기사 상세
[테크] 저무는 쿠키의 시대?
올해 초 구글은 향후 2년 안에 크롬에서 서드파티 쿠키 지원을 중단하겠다고 선언했다. 이와 더불어 뉴욕타임스와 워싱턴포스트 등도 향후 서드파티 쿠키 활용을 지양하겠다고 밝혔다. 서드파티 쿠키가 무엇이기에 너도나도 ‘중단’을 이야기하는 걸까? 서드파티 쿠키가 과연 나쁘기만 한 것일까? 이 글에서 짚어봤다. 편집자 주
우선 ‘쿠키’라는 걸 잘 모르시는 분들을 위해 쿠키에 대해 간략하게 설명하겠습니다. 쿠키에 대한 이해도가 있으신 분은 이 부분을 건너뛰고 ‘쿠키 왜 화제인가?’ 부분으로 바로 넘어가기를 추천해 드립니다.
쿠키란 무엇인가?
쿠키는 인터넷 사용자가 특정 웹사이트를 방문해서 그 사이트 내에서 활동한 정보를 이용자 컴퓨터에 기록해 놓은 파일을 뜻합니다. 미국 드라마를 보면 중국 음식점에서 주는 포춘쿠키(Fortune Cookies)란 것이 나옵니다. 그 안에 간단한 문장으로 운세를 점치는 쪽지가 들어있는데, 그 모습을 보고 쿠키라는 이름을 붙였다고 알려져 있습니다.1)
조금 더 상세히 설명해 드리면 쿠키는 정확한 용어로 ‘HTTP 쿠키’라고 하며, 인터넷 규약에 맞는 통신이 행해질 때 해당 통신에서 발생한 정보의 일부를 사용자 컴퓨터(클라이언트)에 저장하는 파일을 뜻합니다. 쿠키는 통상 쿠키값, 이름, 기간, 경로, 도메인 등의 정보를 담고 있는데, 해당 정보는 텍스트 형태로 저장되기 때문에 쿠키를 잘 모르는 분들이 오해하는 것처럼 바이러스나 악성코드가 설치될 수 없습니다.
쿠키는 크게 두 종류입니다. 세션 쿠키(session cookie)는 웹사이트를 방문할 때 브라우저 내의 하위 폴더에 생성되며, 사용자가 사이트를 떠나면 삭제되는 쿠키입니다. 이에 비해 영구 쿠키(permanent cookie)는 브라우저 하위 폴더에 그대로 남아 해당 웹사이트에서 활동한 내역을 저장하고 있으며, 이용자가 지우기 전에는 그대로 남아 있습니다. 참고로 저장 기간은 보통 브라우저 설정에서 변경할 수 있으며, 지정된 만료일이 되면 쿠키는 지워집니다.
쿠키, 왜 화제인가?
쿠키 정보가 최근 중요하게 다뤄지고 있는 것은 현재 서비스 추세인 웹 표준, 암호화 통신(HTTPS), HTML5 기반의 웹서버 구현, 프론트엔드(Frontend) 개발 방법론 등과 밀접하게 연관돼 있습니다. 하나하나 언급하면 몇 날 며칠이 걸리더라도 어려워서 뭉뚱그려 이야기하면 표준 개발 및 정해진 통신 규약을 지키게 되면 ‘굳이 개인정보가 없어도 쿠키 정보(요즘은 세션 쿠키를 더 활용하는 추세입니다)를 통해 마케팅 행위를 할 수 있다’ 정도로 이해하면 될 것 같습니다.
쿠키가 통상 쿠키값, 이름, 기간, 경로, 도메인 등의 정보를 담고 있다고 했는데, 쿠키가 주목받게 된 건 이중 ‘경로(URL)와 도메인(domain)’ 등을 통해 인터넷 브라우저 사용자가 특정 웹사이트에서 하는 행동을 추적할 수 있기 때문입니다.
조금 더 풀어서 설명하면 쿠키에는 (쇼핑몰을 기준으로) △사이트에 방문했던 이력 △조회한 상품 △구매 여부 등 정보가 담겨있고, 이런 정보를 여러 사이트에서 동시에 얻을 수 있다고 하면 그 사용자의 관심사가 무엇인지 유추할 수 있습니다.
