, 캐나다, 덴마크, 프랑스, 독일, 홍콩, 이스라엘, 이탈리아, 일본, 라트비아, 멕시코 등 여러 국가의 시민을 대상으로 했음
  • 2016년에 등록된 nuwber.fr는 당시 Nuwber.com 홈페이지와 동일했음
  • 같은 이메일과 벨라루스 전화번호는 nuwber.at, nuwber.ch, nuwber.dk의 과거 등록 기록에도 나타남
  • onerep.com의 과거 WHOIS 기록은 원래 사우스다코타주 Sioux Falls 거주자에게 등록돼 있었으나, 2015년 9월 전후 GoDaddy.com에서 eNom으로 이전되고 등록 정보가 프라이버시 보호 뒤로 숨겨졌음
  • 이 무렵 onerep.com은 DNS 제공업체 constellix.com의 네임서버를 쓰기 시작한 것으로 DomainTools에 나타남
  • Nuwber.com도 2015년 말 처음 등장했고, eNom을 통해 등록됐으며, 거의 같은 시점에 constellix.com DNS를 사용하기 시작함
  • LinkedIn에는 Dimitri Bukuyazau가 2015~2018년 OneRep.com 제품 관리자였다고 표시돼 있음
    • 이 프로필에는 Nuwber 항목이 없음
    • Constella Intelligence는 nuwber.com 직원 이메일로 d.bu@nuwber.com, d.bu+figure-eight.com@nuwber.com을 찾았고, 후자는 “Dzmitry” 이름으로 등록돼 있었음
  • PrivacyDuck은 2017년 OneRep과 Nuwber가 같은 회사라고 볼 근거를 들었지만, onerep.com은 Wayback Machine에서 완전히 제외돼 있어 초기 동작을 쉽게 검증하기 어려움
    • Wayback Machine은 도메인 소유자의 직접 요청이 있을 경우 이런 제외 요청을 수용함

더 넓은 도메인 이력과 이해상충 논란

  • Shelest의 이름, 전화번호, 이메일은 다수의 국가별 인물 검색 서비스 등록 기록에도 나타남
  • dmitrcox@gmail.com은 2010년 유출된 러시아어권 약국 스팸 제휴 프로그램 Spamit의 제휴 이메일 중 하나와도 연결됐음
    • Spamit은 스팸 광고 사이트에서 남성 기능 개선 약품이 팔릴 때 스패머에게 수수료를 지급했음
    • 해당 이메일은 수익성이 높은 제휴자는 아니었음
  • Shelest의 Facebook 프로필은 민스크 거주와 결혼 상태를 표시했으며, 2024년 3월 16일 업데이트에 따르면 해당 계정은 더 이상 활성 상태가 아님
  • 10년 이상 된 Facebook 활동에는 다수의 인물 검색 사이트 프로필 페이지에 대한 좋아요가 있었음
  • 360 Privacy의 최고성장책임자 Max Anderson은 데이터 제거 서비스와 데이터 브로커 웹사이트 사이에 직접 연결이 있는 것은 우려스럽다고 말함
  • Anderson은 사람들의 정보를 판매하는 회사를 운영하면서 같은 사람들에게 정보 삭제 비용을 청구하는 것은 비윤리적이라고 봄

