'쿠키 허용' 애걸하더니…'사이버 미행 허가증'이었나

[arte] 임근호의 책으로 세상 읽기

제임스 볼의 2020년 책 <21세기 권력>
수백조원 규모 인터넷 광고 산업 뒷이야기 담아

인터넷 공간에서 사람들 뒤를 쫓는 ‘타사 쿠키’
온오프라인서 개인정보 긁어모으는 ‘데이터 브로커’
‘맞춤형 광고’ 명목으로 개인정보 사고팔아

잇단 개인정보 유출 사고에 경각심 높아져
개인정보에 덜 의존하는 새로운 광고 시대 열릴까

당신이 어떤 사람인지 인터넷 광고업자들은 알고 있다. 당신이 보는 컴퓨터나 스마트폰 화면에 맞춤형 광고를 띄울 수 있는 이유다. 별일 아니라고 생각할 수 있다. 한국이라면 이미 개인정보가 다 털려 매일 스팸 문자와 전화에 시달리고 있으니 말이다.

그런데 인터넷 광고는 더 체계적이다. 당신에 대해 더 많은 것을 알고 있다. 시장 규모는 세계적으로 수백조 원에 이른다. 구글 페이스북 아마존 등 알만한 기업이 주요 플레이어다. 스팸과는 비교가 되지 않을 만큼 엄청난 판돈이 걸린 시장이란 얘기다.

영국 저널리스트 제임스 볼이 2020년 쓴 책 <21세기 권력>(The System: Who Owns the Internet, and How It Owns Us)은 이런 인터넷 광고 산업에 대한 내밀한 이야기를 담았다.

그는 가디언 탐사보도팀에서 일하며 퓰리처상을 받기도 한 실력 있는 작가다. 책은 인터넷 광고뿐 아니라 인터넷이 실제로 어떻게 운영되고 작동하는지에 대해 사람들이 잘 모르는 이야기들을 들려준다.

인터넷 세상에서 사람들은 추적당하고 있다

인터넷 광고의 핵심은 ‘타사 쿠키’(third-party cookie)에 있다. 쿠키는 웹사이트에 접속할 때 사용자의 컴퓨터에 만들어지는 작은 텍스트 파일이다. 원래는 사이트 접속자를 식별하기 위한 용도였다. 인터넷 프로토콜인 ‘http’에는 정보를 저장하는 기능이 없다. 접속자를 기억하지 못한다는 뜻이다. 그래서 1994년 한 프로그래머가 쿠키를 발명했다.

쿠키 덕분에 웹사이트는 접속자가 첫 방문자인지 재방문자인지 구별할 수 있다. 로그인을 유지하고, 장바구니에 담은 물건이 사라지지 않는 것도 쿠키 덕분이다. 이렇게 웹사이트 주인이 심어놓은 쿠키를 ‘자사 쿠키’(first-party cookie)라고 한다.

웹사이트 주인에게 허락받은 제3자가 사용자의 컴퓨터에 심어놓는 쿠키도 있다. 타사 쿠키다. ‘추적 쿠키’ 혹은 ‘트래커’라고도 한다. 여러 웹사이트에 뿌려져 사용자의 발자취를 좇는다.

나이키 코리아 홈페이지를 예로 들어보자. 20개가 넘는 광고 트래커가 달려있다. 크리테오, 티즈, 구글 애드워드 컨버전, 구글 다이내믹 리마케팅, 빙 애즈, 더블클릭, 페이스북 커스텀 오디언스, 타불라, 앱넥서스 같은 이름이 붙은 트래커다.

이들로 인해 이제 당신이 나이키 사이트를 방문했다는 사실은 인터넷 광고 세계에 소문이 다 났다. 그다음 한국경제신문 사이트를 방문해 기사를 읽어보자. 옆에 나이키 광고가 뜬다. 이를 리타케팅 광고라고 한다.

나이키 홈페이지를 방문한 뒤 한국경제신문 기사 옆에 뜨는 나이키 광고

맞춤형 광고를 해주니 좋은 것 아니냐고 생각할 수 있다. ‘어차피 인터넷에선 모두 익명인데 접속한 사이트가 알려지는 게 뭐가 큰일이냐’고 생각할 수도 있다. 그런데 당신에 대해 알고 싶은 광고업자의 욕망은 거기서 멈추지 않는다.

