The TCF doesn't really A(A)ID -- Automatic Privacy Analysis and Legal Compliance of TCF-based Android Applications
이 논문은 안드로이드 앱에서 TCF(투명성 및 동의 프레임워크) 가 광범위하게 사용되고 있음에도 불구하고, 많은 앱이 사용자의 동의 거부 선택을 존중하지 않거나 법적 근거 없이 개인 데이터를 공유하는 등 심각한 프라이버시 위반을 저지르고 있음을 대규모 자동 분석을 통해 규명했습니다.
원저자:Victor Morel, Cristiana Santos, Pontus Carlsson, Joel Ahlinder, Romaric Duvignau
이 연구는 유럽의 **GDPR(개인정보 보호법)**이라는 엄격한 규칙을 지키기 위해 만들어진 **'TCF'**라는 시스템을 조사했습니다.
TCF (투명성 및 동의 프레임워크): 앱이 사용자의 데이터를 수집할 때, 사용자에게 "이걸 써도 돼요?"라고 묻는 디지털 허가증 시스템입니다. 마치 슈퍼마켓 입구에 "이 가게에서는 당신의 쇼핑 습관을 기록할 수 있나요?"라고 묻는 표지판 같은 역할입니다.
연구의 목적: 이 표지판이 정말로 사용자의 말을 듣는지, 아니면 그냥 장식용 허수아비인지 확인해 보는 것입니다.
🔍 연구가 무엇을 했나요? (3 단계 조사)
연구진들은 구글 플레이스토어의 인기 앱 4,482 개를 다운로드하여 3 단계로 조사했습니다.
현황 파악 (TCF 사용률):
인기 앱 10 개 중 약 1 개 (12.85%) 가 이 TCF 시스템을 사용하고 있었습니다. 2023 년 조사 (6.6%) 보다 훨씬 늘어난 수치입니다.
비유: 슈퍼마켓 10 개 중 1 개가 "고객 동의 시스템"을 도입했는데, 그중 대부분은 **구글 (Google)**이라는 거대 기업이 만든 시스템을 쓰고 있었습니다. (약 90% 가 구글 시스템 사용)
동적 분석 (사용자 선택 기억하기):
연구진은 앱에 들어가서 "모든 동의 거부" 버튼을 눌렀습니다.
결과: 15 개의 앱은 사용자의 거부를 기억하지 못했습니다. 앱을 껐다 켜면 다시 "동의해 주세요"라는 창이 뜨는 지겨운 반복을 시켰습니다.
비유: "나는 사지 않겠다"고 말했는데, 점원이 다음 날 또 와서 "정말 사시겠어요?"라고 계속 묻는 것입니다. 이는 사용자를 지치게 만들어 결국 동의하게 만드는 **'어두운 패턴 (Dark Pattern)'**입니다.
교통 분석 (실제 데이터 유출 확인):
가장 중요한 부분입니다. 사용자가 **"거부"**를 선택했거나, 아예 동의 창을 보기 전에 앱이 데이터를 보냈는지 확인했습니다.
결과: 충격적인 사실!
거부했음에도: 조사한 앱의 **약 66%**가 사용자의 동의 없이도 광고용 식별자 (AAID) 를 외부 서버로 보냈습니다.
동의 전에도: 사용자가 버튼을 누르기 전, 창이 뜨는 순간에도 **약 55%**의 앱이 데이터를 보냈습니다.
비유: "이 가게는 내 정보를 쓰지 마세요"라고 말했거나, 아예 문 앞에 서 있기만 했을 뿐인데, 상점 주인이 이미 내 얼굴 사진을 찍어 광고 회사에 보내고 있었던 것입니다. 특히 게임 앱들이 이 위반 행위를 가장 많이 저지르는 것으로 나타났습니다.
🚨 왜 이런 일이 일어났나요? (주요 원인)
연구진은 이 시스템이 왜 실패했는지 3 가지 이유를 꼽았습니다.
구글의 독점 (The Gatekeeper):
이 시스템의 90% 를 구글이 운영합니다. 구글은 앱 스토어를 운영하면서도, 동의 관리 시스템도 만들고, 광고 데이터도 받습니다.
비유:경기장 (안드로이드) 을 소유한 구단주가, 경기 규칙 (TCF) 을 정하고, 심판 (동의 관리) 을 맡으며, 선수들의 데이터를 모으는 스폰서까지 맡고 있는 꼴입니다. 이렇게 하면 규칙이 공정하게 적용되기 어렵습니다.
나쁜 기본값 (Bad Defaults):
구글이 제공하는 동의 창에서는 '동의'가 기본으로 체크되어 있거나, '법적 이익 (Legitimate Interest)'이라는 핑계로 사용자의 선택을 무시하는 설정이 기본으로 되어 있었습니다.
비유: 메뉴판에 "모든 재료를 넣는 것"이 기본으로 체크되어 있고, "안 넣으시려면 직접 지우세요"라고 적혀 있는 것과 같습니다. 대부분의 사람은 그대로 주문하게 됩니다.