Shelest 답변과 Mozilla Monitor 제휴

  • 2024년 3월 21일 업데이트에서 Shelest는 긴 답변을 제공함
    • Nuwber에 대한 소유 지분을 유지하고 있음을 인정함
    • OneRep과 “교차 운영이나 정보 공유는 전혀 없다”고 밝힘
    • 자신의 이름과 연결될 수 있는 오래된 다른 도메인들은 더 이상 자신이 운영하지 않는다고 말함
  • Shelest는 인물 검색 사업과의 관계가 외부에서 이상해 보일 수 있다는 점을 인정하면서, 인물 검색 사이트 작동 방식에 깊이 들어간 초기 경로가 없었다면 Onerep이 해당 분야의 기술과 팀을 갖추지 못했을 것이라고 말함
  • 과거에 이 관계를 더 명확히 하지 못했음을 인정하고 앞으로 더 잘하겠다고 밝힘
  • 전체 답변은 PDF로 제공됨
  • 2024년 3월 15일 업데이트에는 Mozilla Foundation의 Mozilla Monitor가 OneRep을 번들로 제공한다는 내용이 추가됨
    • Mozilla Monitor는 무료 또는 유료 구독 서비스로 제공됨
    • 무료 침해 알림 서비스는 Have I Been Pwned와의 제휴임
    • 자동 데이터 삭제 서비스는 공개 온라인 디렉터리와 정보 집계 사이트에서 개인정보를 제거하기 위한 OneRep 제휴임
  • Mozilla는 OneRep의 데이터 제거 서비스가 Mozilla의 개인정보 보호 원칙에 따라 작동하는지 평가했다고 밝힘
  • Mozilla는 해당 글에 나온 과거 관계를 알고 있었고, 함께 일하기 전에 종료됐다는 확인을 받았다고 말함
  • Mozilla는 이 사안을 추가로 살펴보고 있으며 고객의 개인정보와 보안을 우선하겠다고 밝힘

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 평판 관리 업체 상당수가 머그샷, 법원 기록 등을 공개하는 공공기록 사이트도 함께 소유한다는 건 그다지 비밀도 아님
    인터넷에서 정보를 지워달라고 맡기면, 자기들이 운영하는 사이트 한두 곳에서는 지워주고 다른 곳에는 다시 올리는 순환에 빠짐
    결국 월 구독료까지 붙은 끝없는 두더지 잡기가 됨

    • 관련해서 Proofpoint도 악명이 높음
      별 이유 없이 메일 서버를 차단해놓고, 차단 해제 절차를 밟게 만듦
      돈을 내면 문제가 마법처럼 사라지고, 항상 걸리는 차단 목록은 Proofpoint뿐이었음
    • 이건 공갈 사업임
    • 신용평가기관이 딱 이런 느낌임
      선택 해지도 못 하는 상태에서 개인 정보를 닥치는 대로 빨아들이고, 정확하든 아니든 보관하며, 명백히 틀린 데이터도 삭제를 거부함
      그러고는 데이터를 허술하게 관리해 전부 세상에 유출한 뒤, 바꿀 수 없는 정보가 나쁜 사람들에게 퍼졌으니 평생 신용 모니터링 비용을 내라고 함
      그 신용 모니터링 업체 대부분을 누가 소유하고 있을까
    • 창문 수리공이 창문을 깨거나, 타이어 판매상이 길에 못 상자를 뿌리는 것과 너무 비슷함
      차이는 그런 행위들은 불법이라는 것뿐임
      이건 데이터 프라이버시 마피아라고 불러도 될 듯함
    • 현대의 교훈은 명확함: 프라이버시를 원하면 디지털 형태로 남기지 말아야 함
      어떤 곳은 스마트폰 사용을 금지하고, 입구에서 코트 맡기듯 휴대폰을 맡기게 함
      기자 친구 한 명은 스마트폰을 집에 두고 나오는 일이 잦음

  • 구체적으로 말하긴 어렵지만, 이런 “프라이버시” 회사들의 삭제 요청을 처리해야 했던 사람을 알고 있음
    그 프라이버시 회사는 사용자의 이름과 이메일 같은 개인 정보를 가져다가, 계정이 있든 없든 생각나는 모든 회사에 이메일로 보내며 계정을 삭제해달라고 요청했음