특히 빅데이터 기반의 AI 엔진 기술들이 속속 등장하면서 여러 사이트의 쿠키 정보를 실시간으로 가져와 인구통계학적 데이터와 결합할 수 있게 됐습니다. ‘40대 남성이 좋아할 만한 상품(콘텐츠)’과 같은 표적 집단(target group)을 대상으로 한 광고도 만들 수 있게 됐습니다. 연령·성별·지역·사용 시간2)별로 정교하게 구분된(segmented) 정보를 기반으로 표적 집단에 ‘웹 푸시(web push)’나 ‘웹 팝업(web pop-up)’과 같은 서비스를 제공할 수 있게 되면서, 굳이 개인정보가 없어도 사용자 맞춤 마케팅을 진행할 수 있게 됐습니다.
[그림 1] 쿠키를 활용한 타깃 광고(Target Marketing) 어떤 사이트에 들어가 상품 하나를 봤을 뿐인데, 유튜브에도, 페이스북에도 심지어 PC에서 팝업으로 상품 광고가 지겹게 따라다니는 건 쿠키에 저장된 정보 때문입니다.
<출처 – shoplify retargeted ads, http://www.remarketing.com/shopify-retargeting>;
다만 부정적으로만 보면 브라우저를 통한 웹사이트 행동을 추적하는데 쿠키가 사용될 수 있고, 누군가의 쿠키를 훔쳐서 해당 사용자의 웹 계정 접근 권한을 획득할 수도 있습니다.
이를 보완하기 위해서 현재는 ‘https’로 대표되는 암호화통신(SSL)을 권장하고 있으며, 해당 통신을 통해 쿠키를 전송하게 되면 외부에서 해당 쿠키를 탈취하기가 어렵게 됩니다. 여기에 사용자 컴퓨터(클라이언트)에서도 쿠키를 유출하지 못하도록 막는 개발방법론(httponly)을 병행해 사용하면 외부에서 쿠키를 빼돌려 사용하는 게 현실적으로 매우 어려워집니다.
쿠키의 시대는 가고 있는가?
최근 애플이나 구글에서 서드파티 쿠키(third-party cookie)를 사용하지 않겠다고 발표하면서, 쿠키의 시대가 저물고 있다는 이야기도 나옵니다. 이 이슈를 이해하려면 먼저 서드파티 쿠키라는 개념을 온전히 이해해야 합니다.
아까 쿠키에 어떤 정보가 담긴다고 얘기했던 것 기억나시나요? 그중 하나가 도메인입니다. 특정 도메인의 쿠키가 해당 도메인을 기반으로 저장되면 그걸 퍼스트 쿠키(first cookie)라고 합니다. 특정 스크립트나 소스를 통해 다른 도메인에 접속한 것처럼 해서 해당 정보가 다른 도메인을 기반으로 저장이 되면 이를 서드파티 쿠키라고 합니다.
풀어서 설명드리면 내가 abc.com이라는 사이트에서 한 번 로그인을 했고, ‘가나다’라는 상품을 조회했으며, ‘라마사’라는 상품을 장바구니에 담고 사지는 않았다는 정보가 내 컴퓨터 특정 공간에 abc.com이라는 도메인 기반으로 저장되고 있다면, 이를 퍼스트 쿠키라고 합니다. 이에 대한 정보(abc.com에서 했던 행동 데이터)가 ‘xyz.com’에서도 발생한 것처럼 해서 내 컴퓨터에 저장이 되면 이를 서드파티 쿠키라고 한다고 이해하시면 됩니다.
언뜻 보기에 abc.com에서 일어나는 행위에 대한 결과를 xyz.com에서 가질 이유가 없으니 이를 막는 게 당연한 걸로 보이고, 게다가 이를 통해 개인정보가 유출될 수 있다고 하니 이를 허용하고 있는 서비스 업체(브라우저 운영사)는 큰 잘못을 저지르고 있는 것처럼 보입니다.
그리고 이런 서드파티 쿠키를 활용했던 업체의 대부분이 ‘타깃 광고(Target Marketing)’를 잘 노출하는데 서비스를 집중하다 보니 이용자의 피로도가 높아진 것은 물론이고, 무분별하게 사용자의 행동 정보를 이용한 측면도 있었습니다.
