핀둬둬가 당신의 사진을 지웠다. 구글이 핀둬둬를 지웠다.

2023년 3월, 중국 전자상거래 앱 핀둬둬가 사용자의 사진을 삭제했다는 보도가 나왔다. 여러 매체와 보안 연구자들이 이 앱의 권한 남용을 지적했고, 파장은 컸다. 얼마 지나지 않아 구글은 악성 소프트웨어를 이유로 핀둬둬를 구글 플레이에서 내렸다. 플랫폼이 직접 앱을 퇴출시킨 것이다. 한 앱의 스캔들이 아니라, 스마트폰이라는 구조 자체에 대한 경고였다. 당신의 휴대폰 안에 들어 있는 앱이, 당신의 사진을 지울 수 있다는 사실이 공개적으로 확인된 사건이었다.

"내 휴대폰 안에 있다"는 "내가 지킨다"는 뜻이 아니다

우리는 사진을 찍으면 그것이 내 것이라고 생각한다. 내 휴대폰, 내 갤러리, 내 파일. 그러나 2023년 3월의 보도는 그 믿음에 균열을 냈다. 앱이 사진을 삭제했다면, 그 사진은 내 것이 아니었던 셈이다. 최소한 온전히 내 통제 아래에 있었던 것은 아니었다. "내가 삭제 버튼을 누른 적이 없다"는 말은 "아무도 삭제할 수 없었다"는 말과 다르다. 전자는 내 행동에 대한 이야기이고, 후자는 능력에 대한 이야기다. 이 사건이 무서운 이유는 바로 그 차이를 보여주었기 때문이다.

스마트폰의 권한 설정 화면을 열어본 적이 있는가. 거기에는 "사진 전체 접근", "모든 파일 접근" 같은 항목이 줄지어 있다. 우리는 설치할 때 별 생각 없이 "허용"을 누른다. 앱이 제대로 작동하려면 필요하다고 하니까. 그런데 그 허용은 단순한 설정이 아니다. 능력의 목록이다. 사진 전체 접근을 허용했다는 것은, 그 앱이 내 사진을 읽고, 바꾸고, 지울 수 있는 능력을 갖게 되었다는 뜻이다. 이용약관의 작은 글씨가 그 기술적 사실을 바꾸지 않는다. 약관에 "우리는 사진을 삭제하지 않습니다"라고 쓰여 있어도, 능력 자체는 그대로 앱의 손에 있다. 약속은 어길 수 있지만, 능력은 어기는 것이 아니라 그냥 행사되는 것이다.

갤러리의 모든 앱이 잠재적인 경유인이다

문제는 특정 회사 하나의 도덕성에 있지 않다. 구조에 있다. 휴대폰에 설치된 모든 앱은, 권한을 받은 범위 안에서 내 파일에 닿을 수 있다. 쇼핑 앱, 게임 앱, 사진 편집 앱, 소셜 앱. 각각이 권한을 요청하고, 우리는 각각에 허용을 눌러준다. 어느 순간 내 갤러리는 수십 개의 앱이 드나들 수 있는 공간이 된다. 그중 하나라도 이상한 행동을 하면, 피해는 바로 내 파일에 닿는다.

클라우드 앨범 동기화는 이 구조를 한 겹 더 넓힌다. 휴대폰에서 사진이 지워지면, 동기화된 클라우드 앨범에서도 함께 사라질 수 있다. 반대로 클라우드에서 지운 것이 휴대폰으로 다시 내려오기도 한다. 두 곳에 있다고 해서 두 배로 안전한 것이 아니다. 같은 삭제 명령이 두 곳을 동시에 비울 수 있는 구조라면, 그것은 백업이 아니라 같은 위험을 두 곳에 복사해 둔 것에 가깝다.

"나는 권한을 잘 관리한다"는 사람도 있다. 설정에서 권한을 일일이 확인하고, 필요 없는 앱은 지운다. 좋은 습관이다. 그러나 권한 관리는 위험을 줄일 뿐, 구조를 바꾸지 못한다. 앱이 정상적으로 작동하려면 권한이 필요하고, 권한이 있는 한 능력도 있다. 업데이트 한 번으로 앱의 동작이 바뀔 수 있고, 회사의 정책이 바뀔 수 있으며, 계정이 탈취될 수도 있다. 관리의 문제는 관리자의 성실함에 기대는 한, 언젠가 틈이 생긴다. 사람은 피곤해지고, 바빠지고, 실수한다. 구조는 실수하지 않는다. 구조가 안전해야 한다.

