정밀 위치정보 판매 금지

• 미국 광고기술 기반 감시 시스템 Webloc이 전 세계 최대 5억 대의 모바일 기기에서 정밀 위치데이터를 수집·판매하고 있음
• 이 데이터는 기기 식별자, 좌표, 앱 프로필을 포함하며, 미국 경찰·군·연방기관 등 다양한 정부 조직이 구매해 사용함
• Webloc은 Penlink의 Tangles 플랫폼과 통합되어, 익명 기기와 소셜 계정 연결을 통해 영장 없이 개인 식별이 가능함
• 이러한 데이터는 외국 정보기관에도 판매되어 국가안보 위험을 초래할 수 있으며, 법적 통제와 감독 부재가 문제로 지적됨
• 미국은 단순한 사용 제한을 넘어 정밀 위치데이터의 생성 및 판매 자체를 금지해야 하며, 버지니아주의 금지법 제정이 그 첫 사례로 평가됨

---

Webloc 감시 시스템의 실태

• Citizen Lab 조사에 따르면, 미국 광고기술(Adtech) 기반 감시 시스템 Webloc이 전 세계 최대 5억 대의 모바일 기기 데이터를 수집해 판매 중
  • 데이터에는 기기 식별자, 위치 좌표, 앱 프로필 정보 등이 포함
  • Webloc은 원래 Cobweb Technologies가 개발했으며, 2023년 Penlink와 합병 후 Penlink가 판매 중
• 유출된 기술 제안서에는 Webloc이 개별 기기를 추적하거나 목표 대상을 탐색하는 데 활용될 수 있음이 구체적으로 명시됨
  • 예시로, 아부다비의 한 남성이 하루 12회 이상 추적된 사례와 루마니아와 이탈리아에서 동시에 위치가 확인된 두 기기의 사례가 제시됨
  • Citizen Lab은 이 데이터의 세밀함을 “소름 끼칠 정도”라고 표현

정부기관과 법집행기관의 활용

• Webloc의 고객에는 미국 국토안보부(DHS), 이민세관단속국(ICE), 미군 부대, 인디언 사무국 경찰, 그리고 캘리포니아·텍사스·뉴욕·애리조나 주 경찰 등이 포함
  • 투손 경찰국은 Webloc을 이용해 연쇄 담배 절도 용의자를 특정했으며, 반복적으로 범행 현장 근처에 있던 단일 기기를 추적해 용의자의 주소를 찾아냄
• Webloc은 Penlink의 주력 제품이 아닌 Tangles라는 웹·소셜미디어 분석 플랫폼의 부가 기능
  • Tangles는 이름, 이메일, 전화번호, 사용자명 등으로 온라인 계정을 검색하고, 게시물·관계·활동·관심사를 분석
  • 지리정보 분석, 네트워크 분석, 타깃 카드 생성, 경보 기능 등을 제공
  • Webloc과 통합될 경우, 익명 기기 식별자와 소셜 계정 연결이 가능해져 영장 없이 개인 식별이 가능

법적·윤리적 문제와 국가안보 위험

• 이러한 도구들은 수사에 유용하지만, 강력한 승인 및 감독 절차 없이 누구나 구매해 사용할 수 있는 것은 위험
  • 투손 경찰의 내부 절차는 보고서에 명시되지 않음
• 미국 내에서는 이러한 도구 사용에 대한 법적 가드레일이 필요하며, 동시에 국가안보 위험도 존재
  • 동일한 데이터가 외국 정보기관에 의해 미국 이익을 겨냥하는 데 사용될 수 있음
• Penlink의 해외 고객에는 헝가리 국내정보기관과 엘살바도르 국가경찰이 포함되어 있으며, 이들 기관도 자국 내 감시에 위치데이터를 활용
  • Citizen Lab은 이들이 미국을 직접 겨냥하지는 않는다고 보지만, 정밀 위치데이터가 전 세계적으로 정보수집에 활용 가능하다는 점을 경고

금지 조치와 정책 변화

• 미국은 단순히 데이터 사용을 제한하는 수준을 넘어, 정밀 위치데이터의 생성 및 판매 자체를 금지해야 함
• 긍정적인 변화로, 버지니아주가 최근 고객의 정밀 위치데이터 판매를 금지하는 법을 제정
  • 연방 차원의 포괄적 개인정보보호법이 지연되는 상황에서, 주 단위 조치가 실질적 대응책으로 평가됨
  • 그러나 전국적 금지 조치가 뒤따라야 함

