When the Abyss Looks Back: Unveiling Evolving Dark Patterns in Cookie Consent Banners

1. 문제 정의 (Problem Statement)

• 배경: EU 의 GDPR 과 캘리포니아 CCPA 와 같은 데이터 보호 규정을 준수하기 위해 웹사이트는 쿠키 동의 배너 (Cookie Consent Banners) 를 광범위하게 배포하고 있습니다.
• 핵심 문제:
  • 진화하는 다크 패턴 (Evolving Dark Patterns): 기존 연구 (DP1~DP10) 에서 다루던 단순한 시각적 속임수 (예: '수락' 버튼 강조, '거부' 숨김) 는 규제 강화로 인해 사라지지 않고, 더 미묘하고 법적으로 모호한 형태로 진화했습니다.
  • 기존 도구의 한계: 기존의 탐지 도구들은 정적 인터페이스 분석에 의존하여, 다단계 동의 철회 과정이나 '유료 거부 (Pay-to-opt-out)'와 같은 새로운 형태의 조작 전략을 포착하지 못합니다.
  • 보안 및 프라이버시 위험: 조작적인 동의 설계는 단순히 사용자 경험 (UX) 문제를 넘어, 과도한 서드파티 쿠키 설정과 불안전한 쿠키 속성 (HttpOnly, Secure 등 누락) 을 초래하여 XSS(크로스 사이트 스크립팅) 및 CSRF(크로스 사이트 요청 위조) 와 같은 보안 위협을 가중시킵니다.
  • 동의 철회의 어려움: 규정은 동의를 얻는 것만큼 철회하는 것도 쉬워야 한다고 명시하지만, 실제로는 철회 경로가 숨겨지거나 복잡한 절차가 요구되는 경우가 많습니다.

2. 방법론 (Methodology: UMBRA 시스템)

저자들은 UMBRA라는 CMP(Consent Management Platform) 에 종속되지 않는 (CMP-agnostic) 자동화 시스템을 개발하여 기존 패턴과 새로운 진화 패턴을 탐지합니다.

• 시스템 아키텍처:

  1. 대화형 추출 및 순위 매기기 (Dialog Extraction & Ranking): CSS 선택자, 키워드 기반 휴리스틱, 시각적 지배성 (z-index 등) 을 결합하여 쿠키 배너를 식별합니다.
  2. 클릭 가능 요소 분류 (Clickable Classification): '수락', '거부', '더 많은 옵션' 등 UI 요소를 키워드 매칭과 DOM 구조 분석을 통해 분류합니다.
  3. 쿠키 설정 행동 모니터링 (Cookie Setting Behaviour): 사용자의 상호작용 전후 (초기 로드, 수락, 거부, 닫기) 에 따라 쿠키 저장 상태를 추적하여 비규정 준수 행위를 감지합니다.
  4. 다크 패턴 탐지 휴리스틱: 텍스트 분석, 시각적 휴리스틱, 상호작용 추적, 쿠키 상태 모니터링을 통합합니다.

• 탐지 대상 패턴 (총 19 가지):

  • 기존 패턴 (DP1–DP10): '수락' 버튼만 존재, 시각적 강조, 복잡한 텍스트, 다중 대화상자 등 기존 연구에서 정의된 10 가지 패턴.
  • 진화된 새로운 패턴 (DP11–DP19):
    • 정보 비대칭: 쿠키 정의 부재 (DP11), 목적 정보 미표시 (DP12), 법적 근거 모호성 (DP17).
    • 동의 철회 장벽: 철회 불가능 (DP14), 철회 어려움 (DP15, 예: 2 단계 이상 이동 필요), 클릭 수 비대칭 (DP19).
    • 강제 및 속임수: 유료 거부 (DP13, Pay-to-opt-out), 동의 전 쿠키 설정 (DP16), 가짜 거부 (DP18, 거부 후에도 쿠키 설정).

• 데이터셋:

  • 평가용: 수동으로 라벨링된 500 개 웹사이트 (Ground Truth).
  • 대규모 측정: EU(2,000 개), 미국(2,000 개), 전 세계 상위 Tranco(10,000 개) 등 총 14,000 개 웹사이트.