외장하드와 NAS도 같은 질문을 피하지 못한다

"그러면 클라우드를 끄고 외장하드에 넣어두면 되지 않나?"라는 생각이 들 수 있다. 외장하드는 네트워크에 연결되어 있지 않을 때 상대적으로 조용하다. 그러나 외장하드는 여전히 집 안에 있고, 여전히 누군가의 손에 닿는다. 분실, 도난, 파손의 위험은 그대로다. 또 외장하드를 컴퓨터에 연결하는 순간, 그 컴퓨터에 깔린 프로그램들이 다시 그 파일에 닿을 수 있는 구조로 돌아간다.

NAS도 마찬가지다. 집 안 네트워크에 상시 연결된 저장소는 편리하지만, 그 편리함이 곧 노출이다. 네트워크에 붙어 있는 한, 원격 접근의 가능성은 사라지지 않는다. 공유 폴더의 설정 실수 하나, 펌웨어의 취약점 하나가 문이 될 수 있다. 은행 금고에 넣어두는 방법도 있다. 그러나 금고는 물건을 넣어두는 상자일 뿐, 그 물건이 누구 손을 거쳤는지, 중간에 어떻게 다루어졌는지를 기록해주지 않는다. 보관의 경위가 없다는 것은, 나중에 "그대로였다"는 말을 증명할 방법이 없다는 뜻이기도 하다.

안전은 "약속하지 않는다"가 아니라 "할 수 없다"에서 온다

여기서 기준을 바꿔야 한다. "이 앱은 내 사진을 지우지 않겠다고 약속했는가"가 아니라, "이곳에 있는 것에 누구도 손댈 수 없는 구조인가"다. 약속은 회사도, 사람도, 정책도 바꿀 수 있다. 구조는 바뀌지 않는다. 네트워크에 연결되어 있지 않고, 앱이 없고, 권한 목록이 없는 매체는 삭제 명령을 받을 방법 자체가 없다. 원격으로 지울 수도, 비밀번호를 바꿔 잠글 수도 없다. 누군가 물리적으로 손에 넣지 않는 한, 그 안의 것은 그대로다. 이것이 "지키겠다"는 말과 "건드릴 수 없다"는 구조 사이의 차이이며, 이 차이가 전부다.

그래서 맡기는 일의 핵심은 기술이 아니라 사람과 절차다. 믿을 만한 전문 기관이 증거와 기록을 받아 번호를 매기고, 봉인하고, 두 사람이 함께 확인하고, 입고 사진을 남긴다. 그 뒤로는 네트워크도, 앱도, 권한도 그 물건에 닿지 않는다. 반년마다 봉인과 외관을 육안으로 점검하고 사진으로 기록한다. 열지 않고, 만지지 않고, 상태만 확인한다. 더 깊이 들여다보는 점검이 필요하다면 고객의 서면 동의를 받은 경우에만 별도로 진행한다. 기본은 비접촉이다. 절차가 곧 신뢰다. 어떤 기술 용어를 내세울 필요도 없다. 중요한 것은 그 물건이 누구의 손에도, 어떤 명령에도 닿지 않는 곳에 있다는 사실뿐이다.

권한 목록을 다시 열어볼 때

오늘 밤, 휴대폰의 설정 화면을 열어 권한 목록을 한 번 살펴보라. 사진 전체 접근을 허용한 앱이 몇 개인가. 그 앱들 중 당신이 정말로, 끝까지 믿을 수 있는 앱은 몇 개인가. 그리고 그중 하나라도 내일 갑자기 사라지거나, 정책을 바꾸거나, 이상한 행동을 해도 당신의 사진이 안전할 수 있는가. 이 질문에 "그렇다"고 답할 수 없다면, 그 사진은 이미 위험한 구조 안에 있다.

핀둬둬 사건은 특별한 회사의 특별한 일탈이 아니었다. 그것은 권한이라는 구조가 가진 능력을 세상에 보여준 사례였다. 앱이 사진을 지울 수 있다는 사실이 확인된 이상, "설마 내 사진은 아니겠지"라는 말은 더 이상 위안이 되지 않는다. 보이지 않게 보관해야 할 것은, 남이 건드릴 수 없는 곳에 두어야 한다. 앱도, 권한도, 네트워크도 없는 곳. 그리고 그곳에 맡기는 일은, 믿을 만한 사람과 정해진 절차에 맡기는 일이다. 번호와 봉인, 두 사람의 확인, 그리고 기록. 그 기록이 쌓일 때, 비로소 "내 것"이라는 말이 온전해진다.