AI를 활용한 해킹 캠페인 사례

• 보안업체 Gambit은 단일 해커가 두 개의 상용 AI 플랫폼을 이용해 멕시코 정부 기관 9곳을 침해한 사례를 분석
  • 수주 내에 수억 건의 시민 데이터를 탈취하고 세금 증명서 위조 서비스를 구축
• 해커는 세 개의 VPS를 사용했으며, Claude Code가 원격 코드 실행 명령의 약 75%를 생성 및 실행
  • 침입 후에는 OpenAI GPT-4.1 API를 이용해 수집 데이터를 분석하고 후속 공격을 계획
• 2025년 12월 26일, 해커는 Claude에게 “버그 바운티 테스트 중”이라며 로그 삭제 등 규칙을 제시
  • Claude가 합법성 증거를 요구하자, 해커는 claude.md 파일에 침투 테스트 치트시트를 저장해 세션 맥락을 유지
  • 20분 후, vulmap 스캐너를 통해 멕시코 국세청(SAT) 서버에 원격 접근 성공
• Claude는 공격 스크립트를 자동 생성하고 7분 만에 8가지 접근법을 시험해 성공 코드 작성
  • Claude가 일부 요청을 거부했으나, 해커는 명령 재구성·우회로 대부분 수행
  • 5일 만에 여러 피해 네트워크를 동시에 운영
• 해커는 GPT-4.1 API를 통해 자동 정찰 및 데이터 분석을 병행
  • 17,550줄짜리 Python 도구가 서버 데이터를 추출해 GPT-4.1에 전달
  • 여섯 개의 가상 분석가 페르소나가 305개 서버에서 2,957건의 구조화된 정보 보고서를 생성
• 공격 기술 자체는 새롭지 않으며, 대상 시스템은 보안 업데이트 미적용·지원 종료 상태였음
  • 그러나 AI가 단일 해커의 작업 속도와 효율을 팀 수준으로 가속시킨 점이 핵심
  • 방어 측면에서는 소규모 공격자도 대규모 피해를 유발할 수 있는 시대가 도래

이번 주 긍정적 사이버 보안 소식

• 미 법무부, 러시아 GRU가 운영한 가정용 라우터 기반 봇넷을 법원 승인 하에 해체
  • GRU는 TP-Link 라우터를 감염시켜 DNS 하이재킹을 수행, 중간자 공격에 활용
• FBI와 인도네시아 경찰, W3LL 피싱 키트를 이용한 글로벌 피싱 네트워크 해체
  • 인도네시아 경찰이 개발자를 체포했으며, 양국 간 첫 합동 사이버 수사로 평가
• Google, Device Bound Session Credentials(DBSC) 를 Windows용 Chrome 146에 도입
  • 인증 토큰을 기기별 암호키에 묶어 세션 탈취 방지
  • MacOS 버전도 곧 지원 예정

Risky Bulletin 주요 내용

• 악성 LLM 프록시 라우터가 실제 유통 중인 것으로 확인
  • 연구진은 Taobao, Xianyu, Shopify 등에서 판매되는 28개 유료 라우터와 GitHub 등에서 공개된 400개 무료 라우터를 분석
  • 일부는 명령 삽입, 지연 트리거, 자격 증명 탈취, 분석 회피 등 악성 행위를 수행
• 프랑스 정부, Windows 의존도 축소 및 Linux 전환을 위한 첫 단계 착수
  • DINUM(디지털총국) 이 선도 기관으로 지정되어 대규모 전환 시험
  • 4월 8일 다부처 세미나에서 각 부처별 이행 계획 및 대체 기술 준비를 약속
• 중국의 사이버 안보 전략 분석
  • 최신 5개년 계획(15차 FYP) 에서 “사이버 초강국(网络强国)” 건설을 5대 초강국 목표 중 하나로 명시
  • 나머지 네 분야는 제조·품질·항공우주·교통 초강국으로 설정

[GN⁺]

Hacker News 의견들

• 시장에 나오는 많은 위치 데이터가 익명화되어 있다고 하지만, 실제로는 특정 기기를 다시 식별할 수 있는 경우가 많음
  밤에 기기가 머무는 위치를 보면 집 주소를 추정할 수 있고, 거주자 정보(직장, 학교 등)와 대조하면 소유자를 알아낼 수 있음

  • 누군가의 집과 직장 위치를 알고 있다면, 익명화된 위치 데이터란 건 존재하지 않는 허구임
  • 20년 전 Netflix Prize 데이터셋에서도 비슷한 일이 있었음. 단순한 영화 평점 데이터만으로도 외부 데이터와 매칭해 개인을 식별할 수 있었음
    관련 논문은 여기에 있음
  • ‘익명화’라는 말은 결국 보안 연극에 불과함. 광고 기술 업계가 법이나 EULA의 허점을 찾아내기 때문에, 해결책은 아키텍처적 접근이어야 함
    예를 들어, 장치 식별자를 서버에 전달하기 전에 제거하는 stateless 프록시 구조로 바꾸면, 데이터베이스에 남는 정보 자체가 없어짐
  • 다른 데이터 브로커의 데이터를 재식별해주는 회사를 본 적 있음. 덕분에 브로커들은 익명화했다고 주장하지만, 실제로는 모든 정보가 노출됨
  • 충분히 큰 샘플 수가 있으면, 단순한 걸음 수 데이터조차 개인 식별이 가능해짐
    지금은 데이터베이스가 충분히 크지 않지만, 미래에는 불가능하지 않다고 생각함

