8년 전 그 사건이 아직 안 끝났어요
미국 뉴멕시코주에서 메타(옛 페이스북)에 250억 달러, 우리 돈으로 30조 원이 넘는 벌금을 내라는 명령이 나왔어요.
사건 이름이 낯익죠? 2018년 전 세계를 떠들썩하게 했던 케임브리지 애널리티카(Cambridge Analytica) 사건이 맞아요. 벌써 8년이나 지났는데 법정 다툼은 아직 이어지고 있고, 금액은 오히려 역대급으로 커졌어요.
비교해 볼까요? 2019년 미국 연방거래위원회(FTC)가 같은 사건으로 매긴 벌금이 50억 달러였어요. 그때는 이게 프라이버시 위반으로는 사상 최대 금액이었거든요. 이번에는 주 단위 소송 하나에서 그 다섯 배가 나온 거예요. 메타의 2024년 연간 순이익이 약 620억 달러였으니까 1년 순이익의 40% 정도가 한 번에 나갈 수 있는 규모예요. 다만 메타가 항소할 가능성이 높아서 실제로 이 금액을 다 낼지는 좀 더 지켜봐야 해요.
그래도 이 뉴스를 '빅테크가 또 벌금 맞았네' 하고 넘기기엔 아까워요. 이 사건은 결국 API 설계에서 시작됐거든요. 개발자가 매일 다루는 바로 그 영역이요.
퀴즈 앱 하나가 8,700만 명의 데이터를 가져간 방법
2014년에 케임브리지대 연구자 알렉산드르 코건이 'thisisyourdigitallife'라는 성격 테스트 앱을 만들었어요. 페이스북 계정으로 로그인해서 퀴즈를 푸는 흔한 앱이었죠. 실제로 앱을 설치한 사람은 27만 명 정도였어요.
문제는 당시 페이스북의 Graph API v1.0이었어요. Graph API가 뭐냐면, 외부 앱이 페이스북 데이터(프로필, 친구 목록, 좋아요 같은 것)를 가져갈 수 있게 페이스북이 공식으로 열어둔 통로예요. 이 버전에는 friends_likes, friends_birthday 같은 친구 데이터 권한이 있었어요. 그러니까 내가 앱에 동의하면 앱이 내 정보는 물론 내 친구들 정보까지 가져갈 수 있었던 거예요. 친구들은 그 앱을 깔지도 않았고, 동의한 적도 없는데요.
일상에 비유하면 이래요. 어떤 가게에 회원가입하면서 '연락처 접근 허용'을 눌렀는데, 가게가 내 주소록에 있는 모든 사람의 정보와 취미까지 가져간 셈이에요. 한 사람한테 친구가 보통 수백 명씩 있으니까 27만 명이 최대 8,700만 명으로, 300배 넘게 불어났어요. 이 데이터가 정치 컨설팅 회사인 케임브리지 애널리티카로 넘어가서 2016년 미국 대선 같은 선거의 정치 광고 타기팅에 쓰였다는 의혹이 사건의 핵심이에요.
사후 처리는 더 아쉬웠어요. 페이스북은 2015년에 이 사실을 알고 데이터를 지우라고 요구했는데, 상대방이 '삭제했다'는 확인서를 써주는 걸로 끝냈거든요. 정말 지워졌는지 기술적으로 확인할 방법이 없었던 거예요. 데이터는 API 밖으로 한번 나가면 되돌릴 수 없다는 걸 잘 보여준 사례예요.
사실 페이스북은 2014년에 Graph API v2.0을 내놓으면서 친구 데이터 권한을 없앴어요(기존 앱은 2015년까지 유예). 구멍을 알고 막긴 했지만, 그 전에 이미 빠져나간 데이터가 문제가 된 거예요.
규제의 흐름: 연방에서 주 정부로, 미국에서 전 세계로
이번 판결에서 눈여겨볼 점은 주 정부가 직접 나섰다는 거예요. 미국에는 아직 연방 차원의 포괄적인 개인정보보호법이 없어서 그 빈자리를 주 정부들이 채우고 있거든요. 2024년에는 텍사스주가 얼굴 인식(생체정보) 문제로 메타한테서 14억 달러 합의금을 받아냈어요. 주 단위 소송이 하나둘 거액으로 끝나면서, 빅테크 입장에서는 이제 연방 규제보다 50개 주가 더 무서운 상황이에요.
유럽도 비슷해요. 2023년 아일랜드 데이터보호위원회는 EU 이용자 데이터를 미국으로 옮긴 문제로 메타에 12억 유로 과징금을 매겼어요. GDPR 이후로 '개인정보 위반 벌금은 매출 규모로 매긴다'는 공식이 자리 잡은 거예요.
한국도 남 얘기가 아니에요. 개인정보보호위원회는 2020년에 페이스북이 국내 이용자 최소 330만 명의 정보를 본인 동의 없이 다른 사업자에게 넘겼다며 과징금 67억 원을 부과했어요. 바로 이 친구 정보 제공 구조가 문제였죠. 2022년에는 맞춤형 광고에 쓰려고 동의 없이 행태정보를 모은 문제로 구글에 692억 원, 메타에 308억 원 과징금이 나왔어요.
한국 개발자가 챙겨야 할 교훈
'우리 회사는 페이스북 같은 플랫폼도 아닌데요?' 싶을 수 있어요. 그래도 카카오나 네이버 소셜 로그인을 붙이거나 외부 파트너에게 API를 열어주는 일은 이제 정말 흔하잖아요. 실무에서 바로 점검해 볼 만한 것들을 모아봤어요.
- 최소 권한 원칙: 소셜 로그인 동의항목을 '나중에 쓸지도 모르니까' 넉넉하게 받지 마세요. 지금 기능에 꼭 필요한 것만 받는 게 법적으로도 보안상으로도 안전해요.
- 제3자 데이터 차단: 내 API가 요청한 본인이 아니라 다른 사람의 데이터까지 돌려주고 있지 않은지 확인해 보세요. 케임브리지 애널리티카 사건의 본질이 바로 이거예요.
- 파트너 API 감사 로그: 외부 업체에 API를 열었다면 누가, 언제, 어떤 데이터를, 얼마나 가져갔는지 기록하세요. 평소보다 수십 배 많은 호출 같은 이상 패턴도 잡아낼 수 있어야 해요.
- 삭제는 확인서가 아니라 설계로: 데이터를 넘긴 뒤에 '지워주세요'라고 하는 건 사실상 부탁일 뿐이에요. 처음부터 꼭 필요한 데이터만, 필요한 기간만 넘기는 구조로 만드는 게 답이에요.
마무리
한 줄 정리: API 권한 설계 하나가 몇 년 뒤 수십조 원짜리 청구서로 돌아올 수 있다는 걸 케임브리지 애널리티카 사건이 다시 보여주고 있어요.
여러분 서비스에서는 소셜 로그인 동의항목이나 외부 API 권한을 얼마나 꼼꼼하게 관리하고 있나요? '일단 다 받아두자'와 '꼭 필요한 것만' 사이에서 고민해 본 경험이 있다면 댓글로 나눠주세요.
🔗 출처: Hacker News