그들은 당신의 나이, 성별, 사는 곳, 직장, 관심사, 연수입, 구매 이력 등을 알고 있을 가능성이 크다. 어쩌면 이름과 전화번호, 이메일까지, 혹은 앓고 있는 병까지 알고 있을 수도 있다.

인터넷 광고 세상 "개인정보를 사고 팝니다"

첫 인터넷 광고는 1994년 등장했다. ‘핫와이어드’라는 온라인 잡지 사이트에 걸린 AT&T의 배너 광고였다. 초창기 온라인 광고는 오프라인 광고와 크게 다르지 않았다. 광고주나 광고대행사가 웹사이트에 광고를 싣고 싶다고 개별적으로 연락했다.

웹사이트가 폭발적으로 늘자 개별 접촉이 힘들어졌다. 이를 중개하는 광고 네트워크(Ad network)와 광고 서버(Ad server)가 생겨났고 점점 자동화됐다. 2000년대 중후반엔 광고 효과를 높여준다는 맞춤형 광고가 등장했다. 이후 모두가 인터넷 사용자들의 개인정보 수집에 열을 올리기 시작했다.

현재 인터넷 광고 업계의 최신 기술은 ‘프로그래머틱 광고’(programmatic advertising)다. 누군가 웹사이트에 접속하면 매체를 대변하는 공급자측플랫폼(SSP)과 광고주를 대변하는 수요측플랫폼(DSP)이 광고 거래소(Ad Exchange)에서 만나 입찰을 진행한다. 알고리즘에 의해 자동으로 이뤄지는 실시간 입찰이다.

프로그래머틱 광고의 간략한 구조

이때 사이트 접속자가 누구인지 중요하다. 여기에 데이터관리플랫폼(DMP)이 개입한다. 인터넷 사용자들의 개인정보를 수집해 ‘유저 프로파일’ 형태로 저장해두고 있다가 접속자가 어떤 사람인지 DSP와 SSP에 알려준다.

데이터 브로커도 활동한다. 온라인과 오프라인을 가리지 않고 사람들의 개인정보를 긁어모아 DMP에 판매한다. 개인정보는 익명화·가명화·암호화 등 비식별화 과정을 거치는데, 정보를 꿰맞추다 보면 아주 높은 정확도로 누가 누구인지 추정할 수 있다.

책은 이렇게 설명한다. “즉 인터넷에서 링크를 클릭할 때마다 우리의 데이터는 수천 군데로 전달되고, 그 수천 개의 기업에서 모두 데이터를 분석해 우리가 누구인지 알아낼 수 있다. 이 모든 과정이 그렇게 짧은 시간 안에 완료된다는 사실이 믿기지 않겠지만, 실제로 일어나는 일이다.”

저자는 클릭을 유도하는 저질 콘텐츠가 판을 치는 것도 프로그래머틱 광고에 일정 부분 책임이 있다고 지적한다. 옛날엔 광고주가 자기네 고객층이 있을 만한 매체를 선별해 광고했다.

지금은 그럴 필요가 없다. 사이트 접속자가 어떤 인물인지 알 수 있다면 매체를 가리지 않고 맞춤형 광고를 띄울 수 있기 때문이다. 클릭을 유도해 10만 명이 웹페이지를 보게 만들었다면, 그중에서 광고주가 원하는 타깃은 발견하는 건 어렵지 않다.

어떻게 해야 할까. 저자는 개인 맞춤형 광고를 없애는 편이 낫다고 말한다. 이런 불쾌한 방식으로 광고하지 않아도, 소비자의 눈길을 끌 수 있는 광고를 할 방법은 많다는 것이다. 인터넷 광고를 다룬 책의 챕터는 여기서 끝난다.

맞춤형 광고에 걸린 제동...광고업계가 변한다

최근 흐름을 보면, 실제로 인터넷 광고 산업은 저자가 말한 방향으로 바뀌어 가고 있다. 개인정보에 과도하게 의존하는 광고는 설 자리를 잃어가고 있다. ‘페이스북-케임브리지 애널리티카 정보 유출 사건’을 비롯해 인터넷 개인정보와 관련해 각종 사건·사고가 터진 탓이다.

