💻 computer science

From Third-Party to First-Party: Measuring and Protecting Against Modern Web Tracking Mechanisms

이 논문은 제3자(third-party)에서 제1자(first-party) 및 서버 측(server-side) 웹 트래킹으로의 전환을 조사하며, 대규모 측정을 통해 상위 사이트의 54% 이상이 현재 이러한 불투명한 기술을 채택하고 있음을 밝히고, 이러한 요청을 차단하는 데 있어 기존의 필터 목록보다 성능이 크게 뛰어난 새로운 탐지 규칙을 제안한다.

원저자: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

게시일 2026-06-16

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Christian Böttger, Tareq Khouja, Norbert Pohlmann, Nurullah Demir, Tobias Urban

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

개요: 숨바꼭질 게임

인터넷이 거대한 도시라고 상상해 보세요. 수년 동안 당신의 움직임을 추적하려는 기업들(이하 "추적자")은 특정한 속임수를 사용했습니다. 그들은 제3자 변장(예: "나는 AdCo 소속입니다"라고 명확히 적힌 유니폼)을 입고 상점마다 당신을 따라다녔습니다.

당신(또는 당신의 보안 요원인 브라우저)은 그들의 유니폼을 볼 수 있었기 때문에, 그들을 쉽게 발견하고 "안 됩니다, 이 상점에는 따라 들어올 수 없습니다"라고 말할 수 있었습니다. 이것이 **제3자 추적(Third-Party Tracking)**의 시대였습니다.

하지만 최근에 추적자들은 더 똑똑해졌습니다. 그들은 만약 상점 자신의 유니폼(즉, "제1자" 변장)을 입는다면, 보안 요원이 자신을 막지 못할 것이라는 사실을 깨달았습니다. 이제 그들은 상점의 직원들 사이에 섞여 들어가고 있습니다. 이것이 이 논문이 조사하는 변화입니다: **제1자 추적(First-Party Tracking, FPT)**과 **서버 측 추단(Server-Side Tracking, SST)**입니다.

문제점: 보이지 않는 스토커

저자들(독일과 스탠퍼드 출신의 연구진)은 알고 싶었습니다: 이 새로운 문제가 얼마나 큰가? 누가 이 일을 벌이고 있는가? 그리고 우리가 이를 막을 수 있는가?

그들은 인터넷을 거대한 범죄 현장 조사처럼 다루었습니다. 단순히 한 거리만 본 것이 아니라, 13,000개의 서로 다른 웹사이트를 방문했고 750,000개의 페이지가 로드되는 것을 관찰했습니다. 그들은 전체적인 그림을 볼 수 있도록 두 개의 도시(독일과 미국)에 "경찰차"(웹 브라우저)를 배치했습니다.

그들이 발견한 것

1. 변장은 어디에나 있다
그들은 방문한 웹사이트 중 54% 이상이 현재 이러한 "제1자" 변장을 사용하고 있다는 것을 발견했습니다.

과거 방식: 추적자가 tracker.com으로부터 당신의 브라우저로 요청을 보냅니다. 차단하기 쉽습니다.
새로운 방식: 웹사이트 자체가 (예: news.com) 백그라운드에서 데이터를 수집하고, 이를 추적자에게 전달합니다. 당신의 브라우저 입장에서 보면, 이는 마치 웹사이트가 자기 자신과 대화하고 있는 것처럼 보입니다. 이는 마치 스파이가 대통령의 정복을 입고 있는 것과 같습니다. 그를 체포하려면 대통령을 체포해야 하므로, 당신은 그를 잡을 수 없습니다.

2. "거물들"이 여전히 지배하고 있다
추적자들이 서로 다른 유니폼을 입고 있음에도 불구하고, 연구진은 동일한 거대 기업들이 여전히 이 일을 주도하고 있다는 것을 발견했습니다.

Google이 가장 큰 플레이어이며, 그 뒤를 Meta(Facebook), Amazon, Adobe가 잇고 있습니다.
그들은 이 추적자들이 모두 연결되어 있음을 보여주는 지도(네트워크 그래프)를 구축했습니다. 이는 동일한 스크립트(코드)가 수천 개의 서로 다른 웹사이트에서 "상점 유니폼"만 바꿔 입은 채 재사용되는, 긴밀하게 연결된 클럽입니다.

