6년 전 한 개발자가 "크롬이 구글 사이트를 사용자의 사이트 데이터 설정에서 제외한다"는 글을 공개해 상당한 반향을 일으킨 적이 있다. 당시 문제는 브라우저를 닫을 때 모든 사이트 데이터를 자동 삭제하도록 설정해두어도, 유독 구글 소유 사이트의 데이터만 남는 버그였다. 해당 보고 이후 구글은 결국 이 문제를 수정했다. 그런데 같은 개발자가 최근 크롬에서 이와 유사한 현상이 다시 나타나고 있다고 보고했다. 6년 만에 되풀이된 셈이다.
무엇이 다시 문제가 되었나
이번 보고는 크롬 152.0.7977.83 버전을 기준으로, 두 대의 서로 다른 맥에서 재현되었다고 한다. 보고자는 우선 오해의 소지를 없애기 위해 크롬의 기본 검색 엔진을 구글에서 덕덕고(DuckDuckGo)로 바꿔, 이 설정이 원인이 아님을 확인했다. 또한 크롬에 로그인하지 않았을 뿐 아니라 아예 크롬 로그인 자체를 차단해둔 상태였다.
확인 절차는 단순하다. 온디바이스 사이트 데이터 설정(chrome://settings/content/siteData)에서 기본 동작을 "모든 창을 닫으면 사이트가 저장한 데이터를 삭제"로 지정한다. 이 시점에 저장된 사이트 데이터 목록(chrome://settings/content/all)은 비어 있다. 그런 다음 열려 있던 유일한 크롬 창을 닫고 다시 목록을 확인하면 google.com의 사이트 데이터가 남아 있다는 것이다. 이 데이터는 크롬을 완전히 종료했다가 다시 실행해도 사라지지 않았고, 수동으로 삭제한 뒤 같은 과정을 반복해도 동일하게 재발했다.
남는 데이터의 성격
보고자가 확인한 바로는 예외 처리되는 사이트는 www.google.com 하나뿐이다. 맥의 크롬 애플리케이션 지원 폴더 안을 들여다본 결과, 남아 있는 데이터는 쿠키와 로컬 스토리지, 세션 스토리지로 구성되어 있었다. 이 문제가 정확히 어느 버전부터 도입되었는지는 특정하기 어렵다. 보고자의 기본 브라우저는 사파리이고 크롬은 파이어폭스와 함께 주로 테스트 용도로 자주 쓰는 정도이기 때문에, 상시 사용 환경에서 언제부터 나타났는지 단정하기 어렵다는 것이다.
실무 관점에서 이 현상이 갖는 의미는 분명하다. 사용자가 명시적으로 "창을 닫으면 데이터를 지워라"라고 지정한 프라이버시 설정이 특정 도메인에서 지켜지지 않는다면, 이는 설정의 신뢰성 자체를 흔드는 문제다. 쿠키와 로컬·세션 스토리지가 남는다는 것은 로그아웃 상태에서도 브라우저 세션 간 식별 정보가 유지될 수 있다는 뜻이며, 프라이버시에 민감한 조직이나 공용 단말 환경에서는 실제 위험 요소가 된다. 정책적으로 브라우저 데이터 삭제를 강제하는 곳이라면 UI 설정만 믿지 말고 실제 저장소 폴더를 점검하는 검증 절차를 두는 편이 안전하다.
의도인가 결함인가
보고자는 이를 두고 음모론보다는 핸런의 면도날, 즉 악의로 설명할 수 있는 일을 무능으로 설명하는 편을 택하겠다고 밝혔다. 다만 그러면서도 구글 정도의 자금력과 엔지니어를 갖춘 회사가 이런 결함을 반복하는 것은 변명의 여지가 없다고 지적했다. 특히 6년 전 같은 유형의 버그를 이미 수정한 전례가 있는 만큼, 회귀(regression)를 잡아낼 단위 테스트조차 마련되지 않았느냐는 비판이 뒤따른다. "빠르게 움직이며 부수는" 개발 문화 대신 "천천히 움직이고 아무것도 부수지 말라"는 그의 표현은, 핵심 프라이버시 기능일수록 QA와 회귀 테스트가 뒷받침되어야 한다는 원론적이지만 유효한 지적이다.
이 보고에는 몇 가지 한계도 분명하다. 현재까지 확인된 것은 맥OS의 특정 크롬 버전에서 한 명의 관찰자가 재현한 결과이며, 윈도우나 리눅스, 다른 버전에서도 동일하게 나타나는지는 검증되지 않았다. 구글 측의 공식 입장이나 원인 분석도 아직 없다. 따라서 현시점에서는 확정된 취약점이라기보다 재현 가능한 이상 동작으로 보는 편이 정확하다. 그럼에도 6년 전 동일한 문제가 언론의 주목을 받은 뒤에야 수정되었다는 전례를 감안하면, 자신의 프라이버시 설정을 신뢰하는 크롬 사용자라면 한 번쯤 chrome://settings/content/all에서 실제 잔류 데이터를 직접 확인해볼 만하다.