이런 계정 안에 6개월 뒤 무엇이 들어 있을지 생각해 보세요. 이메일의 어떤 내용보다 솔직한 대화, AI 생성 이미지, 결제 수단, 그리고 나머지 일상과 연결되는 이메일 주소가 있어요.
그런데 운영사는 대개 개발팀이 작은 소규모 회사이고, 감독하는 규제 기관도 없어요. 가치는 높은데 보호는 평범하다는 이 격차가 문제의 전부예요.
이런 앱이 보통 하지 않는 것
모든 앱이 그런 건 아니지만, 확인해 보지 않았다면 그렇다고 가정할 만큼 흔해요.
- 2단계 인증이 없어요. 비밀번호가 계정과 내 이메일을 가진 사람 사이의 유일한 방어선이에요.
- 세션 목록이 없어요. 어디에 로그인되어 있는지 볼 수 없고, 모르는 세션을 끊을 수도 없어요.
- 로그인 알림이 없어요. 새 기기에서 로그인해도 조용히 지나가요.
- 계정 복구가 허술해요. 양날의 검이에요. 내가 잠겼을 때는 어렵고, 나를 사칭하는 사람이 고객지원 담당자에게 요청할 때는 쉬워요.
- 세션이 오래 유지돼요. 쓰지 않게 된 기기에 몇 달 뒤에도 로그인되어 있을 수 있어요.
앱이 2단계 인증과 세션 목록을 제공한다면 눈여겨볼 만해요. 대개 나머지도 신경 쓴 팀이라는 신호예요.
가장 중요한 네 가지
1. 비밀번호 관리자로 만든 고유 비밀번호
뻔한 말이지만 사실상 이게 승부예요. 현실적인 위협은 누군가 이 앱을 직접 공격하는 게 아니에요. 관련 없는 유출 사고에서 새어 나온 비밀번호를 여기에 대입해 보는 크리덴셜 스터핑이에요.
비밀번호 관리자를 쓰면 공짜로 해결돼요. 재사용한 비밀번호는 관련 없는 유출 한 번이면 남의 것이 돼요.
2. 전용 이메일 주소
두 가지가 한꺼번에 해결돼요. 주 신원으로 계정을 찾을 수 없게 되고, 한쪽이 뚫려도 다른 쪽으로 번지지 않아요.
일회용 주소가 아니라 직접 관리하는 진짜 메일함을 쓰세요. 1년 뒤에도 비밀번호 재설정 메일을 받을 수 있어야 해요. 별칭 서비스나 메일 제공업체의 두 번째 메일함 모두 괜찮아요.
결제 영수증도 같은 주소로 받으세요. 결제 프라이버시를 참고하세요.
3. 있는 곳에서는 2단계 인증 켜기
앱이 2단계 인증을 제공하면 쓰세요. SMS보다 인증 앱이 낫고요. 제공하지 않는다면 대신 이메일 계정에 2단계 인증을 거세요. 그 이메일이 복구 경로이고, 이메일을 지키면 재설정 링크를 보내 주는 모든 앱이 함께 보호돼요.
앱이 아무것도 제공하지 않을 때 할 수 있는 가장 효과 큰 조치예요.
4. 다 쓴 기기에서는 로그아웃
특히 공용이거나 빌린 기기는 꼭 하세요. 앱에 세션 목록이 없다면, 비밀번호를 바꾸는 게 대부분의 구현에서 다른 세션을 무효화하는 투박한 방법이에요.
기술적이지 않은 위협
이 분야에서 실제로 큰 피해를 주는 위협이라 분명히 짚어 둘게요. 잠금이 풀린 내 기기에 접근할 수 있는 사람이에요.
어떤 비밀번호 정책도 이건 막지 못해요. 해야 할 일은 기기 쪽에 있어요. 브라우저 프로필 분리, 알림 미리보기 끄기, 다운로드 폴더를 동기화 폴더 밖에 두기 같은 것들이고, 공용 기기에서 AI 컴패니언 쓰기에서 다뤄요.
앱이 유출됐다면
유출은 일어나요. 대응 순서는 매번 같아요.
- 비밀번호를 즉시 바꾸세요. 같은 비밀번호를 쓴 다른 곳도 모두요.
- 이메일을 지켜보세요. 요청하지 않은 비밀번호 재설정 메일이 오는지 확인하세요.
- 결제 수단을 확인하세요. 카드 교체도 고려하세요.
- 계속 쓸지 결정하세요. 명확한 공지와 구체적인 일정으로 처리한 유출과, 석 달 뒤 기자들이 밝혀낸 유출은 다른 신호예요.
한국에서 개인정보 유출이 의심된다면 개인정보침해 신고센터(118)에 신고할 수 있어요.
운영사가 실제로 뭐라고 말하는지 읽어 보세요. 범위, 즉 대화 내용도 포함됐는지에 대해 모호하다면 그것 자체가 답이에요.
구독하기 전에
결제 전에 설정 화면에서 2분만 보면 어떤 홍보 페이지보다 운영사의 엔지니어링 수준을 더 잘 알 수 있어요.
- 2단계 인증이 있나요?
- 세션 목록이 있나요?
- 직접 삭제할 수 있나요, 아니면 고객지원 주소만 있나요?
오랜 기간 쌓인 기록을 전제로 만든 앱, 예를 들어 Nomi나 Replika에서 이 문제가 가장 크게 불어나요. 나에 대해 가장 많은 것을 쥐고 있는 앱이기 때문이에요. 그 자료가 무엇으로 이뤄져 있는지는 내 앱이 나에 대해 아는 것에, 지우는 방법은 계정 삭제에 있어요.