• 영장이나 명시적 계약 없이 이런 데이터를 수집하는 행위는 금지되어야 함

  • 하지만 대부분의 사람은 EULA나 서비스 약관을 읽지 않음. 이미 그 안에 이런 조항이 들어 있을 가능성이 큼
  • 이런 추적은 기본적으로 비활성화(opt-out) 되어야 하고, 제3자 판매나 원래 목적 외 사용은 금지해야 함
  • 사실상 모든 EULA가 이런 데이터 수집을 허용하고 있음. 문제는 사람들이 동의한다는 점, 그리고 정부가 헌법을 우회해 데이터를 구매하거나 외주를 준다는 점임
  • GDPR도 시도했지만, 광고 기술 업계가 서사를 왜곡했고, 집행 부재로 인해 실효성이 떨어졌음

• 미국은 개인 데이터 개념이 거의 없음. HIPAA 일부를 제외하면 보호 체계가 부재함
  영국의 Data Protection Act 1998 같은 법만 있어도 많은 불법 행위를 막을 수 있을 것임

• 부유층과 권력층이 자신들이 추적당할 수 있음을 깨닫는 순간, 규제가 시작될 것임
  군대가 목표를 추적하고 제거할 때도 위치 데이터가 핵심인데, 이런 데이터가 브로커를 통해 너무 쉽게 거래되고 있음

  • 이런 데이터를 기반으로 한 ElonJet 스타일의 추적 서비스가 등장할 수도 있을 것 같음

• 프라이버시 논의는 항상 뒤늦게 반응하는 구조임
  감시 기술이 만들어지고, 악용되고, 폭로되고, 대중이 인식하고, 그제야 법이 만들어짐
  이런 피드백 루프는 너무 느리고, 근본적으로 소모적임. 완전히 다른 접근 방식이 필요함

  • 프라이버시 침해 자체를 범죄화해야 함. 절도처럼, 행위 방식이 아니라 결과로 판단해야 함
    데이터를 수집할 기술적 이유는 있을 수 있지만, 판매에는 정당한 이유가 없음

• 저작권법을 확장해 개인의 이동 경로를 ‘창작 표현’으로 보호하자는 아이디어를 제시함

  • 하지만 Cory Doctorow가 말했듯, 저작권을 프라이버시 대체 수단으로 쓰는 건 위험함
    위치 데이터는 창작물이 아니며, 누가 ‘기록자’인지조차 불분명함
    관련 글은 여기에서 볼 수 있음
  • 결국 서비스 약관에 “당신의 위치 정보를 전 세계적으로, 비독점적이며, 로열티 없이 사용할 수 있다”는 면책 조항이 추가될 것임

• 대부분의 사람은 위치 데이터의 위험성을 과소평가함
  브로커에게서 데이터를 사서 특정 주소를 지오펜싱하면, 그 사람이 어디를 다니는지, 누구와 어울리는지 모두 추적 가능함
  이는 Palantir나 권위주의 정부가 꿈꾸는 완벽한 통제 수단임

• 공공 기록을 들여다보다가 이상한 사례를 본 적 있음
  내 주변 모든 장소에 동일한 이름의 사람이 ‘이웃’으로 표시되어 있었음. 실제 인물인지, 가짜 프로필인지 알 수 없었음
  만약 이런 정보에 GPS 좌표까지 포함된다면, 개인의 일상 동선이 신용기록처럼 공개될 수도 있음

  • 참고로 GPS 외에도 위도·경도를 측정하는 다양한 GNSS 시스템이 존재함

• 관련 도구의 스크린샷과 세부 분석은 Citizen Lab 보고서에서 볼 수 있음

  • 이에 대한 HN 토론 스레드는 여기에 있음

• 이제는 영상 게시도 모든 등장 인물의 명시적 동의가 없으면 불법이어야 한다고 생각함
  가족 내 공유는 괜찮지만, 외부 공개는 모두의 동의가 필요함
  인플루언서 문화로 인해 사생활 침해가 돈이 되는 시대이므로, 법적 보호가 훨씬 강화되어야 함
  위치 데이터 역시 절대 판매되거나 노출되어서는 안 됨

  • 하지만 이런 법이 생기면 축제 영상, 정치 연설, 내부 고발 영상 등도 금지될 수 있음
    이미 괴롭힘은 범죄이므로, 불필요하게 억압적인 법을 만들지 않도록 주의해야 함