[그림 2] 시장 세분화를 위한 기반 예전에는 사용자 데이터를 회원으로 가입한 고객정보를 통해서만 만들었지만, 쿠키가 본격 적으로 활용되면서 굳이 고객 정보가 아니라도 정교하게 표적 집단(target group)을 만들 수 있습니다.
그런데 초기에 말씀드린 것처럼 쿠키는 사용자가 좀 더 편리하게 인터넷 서비스를 쓸 수 있는 방향에서 개발돼 발전했고, 지금도 그러한 방향성에는 큰 변화가 없습니다. 그런 측면에서 보면 서드파티 쿠키를 ‘광고를 잘 노출’하는 데만 사용하는 게 아니라 오히려 서드파티 쿠키를 통해, 즉 어떤 사용자의 행동 정보를 통해 어떤 활용을 할 수 있는지 대해 본격적으로 논의를 해야 하는 시점이 아닌가 합니다.
쉽게 말해서, 유튜브나 페이스북을 볼 때 광고 차단 프로그램이나 서비스를 쓰지 않는다면 광고를 볼 수밖에 없는데, 아무 관심이 없는 광고보다는 관심을 두고 있는 분야의 광고를 보는 게 도움이 될 테니까요.
게다가 여기서 하나 간과할 수 없는 게 있습니다. 크롬이나 사파리에서 서드파티에 쿠키를 저장하는 방식이 없어진다고 하더라도 유튜브 광고에서 내가 관심 가질 만한 광고가 따라다니는 상황이 없어질까요?
구글이라는 회사는 기본적으로 크롬이라는 브라우저를 갖고 있고 아까 얘기했던 정보는 ‘세션’이라는 정보로 브라우저에 저장됩니다. 그리고 당연히 이런 세션에 들어왔던 정보는 구글이 가진 분석 엔진을 통해 좀 더 정교한 타깃 그룹을 만들어 내는 데 사용되고 이를 기반으로 구글은 검색 결과, 네트워크 광고, 유튜브 등에 타깃 광고를 제공해 많은 수익을 거두고 있습니다.
그러면 크롬에서 수집하는 쿠키값은 퍼스트 쿠키이고, 이를 통해 유통되는 정보는 브라우저를 끄면 소멸하는 정보이기 때문에 구글은 아무 문제가 없는 걸까요? (사파리를 운영하고 있는 애플도 여기에 있어서는 자유롭지 않습니다.)
[그림 3] 서드파티 쿠키의 개념
<출처 –The State of Tracking and Data Privacy in 2020 https://searchengineland.com/the-state-of-tracking-and-data-privacy-in-2020-329259>;
문제의 핵심은 ‘쿠키’가 아닙니다.
인터넷 서비스의 핵심은 ‘공유’입니다. 정보를 네트워크로 공유해서 좀 더 많은 사람이 편하게 접근할 수 있으면 새로운 가치가 발생한다는 개념에서 발전해 왔고, 그 근본적인 방향성은 현재도 유효하다고 생각합니다.
게다가 쿠키는 인터넷 문법(HTTP)의 태동과 거의 동시에 만들어져 왔고, 현재도 이를 통해 광범위한 서비스에 적용하고 있습니다. 물론 쿠키가 사용자에 대한 많은 정보를 담고 있어 이를 부정적으로 사용할 수 있다는 우려가 있습니다. 그렇지만 쿠키는 회원 정보에 비해 개인정보가 없습니다. 따라서 쿠키 활용도 및 상대적인 보안 안정성을 고려하면, 쿠키의 부정적 사용을 막는 방법으로 접근해야 합니다. 쿠키의 활용을 중단하겠다는 식으로 접근하는 건 오히려 이런 정보를 독점하고 있는 업체의 영향력만 키울 수 있습니다.
예를 들어 현재 구글과 페이스북, 국내 기준으로 네이버나 카카오의 경우 자사 사이트에 들어온 사용자의 행동을 담은 쿠키 정보만 분석해도 충분합니다. 그만큼 사용자가 충분히 들어와서 분석할 만큼의 많은 쿠키 정보가 (이 글을 읽는 지금 시점에서도) 쌓이고 있으니까요.
