프랑스 항공모함의 실시간 위치가 피트니스 앱으로 노출되다 — Strava가 만든 군사 보안의 허점

피트니스 앱 하나가 항공모함을 추적했다

프랑스의 대표 일간지 르몽드(Le Monde)가 충격적인 탐사보도를 발표했습니다. 프랑스 해군의 유일한 핵추진 항공모함인 샤를 드골함(Charles de Gaulle)의 실시간 위치를, 승조원들이 사용하는 피트니스 앱 Strava의 데이터만으로 추적할 수 있었다는 내용입니다. 르몽드 취재팀은 이 프로젝트를 'Stravaleaks'라고 명명했으며, 이는 단순한 개인정보 유출을 넘어 국가 안보 차원의 심각한 OPSEC(운영 보안) 실패 사례를 보여줍니다.

어떻게 가능했는가: 위치 데이터의 연결고리

Strava는 전 세계 1억 명 이상이 사용하는 피트니스 추적 앱입니다. 달리기, 자전거, 수영 등 운동 기록을 GPS 데이터와 함께 저장하고, 기본 설정에서 이 활동 기록이 공개 프로필로 노출됩니다. 문제는 이 데이터가 생각보다 훨씬 많은 것을 말해준다는 점입니다.

르몽드 취재팀의 방법론은 이렇습니다. 먼저 소셜 미디어(LinkedIn, Facebook 등)에서 샤를 드골함 승조원으로 확인되는 인물들을 식별합니다. 그 다음 이들의 Strava 프로필을 찾아 운동 기록을 분석합니다. 항공모함이 항구에 정박해 있을 때 승조원들은 육상에서 운동하므로 정확한 GPS 좌표가 기록됩니다. 그런데 핵심은 바다 위에서도 추적이 가능했다는 것입니다. 승조원들이 갑판 위에서 조깅을 하거나 함내 트레드밀에서 운동할 때도 GPS 신호가 잡히기 때문에, 대양 한가운데서 운동 기록이 찍히면 그것이 곧 항공모함의 위치가 됩니다.

이것은 단순히 한두 명의 부주의한 승조원 문제가 아닙니다. 여러 승조원의 데이터를 교차 검증하면 항공모함의 이동 경로를 거의 실시간으로 재구성할 수 있습니다. 출항 일시, 기항지, 작전 해역까지 모두 드러나는 것입니다.

이것은 처음이 아니다: 반복되는 피트니스 앱 보안 사고

사실 피트니스 앱이 군사 보안을 위협한 사례는 이번이 처음이 아닙니다. 2018년에 Strava가 전 세계 사용자들의 운동 경로를 집계한 '히트맵(Global Heatmap)'을 공개했을 때, 이라크와 시리아에 있는 미군 비밀 기지의 윤곽이 고스란히 드러나 큰 논란이 됐습니다. 사막 한가운데 아무것도 없는 곳에서 조깅 경로가 기지 형태로 빛나고 있었던 것입니다. 이후 미 국방부는 작전 지역에서의 피트니스 앱 사용을 제한하는 지침을 발표했습니다.

그러나 8년이 지난 지금, 프랑스 해군에서 동일한 문제가 반복되고 있다는 것은 OPSEC 교육과 정책 집행이 기술의 발전 속도를 따라가지 못하고 있음을 보여줍니다. 현대 스마트폰과 웨어러블 기기는 위치 데이터를 수집하는 센서를 다수 내장하고 있으며, 사용자가 의식하지 못하는 사이에 데이터가 클라우드로 전송됩니다. 비행기 모드를 켜더라도 GPS 로그가 로컬에 저장되었다가 나중에 동기화될 수 있습니다.

개발자 관점에서 보는 위치 데이터의 위험성

이 사건은 소프트웨어 개발자들에게 중요한 시사점을 던집니다. 첫째, 데이터 최소화 원칙(Data Minimization)의 중요성입니다. Strava는 서비스 특성상 정밀한 위치 데이터가 필요하지만, 그 데이터의 공개 범위와 보존 기간에 대한 설계 결정이 보안에 직접적 영향을 미칩니다. 기본값이 '공개'인 것과 '비공개'인 것은 전혀 다른 결과를 만듭니다.

둘째, 메타데이터의 힘입니다. 개별적으로는 무해해 보이는 데이터(누군가 오전 6시에 3km를 뛰었다)가 시간 축과 공간 축으로 집계되면 민감한 정보(군함의 위치와 이동 패턴)로 변환됩니다. 이른바 '모자이크 효과(mosaic effect)'로, 개별 타일은 의미 없지만 모아놓으면 전체 그림이 보이는 것입니다. API를 설계할 때 개별 엔드포인트의 데이터는 무해해 보여도, 여러 엔드포인트를 조합했을 때 어떤 정보가 추론 가능한지 고려해야 합니다.

셋째, 서드파티 데이터 통합의 위험입니다. 현대 앱들은 수많은 서드파티 SDK와 API를 사용합니다. 각각은 필요한 최소한의 데이터만 수집한다고 주장하지만, 여러 서비스에 흩어진 데이터가 결합되면 의도하지 않은 프라이버시 침해가 발생합니다.

한국 개발자에게 주는 시사점

한국에서도 카카오맵, 네이버 지도, 삼성 헬스 등 위치 기반 서비스가 광범위하게 사용되고 있습니다. 특히 군 복무 중인 장병들의 스마트폰 사용이 허용된 이후, 비슷한 위험이 존재합니다. 개인정보보호법과 위치정보법이 있지만, 사용자가 자발적으로 공개한 데이터까지 규제하기는 어렵습니다.

위치 기반 서비스를 개발하는 팀이라면, 이번 사건을 계기로 몇 가지를 점검해볼 필요가 있습니다. 사용자의 위치 데이터 공개 기본값이 무엇인지, 위치 정밀도를 의도적으로 낮추는(fuzzing) 옵션을 제공하는지, 그리고 특정 구역(군사시설, 정부기관 등)에서의 위치 기록을 자동으로 마스킹하는 기능이 필요한지 등을 고려해보시기 바랍니다.

마무리

피트니스 앱의 공개 운동 기록만으로 항공모함을 추적할 수 있다는 사실은, 현대 사회에서 위치 데이터가 얼마나 강력한 도구이자 위험 요소인지를 극명하게 보여줍니다. 여러분이 만드는 서비스에서 위치 데이터를 다루고 있다면, 그 데이터가 원래 의도와 다른 목적으로 사용될 수 있는 시나리오를 얼마나 고려하고 계신가요?