게임 앱의 무법천지:
게임 앱들이 가장 심하게 데이터를 유출했습니다. 게임은 재미를 위해 많은 데이터를 수집하려는 경향이 있어, 사용자의 동의를 무시하고 먼저 데이터를 보내는 경우가 많았습니다.
💡 결론: "TCF 는 효과가 없습니다"
이 논문은 **"TCF 라는 시스템이 사용자의 프라이버시를 보호하는 데 실패했다"**고 결론 내립니다.
현실: 사용자는 "거부"를 선택했지만, 앱은 여전히 데이터를 수집합니다.
원인: 시스템 자체의 결함, 구글의 독점적 지위, 그리고 개발자들의 무책임함 때문입니다.
의미: 단순히 "동의 창"을 띄우는 것만으로는 법을 준수한 것이 아닙니다. 실제로 데이터 수집을 막는 기술적, 제도적 변화가 필요합니다.
한 줄 요약:
"TCF 는 사용자의 동의를 구하는 척하지만, 실제로는 사용자의 '거부'를 무시하고 데이터를 훔쳐가는 가짜 문지기에 불과했습니다. 특히 게임 앱과 구글 시스템이 이 문제를 주도하고 있습니다."
논문 개요
이 연구는 유럽의 광고 및 데이터 보호 표준인 TCF(Transparency and Consent Framework) 가 안드로이드 앱에서 어떻게 구현되고 있으며, 실제로 GDPR(일반 데이터 보호 규정) 및 ePrivacy Directive(ePD) 를 준수하는지 분석합니다. 기존 연구가 웹 환경에 집중했던 것과 달리, 본 논문은 모바일 앱 환경, 특히 구글 플레이 스토어의 인기 앱들을 대상으로 TCF 의 법적 준수성과 사용자 동의 선택의 존중 여부를 체계적으로 조사했습니다.
1. 연구 문제 (Problem)
TCF 의 법적 불이행 우려: TCF 는 IAB Europe 이 개발한 데이터 보호 준수 표준이지만, 웹 환경에서의 연구들은 TCF 가 실제로 GDPR 을 위반하는 사례 (예: 동의 전 데이터 수집, '합법적 이익'의 오용 등) 가 빈번함을 보여왔습니다.
모바일 환경의 연구 부재: TCF 가 안드로이드 앱에서 어떻게 구현되는지에 대한 체계적인 연구가 부족했습니다. 특히 앱이 사용자의 동의 거부 선택을 존중하는지, 그리고 '합법적 이익 (Legitimate Interest)'을 광고 목적의 데이터 처리 근거로 잘못 사용하는지 여부는 확인되지 않았습니다.
구글의 독점적 지위: 안드로이드 생태계 내에서 구글이 주요 CMP(동의 관리 플랫폼) 로서 지배적인 위치를 차지하고 있어, 이 구조가 법적 위반을 조장할 가능성이 있다는 의문이 제기되었습니다.
2. 연구 방법론 (Methodology)
연구팀은 2025 년 1 월부터 3 월까지 구글 플레이 스토어의 인기 앱 4,482 개를 크롤링하고 다운로드하여 분석했습니다. 분석 과정은 크게 세 단계로 나뉩니다.
가. TCF 존재 여부 정량화 (Quantification)
데이터 수집: Selenium 을 사용하여 카테고리별 상위 앱을 크롤링하고, 에뮬레이터 (Google Pixel 9 Pro, API 35) 를 통해 앱을 다운로드했습니다.
TCF 식별: 앱 실행 후 SharedPreferences 디렉토리의 IABTCF 관련 문자열 (예: IABTCF_TCString) 을 검색하여 TCF 구현 여부를 확인했습니다. 또한, 실제 동의 배너가 표시되는지 확인하여 가짜 구현을 걸러냈습니다.
나. 동적 분석 (Dynamic Analysis)
자동화된 상호작용: Appium 을 사용하여 576 개의 TCF 기반 앱의 동의 배너와 상호작용했습니다.
3 가지 시나리오 적용:
전체 동의 (C+LI): 모든 목적에 동의.
합법적 이익만 (LI): 동의는 거부하고 '합법적 이익' 목적만 허용.
전체 거부 (Ø): 모든 목적을 거부.
저장된 선택 확인: 상호작용 후 앱의 설정 파일 (preferences.xml) 을 분석하여 사용자가 선택한 내용이 실제로 저장되었는지, 그리고 거부 시에도 배너가 다시 뜨는지 (Nagging) 를 확인했습니다.
다. 트래픽 분석 (Traffic Analysis)
도구:mitmproxy 와 Objection (SSL 핀닝 우회) 을 사용하여 앱의 네트워크 트래픽을 캡처했습니다.
분석 단계:
수동 단계 (Passive-stage): 사용자가 선택을 완료한 후 40 초 동안의 트래픽 분석.
능동 단계 (Active-stage): 배너가 표시되는 동안 및 선택 직후 20 초 동안의 트래픽 분석.
목표 데이터: 개인 식별 정보, 특히 AAID(구글 광고 식별자) 가 사용자의 동의 없이 (또는 거부 시) 전송되는지 확인했습니다.