그런데 제가 만약 열 개도 채 안 되는 상품을 들고 쇼핑몰을 오픈한다면, 적은 비용으로 우리 상품에 관심을 두고 있는 사람들에게 광고를 노출하거나 쇼핑몰을 방문하는 사용자에게 관심이 있는 상품을 우선 노출하는 방식의 마케팅을 적극 고려할 것 같습니다. 이를 위해서는 역시 서드파티 쿠키를 활용하는 게 필요하다는 것이 제 생각입니다.
물론 반드시 서드파티 쿠키 정보를 활용해야 하느냐는 여전히 논란의 대상이고, 이를 대체할 수 있는 여러 가지 방안도 논의되고 있습니다. 하지만 그러한 대안이 나오기도 전에 ‘막는 게 답’이라는 접근 방식은 현재의 문제점을 개선하는 데 도움이 안 됩니다.
‘서드파티 쿠키 금지’는 시기상조
최근 뉴욕타임스, 복스, 워싱턴포스트 등 미 언론사에서는 서드파티 쿠키를 활용해 광고를 노출하는 방식을 지양하고 본인들의 데이터 기반으로 타깃 광고를 하겠다고 선언했다고 합니다.
‘서드파티 쿠키 = 광고 노출’이라고만 생각하는 접근 방식도 참신하고, (해당 언론사를 쓰고 있는) 기존 사용자가 구글 정도로 많아서 기존 사용자 데이터만 분석해도 정교한 결과를 노출할 수 있다고 생각하는 자신감도 존경스럽습니다. 브라우저도 안 가지고 있어서 외부 데이터를 활용할 방법이 없는 상태에서, 신규로 들어오는 사용자에게 도대체 무슨 기사를 노출하겠다는 건지, 저는 잘 모르겠습니다.
사실 이런 논의가 우리나라에서는 사치일 수도 있는데, 이미 글로벌 사이트에서는 약관이나 쿠키 수집 당시에 어떤 쿠키를 수집하고 이를 어떻게 활용하며, 이에 대한 유효기간을 명시하는 게 대부분입니다. 저는 아직 국내에서 이런 정책을 도입하고 있는 사이트를 본적이 거의 없습니다.
[그림 4] 해외 사이트의 쿠키 활용 동의 알림 기본적으로 해외 사이트는 약관이나 쿠키 수집 당시에 어떤 쿠키를 수집하고 이를 어떻게 활용하며, 이에 대한 유효기간을 명시합니다. <출처 – 필자 제공>
[그림 5] 쿠키 활용 동의 메시지 국내 사이트에서는 이 같은 메시지를 찾아보기 힘듭니다. <출처 – 필자 제공>
이러한 논의가 본격화되려면, 기술적 이해를 바탕으로 그에 맞는 정책을 펼쳐 가야하는데, 아직까지 이런 측면에서는 갈 길이 먼 것 같습니다. 제 글이 그러한 논의에 조금이라도 도움이 됐으면 하는 바람입니다.
(사족 하나) 저는 기본적으로 글을 잘 쓰지 않습니다. 특히 IT 관련해서는 더 그런데, IT 관련 분야는 제가 글을 쓰고 있는 시점과 독자가 글을 읽는 시점에서도 많은 변화가 발생하고, 앞으로 그런 변화가 가속되기 때문에 지금 글의 내용이 나중에는 안 맞는 경우가 빈번하게 발생합니다. 그런 측면에서 이 글을 읽는 독자분들도 제 글을 참조 정도로만 생각해 주시면 고맙겠습니다.
1) 물론 기술적으로 얘기하면 유닉스(Unix)에서 쓰는 매직쿠키에서 유래한 것이지만, 너무 세밀하게 설명하는 것 같아 넘어가겠습니다. 깨알 같은 지식을 하나 더 추가하자면 해당 개념은 루 몬틀리(Louis J. Montulli II)라는 넷스케이프 브라우저 개발자가 고안해 낸 것입니다. 동화 <헨젤과 그레텔>에 나오는 과자부스러기에서 유래했다는 의견도 있는데, 관련 자료는 근거를 찾을 수 없어서 혹시 아는 분 있으시면 업데이트 부탁드립니다.
2) 여기서 연령이나 성별은 개인정보를 통해 취득한 것이 아니라 AI 엔진이 해당 그룹의 이용자는 주로 이러한 관심사와 행동을 한다고 유추한 정보라고 이해하시면 됩니다.
저자의 다른 미디어