3. 주요 기여 (Key Contributions)

1. 진화된 다크 패턴 탐지 확장: 기존 10 가지 패턴에 더해, 동의 철회 장벽, 유료 거부, 법적 모호성 등을 포함하는 9 가지 새로운 패턴 (DP11–DP19) 을 정의하고 탐지 로직을 구현했습니다.
2. 보안 인식 쿠키 상태 분석: 인터페이스 탐지를 넘어, 다크 패턴이 있는 사이트에서 설정되는 쿠키의 수와 보안 속성 (HttpOnly, Secure, SameSite) 을 분석하여 보안 위험을 정량화했습니다.
3. CMP-agnostic 프레임워크: 특정 동의 관리 플랫폼에 구애받지 않고 다양한 배너를 분석할 수 있는 통합 프레임워크를 제시했습니다.
4. 높은 정확도의 대규모 측정: 수동 라벨링 데이터셋에서 99% 의 탐지 정확도를 달성했으며, 14,000 개 웹사이트에 대한 대규모 실증 연구를 수행했습니다.

4. 연구 결과 (Results)

• 탐지 성능: UMBRA 는 새로운 패턴 (DP11–DP19) 을 높은 정확도로 탐지했습니다. 특히 DP11(쿠키 정보 부재) 은 99.4% 의 정확도를 보였으며, 전체적으로 평균 99% 의 정확도를 달성했습니다.
• 지역별 및 범용적 확산:
  • 진화한 패턴의 보편성: EU, 미국, 전 세계 상위 사이트 모두에서 새로운 다크 패턴이 광범위하게 발견되었습니다.
  • 동의 철회 장벽 (DP15): EU 의 57%, 미국의 38% 에서 동의 철회가 '어려움'으로 분류되었습니다.
  • 유료 거부 (DP13): EU 에서 8% 로 상대적으로 높게 나타났으며, 미국과 Tranco 리스트에서는 드뭅니다.
  • 거부 후 추적 (DP18): 사용자가 거부를 선택했음에도 불구하고 58% 의 도메인이 서드파티 쿠키를 계속 설정했습니다.
• 보안 위험 증대:
  • 쿠키 수 증가: '철회 어려움 (DP15)' 패턴이 있는 사이트는 평균적으로 25% 더 많은 쿠키를 설정했습니다.
  • 취약한 쿠키 속성: 다크 패턴이 있는 사이트의 쿠키는 XSS 공격에 취약한 경우가 많았습니다 (EU 86%, 미국 93%). 또한, 12 개월 이상 지속되는 쿠키 비율이 매우 높았습니다.
  • 위험 요소: 불안전한 쿠키 설정은 사용자를 XSS 및 CSRF 공격에 노출시킵니다.

5. 의의 및 결론 (Significance & Conclusion)

• 규제 준수 실패의 증거: GDPR 및 CCPA 의 핵심 원칙인 '자유로운 동의', '정보에 기반한 동의', '동등한 철회'가 기술적 구현에서 체계적으로 위반되고 있음을 입증했습니다.
• 보안과 프라이버시의 연계: 다크 패턴이 단순한 UX 문제를 넘어, 실제 보안 취약점 (불안전한 쿠키 설정) 을 유발하여 사용자의 안전을 위협한다는 점을 최초로 대규모로 규명했습니다.
• 정책 및 실무적 시사점:
  • 규제 기관과 정책 입안자에게 진화하는 다크 패턴을 감시하고 제재할 수 있는 구체적인 도구 (UMBRA) 와 기준을 제공합니다.
  • 웹사이트 운영자와 CMP 개발자에게 투명하고 안전한 동의 인터페이스 설계의 중요성을 강조합니다.
• 결론: 다크 패턴은 사라지지 않고 더 정교하게 진화하여 사용자의 자율성을 훼손하고 있습니다. UMBRA 는 이러한 문제를 인터페이스 수준에서 탐지하고 시스템 수준의 보안 위험까지 연결함으로써, 현대 웹 생태계의 투명성과 사용자 존중을 위한 중요한 발걸음을 내딛었습니다.