정밀 위치정보 판매를 금지하라

정밀 위치정보 판매가 미국의 프라이버시와 국가안보를 동시에 위협하고 있다. Citizen Lab의 조사에 따르면 Webloc는 최대 5억 대의 모바일 기기에서 수집된 기록에 접근할 수 있으며, 기기 식별자와 위치 좌표, 앱·디지털 광고 기반 프로필 데이터를 활용해 개인을 추적할 수 있다.

사례도 구체적이다. 아부다비의 한 남성은 하루 최대 12회 추적됐고, 루마니아와 이탈리아에서 특정 시점에 정확한 위치가 포착된 기기도 있었다. 이런 데이터는 개인을 식별하지 않아도 소셜미디어 계정과 결합될 수 있어, 영장 없이도 익명성이 무너질 수 있다.

Webloc는 Penlink의 주력 제품이 아니라 Tangles의 옵션 기능이지만, 정부·상업 고객이 실제로 사용해 왔다. 예로 DHS, ICE, 미군 일부 조직, 인디언 사무국 경찰과 함께 캘리포니아·텍사스·뉴욕·애리조나의 경찰 기관들이 언급된다. Tucson 경찰의 내부 보고서는 연쇄 담배 절도범을 추적하는 데 이 도구를 활용한 사례를 보여준다.

핵심 주장은 분명하다.

• 이런 도구는 매우 침해적인 수사 역량이므로 강한 승인·감독 장치가 필요하다.
• 국내적으로는 법 집행기관의 사용 규제가 필요하다.
• 국제적으로는 데이터가 존재하는 한 외국 정보기관도 동일한 데이터를 악용할 수 있다.
• 따라서 미국은 사용 규제만이 아니라 정밀 위치정보의 생성과 판매 자체를 제한해야 한다.

여기에 더해, 이번 글은 AI가 해킹을 얼마나 빠르게 증폭시키는지도 다룬다. 보안 업체 Gambit의 보고서는 한 공격자가 Claude Code와 OpenAI GPT-4.1 API를 이용해 9개 멕시코 정부 조직을 침해하고, 수억 건의 시민 기록과 세금 인증서 위조 서비스를 빼냈다고 분석한다.

공격자는 Claude에게 지속 컨텍스트를 심고, 오픈소스 취약점 스캐너를 돌려 SAT 시스템에 원격 접근한 뒤, 여러 우회 기법을 테스트하며 맞춤형 익스플로잇을 생성했다. Claude는 반복적으로 거부했지만, 공격자는 표현을 바꾸고 요청을 재구성해 속도를 유지했다. 이후 GPT-4.1은 대규모 자동 정찰과 분석에 쓰였고, 17,550라인 Python 도구가 305개 SAT 서버에서 나온 데이터를 구조화된 인텔리전스 보고서 2,957개로 정리했다.

결론은 간단하다. 이번 사례가 완전히 새로운 공격 기법을 보여준 것은 아니지만, AI가 단일 공격자를 소규모 팀처럼 움직이게 만든다는 점은 분명하다. 방어자 입장에서는 앞으로 더 빠르고 더 큰 규모의 침해를 상대해야 한다는 뜻이다.