3. 보안 요원은 잠들어 있다
연구진은 사람들이 광고와 추적기를 차단하기 위해 사용하는 현재의 도구들(예: "EasyList")을 테스트했습니다.

결과: 이러한 도구들은 새로운 변장 앞에서는 거의 무용지물입니다. 이 도구들은 더 이상 존재하지 않는 예전의 "제3자 유니ฟ폼"만을 찾고 있었기 때문에, 이러한 추적 시도의 대다수를 놓쳤습니다.

해결책: 새로운 종류의 금속 탐지기

웹사이트 자체(제1자)를 차단하면 인터넷이 망가질 수 있기 때문에, 연구진은 창의적인 방법을 찾아야 했습니다. 그들은 추적자들이 변장을 하고 있더라도 여전히 주머니에 특정 도구들을 가지고 다닌다는 사실을 깨달았습니다.

비유: 도둑이 경찰 유니폼을 입었다고 상상해 보세요. 유니폼을 입었다는 이유만으로 그를 체포할 수는 없습니다. 하지만, 만약 그가 항상 특정한 종류의 자물쇠 따개와 손전등을 주머니에 넣고 다닌다는 것을 알아차린다면, 다음과 같은 규칙을 세울 수 있습니다: "자물쇠 따개와 손전등을 들고 은행에 들어오는 사람은 누구든 멈춰 세운다."

연구진은 이러한 "자물쇠 따개"를 찾는 방법을 개발했습니다.

그들은 추적자들이 데이터를 보내는 URL(웹 주소)을 조사했습니다.
그들은 추적 요청들이 일반적인 웹 트래픽에는 없는 특정 키워드(cid=, r=, v= 등)를 주소에 포함하고 있다는 점에 주목했습니다.
그들은 통계적 도구를 사용하여, 일반적인 브라우징에서는 드물지만 추적 과정에서는 매우 자주 함께 나타나는 키워드 조합을 찾아냈습니다.

결과: 더 나은 방패

이 방법을 사용하여, 그들은 광고 차단기를 위한 181개의 새로운 규칙을 만들었습니다.

테스트: 이 새로운 규칙들을 웹사이트들에 적용해 보았습니다.
성공: 이 새로운 규칙들은 기존 리스트보다 63% 더 많은 추적 요청을 차단했습니다.
안전성: 결정적으로, 그들은 이 규칙들이 웹사이트를 망가뜨리는지(예: 비디오 재생을 멈추거나 버튼 작동을 방해하는지) 확인했습니다. 그 결과, 이 규칙들은 거의 아무것도 망가뜨리지 않았습니다(오직 0.04%의 페이지만 문제가 발생함).

핵심 요약

이 논문은 "고양이와 쥐"의 게임이 바뀌었다고 결론짓습니다. 추적자들은 그림자(제3자)에서 빛(제1자) 속으로 이동하여, 더 눈에 띄지 않게 되었습니다.

위협: 우리는 그 어느 때보다 더 많이 추적되고 있지만, 이는 우리가 방문하는 웹사이트 내부에 숨겨져 있습니다.
현실: Google, Meta와 같은 빅테크 기업들이 웹사이트 자신인 척하면서도 대부분의 이러한 추적을 수행하고 있습니다.
희망: 연구진은 우리가 더 나은 방패를 구축할 수 있다는 것을 증명했습니다. 이들이 남기는 특정 "지문"(URL 패턴)을 찾아냄으로써, 인터넷을 망가뜨리지 않고도 이들을 차단할 수 있습니다.

요약하자면: 추적자들은 섞여 들기 위해 옷을 갈아입었지만, 연구진은 그들이 주머니에 넣고 다니는 특정 도구를 통해 그들을 식별하는 새로운 방법을 찾아냈습니다.