    • 이런 서비스가 선의로 운영되고 적극적인 데이터 수집 사기가 아니더라도, 실제로는 득보다 실이 클 수 있다고 의심했음
      하지만 이건 닭과 달걀 문제이기도 함. 내 정보를 지워달라고 하려면 어떤 정보가 나를 식별하는지 알려줘야 하기 때문임
      회사들은 이 절차를 최대한 어렵게 만들 유인이 있으니, 데이터 해시 기반 해법이 자발적으로 나올 가능성은 낮고, 강한 규제와 높은 벌금이 필요함
      삭제 요청 대상 데이터의 소유권을 증명하는 문제도 있음. 가장 진보적인 개인정보 규제라 할 수 있는 EU의 GDPR에서도, 회사들이 요청자에게 더 많은 개인정보를 요구하며 이를 일상적으로 어김
    • Dropbox 같은 플랫폼에서 정보를 지우려고 이런 “delete me” 서비스를 쓰면 숨은 함정이 있음
      이런 서비스가 이메일 주소를 거래하는 회사와 연결된 경우가 많아서, 삭제를 위해 이메일을 제출했다가 마케터나 데이터 브로커에게 팔릴 수 있음
      결국 스팸과 원치 않는 연락이 더 늘거나, 이메일을 산 쪽에 따라 맞춤형 광고가 따라올 수도 있음
    • 악마의 변호인 입장에서 보면, 표본 1개는 그냥 데이터 포인트일 뿐 전체 이야기는 아닐 때가 많음
      합법적인 업체라면 삭제 요청을 보내기 전에 해당 회사에 정보가 있는지 확인할 수 있다고 가정할 수 있음
      물론 틀릴 수도 있고 증거도 없지만, 표본 1개만큼은 그럴듯한 추정임

  • 약관을 보면 Mozilla Monitor도 같은 서비스를 쓰는 것으로 보임. 꽤 심각함
    https://www.mozilla.org/en-US/about/legal/terms/subscription...

    • 이건 Mozilla Corporation의 실사 실패라고 봄
      지금쯤 법무팀이 사고 대응 모드에 들어갔을 듯함
      조직이 직접 아무것도 하지 않고 외부 파트너에게 책임과 법적 부담을 넘길 때 생기는 문제 중 하나임
      Mozilla Monitor에 개인정보를 맡겼다면, 법무 연락처는 약관 페이지에 있음: https://www.mozilla.org/en-US/about/legal/terms/subscription...
      그 약관은 책임 한도를 500달러로 제한하고, Mozilla에 면책도 부여함
    • 여기서 더 큰 이야기는 아마 이 부분임
      수상한 업체를 믿지 않는 건 쉽지만, Mozilla 같은 큰 이름에 속는 건 완전히 다른 문제임

  • 이런 일은 신뢰할 수 있는 1차 당사자, 즉 본인이 직접 처리하는 편이 나아 보임
    데이터 브로커 탈퇴 방법 목록: https://github.com/yaelwrites/Big-Ass-Data-Broker-Opt-Out-Li...

    • Onerep을 쓰다가 수상하다는 말을 듣고 그만뒀음
      지금은 YC 회사인 Optery(https://www.optery.com/)를 쓰고 있는데, 문제가 있다면 듣고 싶음
      문제는 데이터 브로커가 200개가 넘고, 그걸 전부 상대할 시간이 없다는 것임
    • 이 방법을 가이드 하나를 따라 직접 해봤고, 최악의 바닥업체 중 하나인 mylife.com에는 확실히 효과가 있었음
      인도 콜센터에 전화해야 했고, 예의를 유지한 채 끈질기게 버티면서 그들의 “서비스” 홍보를 여러 번 들어야 했음
      결국 이름을 지워줬지만, 다시 나타날 “수도” 있다고 말했음
      그게 2018년이었고 지금은 사이트 검색에 내 이름이 나오지 않음. 다만 내 프로필, 가족, 이웃에 “변경 사항”이 있다는 mylife의 쓰레기 이메일은 하루에도 여러 통씩 옴
      이런 일에는 제3자를 피하고 있음. Krebs가 말한 것처럼 쓰레기 데이터 브로커와 공갈 구조를 만들 수 있을 뿐 아니라, 일부 업체는 수수료 일부를 데이터 브로커에게 지급해 이름을 지우기도 함
      이런 놈들이 그 활동으로 돈을 받게 만들고 싶지 않음
      참고로 Mylife.com의 창업자이자 CEO는 Jeffrey Tinsley이고, 이 데이터 브로커 장사로 꽤 큰돈을 번 듯함
    • 이 목록 작성자가 광고하는 서비스를 써본 사람이 있는지 궁금함. 흥미롭고 유용해 보임
      https://securityplanner.consumerreports.org/
    • 훌륭한 목록임
      처음 든 생각은 “왜 이 정보를 전부 README에 넣고, 긁어가기 쉬운 JSON 목록으로 만들지 않았을까”였음
      그다음엔 “그냥 AI 친구에게 README를 훑게 하고 탈퇴 작업을 전부 시킬 수 있지 않을까”라고 생각함