우선 규제가 강화되고 있다. 2018년 시행된 유럽연합(EU)의 ‘일반 데이터 보호 규정’(GDPR)과 2020년 시행된 미국의 ‘캘리포니아 소비자 개인정보 보호법’(CCPA)이 대표적이다.

합법과 불법의 경계선에서 활동하는 데이터 브로커들을 관리·감독하기 위한 법도 미국 버몬트주와 캘리포니아주에서 만들어졌다.

늘어나는 광고 차단기 사용자. 빨간선은 모바일, 파란선은 데스크톱 (자료: Blockthrough)

인터넷 사용자 입장에서도 타사 쿠키를 막을 수단이 많아졌다. 애드블록과 같은 광고 차단기는 웹페이지에서 광고만 가리는 게 아니라 타사 쿠키를 차단한다.

미국에선 40% 넘는 인터넷 이용자가 광고 차단기를 쓰면서 광고 업계에 상당한 위협이 되고 있다. 한국의 광고 차단기 사용률은 약 30%다. 크롬 등 인터넷 브라우저에서 ‘타사 쿠키 차단’ 옵션을 켜는 방법도 생겼다.

무엇보다 인터넷 광고 업계에 충격을 준 것은 구글과 애플 등 빅테크의 태도 변화다. 세계 웹 브라우저 점유율 60% 이상을 차지하는 구글 크롬은 2024년 하반기 타사 쿠키 지원을 중단할 계획이다.

애플 사파리와 모질라 파이어폭스는 이미 기본으로 타사 쿠키를 차단하고 있다. 모바일에서도 마찬가지다. 아이폰을 시작으로 모바일 앱이 사용자를 추적하려면 사전 동의를 받아야 하는 방식으로 바뀌면서 개인정보 수집이 어려워지고 있다.

앞으로 인터넷 광고는 개인정보에 덜 의존하는 방식으로 이뤄질 전망이다. 자동차 관련 콘텐츠를 보고 있으면 자동차 광고를 띄우는 식이다. 이를 문맥 타케팅 광고라고 한다. 사용자가 입력한 키워드를 기반으로 하는 키워드 광고도 있다.

구글 애플 아마존 페이스북 등은 타사 쿠키가 사라지더라도 걱정할 필요가 없다. 자체 회원 정보를 듬뿍 갖고 있기 때문이다. 이런 플랫폼 업체들을 ‘벽으로 둘러싸인 정원’(walled garden)이라고 한다. 타사 쿠키 없는 세상에서 독립 광고업체들보다 훨씬 유리해질 수밖에 없다.

한국은 광고 생태계 발달이 늦었다. 네이버 안에서 모든 걸 해결할 수 있었기 때문이다. 모바일 시대가 열린 뒤로는 구글 페이스북 유튜브 등 외국 플랫폼의 사용이 늘면서 한국에도 프로그래머틱 광고 생태계에 속한 애드테크 기업들이 생겨나고 있다.

지난해 코스닥에 상장한 와이더플래닛이 대표적이다. 아이지에이웍스도 상장을 준비 중이다. 기존에 국내 증시에 상장한 인터넷 광고 기업들이 주로 광고대행사, 미디어렙사, 광고 컨설팅사였던 것과 달라진 모습이다. 다만 타사 쿠키 중단 이후 이 업체들이 어떻게 대응할지는 두고 볼 일이다.

광고는 나쁜 게 아니다. 만약 모든 사람이 광고 차단기를 쓴다면 몇 달 내에 인터넷 세상이 붕괴할지 모른다. 웹사이트를 운영할 수익을 얻을 수 없기 때문이다. 광고는 인터넷을 살아있게 만들고 굴러가게 만드는 피나 마찬가지다.

이 인터넷 광고 산업이 큰 변화를 앞두고 있다. 인터넷 세상도 달라질지 모른다. 사람들이 잘 관심을 갖지 않는 인터넷 세상의 이면에서 어마어마한 일이 벌어지고 있는 것이다.

임근호 기자 eigen@hankyung.com