기술 요약: 제3자에서 제1자로: 현대적 웹 트래킹 메커니즘의 측정 및 방어

문제 정의
웹 사용자 트래킹의 지형이 전통적인 제3자(third-party) 트래킹에서 제1자(first-party) 트래킹(FPT) 및 서버 측 트래킹(SST)으로 크게 변화하고 있다. 브라우저들이 제3자 쿠키와 클라이언트 측 트래킹에 대한 엄격한 방어 체계를 구현함에 따라, 트래커들은 데이터 수집 로직을 웹사이트의 백엔드나 제1자 컨텍스트로 이동시키고 있다. 이러한 이주는 데이터 흐름을 모호하게 만들며, 기존의 URL 기반 탐지 및 클라이언트 측 필터 리스트를 무력화하고 사용자의 투명성을 저해한다. 이전 연구들이 특정 구현체(예: Google Tag Manager 또는 Meta)를 조사해 왔으나, 이러한 신흥 트래킹 기법의 보급률, 생태계 구조 및 효과적인 방어 메커니즘에 대한 대규모 규모의 이해는 부족한 실정이다.

방법론
저자들은 네 가지 측정 프로필(두 곳의 위치: 독일 및 미국; 각 위치당 2회 실행)에 걸쳐 13,187개의 사이트와 758,960개의 페이지(Tranco 리스트에서 유도됨)를 포함하는 대규모 측정 연구를 수행하였다.

데이터 수집: 연구진은 Firefox 기반의 MultiCrawl 프레임워크(OpenWPM 기반)를 사용하여 브라우저를 인스트루먼테이션(instrumented)하고 HTTP 요청, 응답, 쿠키 및 JavaScript 상호작용을 기록하였다. 대표성 있는 데이터셋을 확보하기 위해, 수정된 "Consent-O-Matic" 확장 프로그램을 사용하여 모든 쿠키를 수락하도록 동의 배너와 상호작용하였다. 제3자 쿠키를 비활성화함으로써, 트래킹이 발생할 경우 사이트가 제1자 메커니즘을 활용하도록 강제하였다.
트래킹 쿠키 식별: 표준 세션 식별자와 트래킹 쿠키를 구분하기 위해, 저자들은 식별된 제1자 쿠키에 적용되는 규칙 기반 휴리스틱을 개발하였다. 기준은 다음과 같다:
- 수명(Longevity): 수명 > 90일 (비세션).
- 길이(Length): 최소 8바이트 (충분한 엔트로피).
- 고유성(Uniqueness): 측정 실행 간에 고유함.
- 유사성(Similarity): 문자열 유사도(Ratcliff/Obershelp) ≤ 60%.
- 검증: 이 휴리스틱은 알려진 트래커와 수동 검증되었으며, CookieGraph 데이터셋과 교차 참조되어 높은 일치도를 보였고, Cookiepedia와 같은 커뮤니티 데이터베이스에서 놓친 추가 쿠키들을 식별해 냈다.
생태계 분석:
- 스크립트 클러스터링: 식별된 트래킹 쿠키와 상호작용하는 JavaScript 파일들을 SimHash(Hamming distance $k=8$ )를 사용하여 소스 코드 유사성을 기준으로 클러스터링하였다. 이를 통해 저자들은 스크립트가 제1자 또는 제3자 도메인에 호스팅되는지에 관계없이 그룹화할 수 있었다.
- 속성 부여(Attribution): 클러스터 내에서 발견된 제3자 스크립트 URL을 분석함으로써, 클러스터를 특정 엔티티(예: Google, Meta)에 할당하였다(WhoTracksMe 데이터베이스 사용).
- 네트워크 그래프: 쿠키 클러스터와 JavaScript 클러스터를 노드로 하고, 사용 관계를 나타내는 에지를 사용하여 생태계의 토폴로지를 시각화하는 그래프를 구축하였다.
방어 메커니즘 개발:
- 특징 추출: FPT 관련 JavaScript 요청의 URL 쿼리 파라미터를 분석하여, 매우 편향된 분포(Zipfian-like)를 가진 쿼리 키를 식별하였다. 발생 빈도의 99%를 차지하는 상위 161개 키에 집중하였다.
- 패턴 마이닝: FP-Growth를 사용하여 FPT 관련 URL 데이터셋과 비트래킹 제어 데이터셋으로부터 빈번한 아이템셋(쿼리 키의 조합)을 마이닝하였다.
- 통계적 점수 산정: 아이템셋은 지원 비율(Support Ratio, SR)과 Fisher의 정확 검정(Fisher's exact test)을 사용하여 점수를 매겼으며, 이를 통해 통계적으로 유의미하고 트래킹 트래픽에 풍부하게 포함되어 있는지 확인하였다.
- 규칙 생성: 검증된 아이템셋을 순서가 없는 쿼리 파라미터를 처리하기 위한 긍정적 전방 탐색(positive lookaheads)을 포함한 AdBlock Plus (ABP) 호환 정규식(regex) 규칙으로 변환하였다.

