애플, IOS 앱에서 사생활 침해와 관련된 정보 수집 관련 코드를 제거할 것을 개발자들에게 요구

애플이 개인정보 유출과 관련된 FaceTime 버그 픽스를 내 놓자 마자, 다른 곳에서 개인정보 유출과 관련된 또 다른 이슈가 또 다시 발생했습니다. 

어제, TechCrunch는 기사를 통해, 매우 신뢰할 만한 기업들이 내 놓은 다수의 IOS 앱들이 사용자들에 대한 공지 없이, 앱 이용자듸 사용패턴 예를 들자면, Tap, Swipe등의 행동패턴 정보와 App의 전체 화면 캡쳐, Text 입력 값등을 수집하는 이른바 Screen Recording 기능을 포함하고 있다는 점을 지적했습니다.  

기사에 따르면, Abercrombie & Fitch, Hotels.com, Air Canada, Holister, Expedia, Singapore Airlines IOS 앱들은 Multi-platform 분석도구인 Glassbox라는 IOS 앱 SDK를 사용하여 만들어 졌는데, 이 Glassbox SDK의 기능 중에 위에 언급한 것과 같은 정보수집 및 확인기능(Session replay)이 포함되어 있어, 사용자의 앱으로 부터 Screenshot이나 Recording을 하고, 이를 replay 할 수 있다고 합니다. 

Google에서 검색한 Glassbox 결과

위에 보시는 바와 같이 Glassbox의 소개 문구는 다음과 같이 기술되어 있습니다. 

"Imagine if your website or mobile app could see exactly what your customers do in real time, and why they did it? This is Glassbox. The first Enterprise customer ..."

"귀하의 웹사이트나 모바일 앱이 고객들이 실 시간으로 정확히 무엇을 하고 있는지 그리고 왜 그랬는지 볼 수 있다고 상상해 보세요. 이것이 Glassbox 입니다."

물론 이러한 정보수집의 취지는 올바른 목적으로 사용한다면 사용자가 자사의 앱을 어떻게 사용하는지 소위 사용 패턴을 수집 분석함으로써, 보다 좋은 서비스를 개발하는데, 이용하기 위함이고 이 자체가 불법적이라고는 정의할 수 없습니다. 문제는 정작 사용자들은 이러한 정보들이 수집되고 분석된다는 사실을 알지 못한다는 데 있는 것입니다.  

TC의 분석에 의하면, Air Canada 같은 일부 앱들은 여권번호, 신용카드 정보등이 Masking 처리 되지 않은 체 그대로 스크린 샷되고, 이들 정보를 데이터 베이스화 함으로써, 직원들이 이 데이터를 쉽게 들여다 볼 수 있는 심각한 잠재적 개인정보 유출 문제를 가지고 있다고 합니다.  아래는 App Analyst가 지난 1월 4일날 공개한 영상으로, GlassBox SDK를 이용하여 만든 Air Canada의 모바일 앱을 통해 수집된 정보의 실체를 보여 주는 동영상 입니다. 

일부 정보들은 마스킹처리가 되지만, 일부 정보들은 마스킹 처리가 되지 않고 그대로 노출된 것을 확인할 수 있습니다. 

이 문제가 어제와 오늘 크게 이슈화 되면서, 애플에서 신속하게 반응을 내 놓았습니다. 애플의 대변인은 TechCrunch에게 보낸 이메일을 통해,
"사용자들의 프라이버시를 보호하는 것은 애플 생태계를 유지하는데 매우 중요하다. 앱 스토어 리뷰 가이드 라인에 따르면 앱은 명시적으로 사용자에게 동의를 요청해야 하고, 사용자 활동 또는 기타 정보를 기록하려면, 매우 명확한 시각적 표현을 사용자에게 제공해야 한다고 되어 있다, 따라서 우리는 이 엄격한 가이드 라인을 위반한 개발자들에게 통보를 했으며, 필요한 경우 즉각적인 조취를 취할 것이다" 라고 언급을 했다고 합니다. 

이슈화가 된 만큼, 최소한 IOS나 macOS용 앱에서는 사생활 침해와 관련된 정보수집 기능을 포함한 앱들이 퇴출되거나 혹은 관련 기능이 삭제  또는 사용자에 대한 명시적인 공지가 강화될 것으로 보여 집니다. 늦었지만, 좀 더 안전한 환경이 조성된다는 점에서 긍정적인 평가를 하고 싶습니다. 

Glassbox와 같은 정보 수집 분석 도구들은 대부분 Multi-platform을 지향하고 있습니다. 즉, Android, Windows 플렛폼은 물론 웹 싸이트 에서도 이들 SDK들은 사용되고 있을 것이고, 이를 이용하는 개발자들의 자의적인 선택에 의해 이러한 기능들이 내제 되어 있을 수 있습니다. 앞서 언급한데로, 수집정보의 범위가 적절하게 제한되어 있고, 민감한 개인정보이 유출되지 않도록 처리하며, 수집기능 자체가 해당 Flatform의 Snadbox안에서 이뤄지는 기능이라면 불법적인 것은 아닙니다. 다만, 해당 웹을 사용하는 사용자들은 이러한 수집 여부를 인지할 수 있어야 하며,  수집정보의 범위, 처리, 활용 내역등을 알아야 한다는 점이 중요한 것이겠죠. 

알게 모르게 수집되는 개인 프라이버시가 얼마나 많을지,
빙산의 일각은 아닐런지...