3. 주요 기여 (Key Contributions)
TCF 채택률 측정: 안드로이드 앱에서 TCF 사용률이 2023 년 6.6% 에서 12.85% 로 급증했음을 최초로 세분화 (카테고리별, 국가별) 하여 보고했습니다.
새로운 분석 방법론 제안: 주요 CMP 들의 배너와 상호작용하는 자동화 방법론을 설계하여, '전체 동의', '합법적 이익만', '전체 거부' 세 가지 선택지를 체계적으로 테스트했습니다.
시스템적 위반 발견: TCF 기반 안드로이드 앱들이 사용자의 선택을 무시하고 대규모로 개인 데이터를 공유하고 있음을 최초로 규명했습니다.
구글의 구조적 문제 제기: 구글이 89.76% 의 CMP 점유율을 차지하며, '나쁜 기본값 (Bad Defaults)'을 설정하고 법적 위반을 구조적으로 용인하는 역할을 하고 있음을 지적했습니다.
4. 주요 결과 (Key Results)
가. TCF 채택 현황
비율: 다운로드된 4,482 개 앱 중 576 개 (12.85%) 가 TCF 를 구현했습니다.
주요 CMP: 구글 LLC(CMP 300) 가 89.76% 를 차지하여 압도적인 독점 상태를 보였습니다.
개발 지역: TCF 기반 앱의 82.14% 는 EU/EEA 외 국가 (베트남, 홍콩, 중국 등) 에서 개발되었습니다.
나. 동의 저장 및 동적 분석 결과
저장 실패: 15 개 앱 (2.6%) 은 사용자가 '전체 동의'를 선택했을 때만 선택을 저장했습니다. 사용자가 거부를 선택하면 앱 재실행 시마다 동의 배너가 다시 나타나 사용자를 피로하게 만드는 'Nagging' 행위를 보였습니다.
일관성 부재: 동일한 CMP 를 사용하는 앱들 간에 '전체 거부' 버튼 클릭 후에도 실제 저장된 설정이 다르게 처리되는 불일치가 발견되었습니다.
다. 트래픽 분석 및 법적 위반 (가장 중요한 발견)
동의 없는 AAID 전송:
수동 단계 (Passive): 사용자가 '전체 거부 (Ø)'를 선택했음에도 불구하고, 분석된 앱의 66.2% 가 AAID 를 광고 서버로 전송했습니다.
능동 단계 (Active): 배너 상호작용 중 (동의 전) 에 55.3% 의 앱이 AAID 를 전송했습니다. 이는 '사전 동의 (Prior Consent)' 원칙을 명백히 위반한 것입니다.
주범 카테고리:게임 (Game) 앱이 가장 심각한 위반자였습니다. 시뮬레이션, 아케이드, 스포츠 게임 카테고리에서 100% 에 가까운 앱이 동의 없이 AAID 를 전송했습니다.
주요 수신 도메인: Facebook, Rayjump, Adjust, Unity3D, Google 등이 AAID 를 가장 많이 수신했습니다.
라. 개발자 및 CMP 별 패턴
개발자 패턴: 개발자들은 일관된 행동을 보였습니다. 즉, 어떤 개발자는 모든 앱에서 AAID 를 무단 전송하거나, 반대로 어떤 개발자는 전혀 전송하지 않았습니다.
CMP 별 위반률: Easybrain Ltd 와 Outfit7 Limited 는 100% 의 앱이 위반을 보였으며, 구글 (Google LLC) 도 62.48% (수동 단계) 의 높은 위반률을 보였습니다.
5. 의의 및 결론 (Significance & Conclusion)
TCF 의 실패: TCF 는 안드로이드 앱에서 법적 준수를 돕는 도구로서 실패했습니다. 대부분의 앱이 사용자의 거부를 무시하고 데이터를 수집하며, 이는 GDPR 의 합법성 (Lawfulness), 동의의 자유 (Freedom of Consent), 기본값에 의한 데이터 보호 (Data Protection by Default) 원칙을 위반합니다.
구글의 책임: 구글이 OS, 앱 스토어, 주요 CMP, 데이터 브로커로서 독점적인 지위를 이용해 '나쁜 기본값 (예: 광고 목적에 대한 사전 동의)'을 설정함으로써, 개발자들이 법적 위반을 구조적으로 저지를 수 있게 했다는 점이 강조됩니다.
규제적 시사점: 단순한 앱 개발자의 책임이 아니라, 플랫폼 제공자 (구글) 와 CMP 운영자의 구조적 책임을 규명해야 하며, 특히 게임 앱과 같은 어린이 및 청소년이 많이 이용하는 환경에서의 감시가 시급함을 시사합니다.
향후 과제: iOS 환경에 대한 연구 확대, 실제 기기 (Physical device) 와 에뮬레이터 간 비교, 그리고 더 현실적인 사용자 상호작용 시나리오를 포함한 장기 연구가 필요하다고 제안합니다.
이 논문은 모바일 광고 생태계의 투명성과 개인정보 보호가 TCF 라는 표준 하에서도 여전히 심각한 위협에 노출되어 있음을 실증적으로 증명했습니다.