주요 결과

보급률: 분석된 사이트의 54% 이상이 FPT 또는 SST 관련 기술을 배포하고 있다. 본 연구는 사용자 ID를 보유할 가능성이 있는 6,249개의 고유한 쿠키 이름을 식별하였으며, 이를 25,136개의 잠재적 FPT 쿠키 이름으로 정규화하였다.
생태계 구조: FPT 생태계는 492개의 서로 다른 엔티티에 의해 운영되지만 매우 중앙집중화되어 있다. 상위 10개 클러스터는 스크립트 URL의 44%를 차지하며 74%의 사이트에 존재한다. Google이 지배적인 플레이어이며, Meta, Adobe 등이 그 뒤를 잇는다.
이주(Migration): 분석된 트래킹 요청의 상당 부분(8% 이상)은 제1자 컨텍스트 내에서 작동하는 제3자 트래커를 포함한다. 연구 결과, 37%의 모든 스크립트 클러스터가 알려진 트래킹 제공업체에 속할 수 있음이 밝혀졌으며, 이는 측정된 스크립트 URL의 76%를 커버한다.
기존 방어 체계의 무효성: 기존 필터 리스트(EasyList 및 EasyPrivacy)는 식별된 FPT 관련 URL의 **27.5%**만을 차단하였다.
제안된 방어: 저자들은 쿼리 파라미터 패턴을 기반으로 181개의 새로운 차단 규칙을 생성하였다. 이 규칙들은 전통적인 필터 리스트보다 FPT 관련 요청을 63% 더 많이 차단하였다.
오탐/손상(False Positives/Breakage): 새로운 규칙은 테스트된 사이트 중 단 0.04%(2,300개 중 1개)에서만 페이지 손상을 일으켰으며, 이는 높은 정밀도와 낮은 영향도를 나타낸다.

의의 및 주장
본 논문은 FPT 및 SST 생태계에 대한 최초의 대규모 측정임을 주장하며, 트래킹이 단순히 이동하는 것이 아니라 제1자 컨텍스트에 깊게 뿌리박혀 있으며, 콘텐츠 분석 없이는 합법적인 사이트 기능과 구별하기 어렵다는 것을 입증한다.

저자들은 다음과 같이 단언한다:

현재의 방어 체계는 불충분하다: 도메인 이름에 의존하는 전통적인 차단 목록은 트래킹 로직이 제1자 도메인에 존재하기 때문에 FPT를 탐지하는 데 실패한다.
생태계는 상호 연결되어 있다: FPT는 기존의 제3자 인프라(예: Google Tag Manager)에 크게 의존하며, 이는 제3자 생태계를 모방하는 조밀한 의존 네트워크를 형성한다.
통계적 패턴 마이닝은 실행 가능하다: 도메인이 아닌 URL 쿼리 파라미터를 분석함으로써, 상당한 페이지 손상 없이 현재의 리스트보다 성능이 뛰어난 효과적인 차단 규칙을 도출할 수 있다.

본 연구는 FDT가 새로운 개인정보 보호 위협임을 결론지으며, 이는 사용자 제어와 투명성이 현저히 감소한 수준까지 진화한 "고양이와 쥐(cat-and-mouse)" 게임에 대한 새로운 데이터 기반 탐지 및 완화 전략을 요구한다고 밝힌다. 저자들은 분석이 클라이언트 측 지표에 국한되어 있으며 서버 측 백엔드 로직을 검사하지 않는다는 한계점을 언급하며, 향후 연구에서 서버 측 메커니즘을 직접 탐구해야 한다고 제언한다.