  • 옛날 Ironport가 떠오름
    Ironport는 기업용 랙마운트 스팸 필터링 장비를 만들었고, 동시에 기업용 랙마운트 스팸 발송 장비도 만들었음
    그게 평판을 망쳤음

    • Ironport의 평판을 망친 건 Cisco가 인수한 뒤 제품을 방치하면서 가격을 동시에 올린 쪽에 더 가까움
      인수 전에는 정말 훌륭한 장비였음

  • 평판 보호 회사 중에 다른 전략을 쓰는 곳이 있는지 궁금함
    서비스를 요청한 사용자마다 그 사람과 같은 이름의 가짜 신원 수천 개를 만들되, 원래 사용자와 거의 비슷하지만 완전히 맞지는 않는 엉성한 프로필로 채우는 방식임
    누군가 그 사람을 검색하면 결과가 쓰레기 정보로 범람하게 됨
    유출된 신원을 삭제하기가 너무 어렵다면, 숲속에 나무를 숨기는 편이 나을 수도 있음

    • 전 영국 총리가 자기 스캔들을 숨기려고 비슷한 방식의 검색엔진 교란 정보를 뿌린 적이 있음
      한 인터뷰에서 취미가 작은 빨간 버스를 그리는 것이라고 말했는데, 숨기려던 스캔들은 Brexit 캠페인에 쓰인 실제 빨간 버스의 허위·저속 광고였음
    • 평판 관리 회사들이 실제로 그렇게 함
      보통은 허위 정보 유포라고 부름

  • “인터넷의 최고봉” 같은 부류에서 개인적으로 제일 좋아하는 건, 지구상의 모든 사람에게 “체포 기록 발견”이 있다고 주장하고 49달러를 내면 보여준다는 사이트들임
    본인이라면 99달러를 내고 삭제하라고 함

    • 미국에서는 실제로 그렇게 되는 길 위에 있긴 함
      진지하게 말하면, 양쪽 모두와 거래하거나 보호비를 파는 모델은 꽤 수익성 좋은 사업임

  • 여기서 언급할 만한 YC 회사가 하나 있음. 탈퇴 요청을 제출해주고, 내게는 Onerep보다 훨씬 덜 수상해 보임
    https://www.optery.com/
    관련자는 아니고 그냥 사용자임

  • 요즘 이런 일이 많이 보임. 어쩌면 예전보다 더 잘 보이는 것뿐일 수도 있음
    또 다른 예로, 당파적으로 갈라진 양쪽 모두에게 정치 티셔츠를 파는 사람들이 있음. 그중엔 공격적이거나 불쾌한 것도 많음

    • 판매자가 자신이 그 명분을 대표한다고 주장하지 않는다면 나쁘다고 보진 않음
    • 미국에서는 한쪽만 굿즈를 사는 것처럼 느껴짐
      특히 공격적이고 불쾌한 굿즈는 더 그렇음
    • Twitter에는 그런 굿즈 스팸이 지금 정말 널려 있음
      초당파성과 감정이 워낙 높아서 수익이 어느 정도일지 자주 궁금해짐
    • Elvis의 매니저도 “I hate Elvis” 배지로 이런 일을 했음
      다만 완전히 같은 건 아님. 여기서는 필요하지 않은 서비스를 사도록 시장을 의도적으로 속이는 것이고, 사실상 공갈 사업에 가까움

  • 검색엔진이 나에 대해 0건을 반환한다면 괜찮은 상태임
    개인정보를 함부로 공개된 곳에 올리지 말아야 함. LinkedIn 프로필도 포함됨
    사업주라면 해법을 찾지 못했지만, 그 경우에도 노출은 최대한 줄이는 편이 좋음

답변달기