내 휴대폰은 내 대화를 듣고 광고를 보여주는 걸까?

친구와 새 러닝화를 이야기한 날, 휴대폰을 켜자 운동화 광고가 뜹니다. 검색한 적도 없다고 생각하면 결론은 거의 자동으로 나옵니다. “휴대폰이 우리 말을 들었나?” 우연이라고 넘기기에는 타이밍이 너무 정확해 보입니다.

답부터 말하면, 일반적인 맞춤 광고를 만들기 위해 휴대폰이 주변 대화를 계속 녹음해 전송한다는 증거는 현재 공개된 대규모 연구에서 확인되지 않았습니다. 그렇다고 마이크 위험이 전혀 없다는 뜻도 아닙니다. 마이크 권한을 가진 앱은 필요한 순간 음성을 사용할 수 있고, 과거에는 사람이 들을 수 없는 소리를 마이크로 잡아 광고 추적에 쓰려 한 기술도 실제로 있었습니다.

그런데 우리가 매일 마주치는 ‘소름 끼치게 정확한 광고’에는 대화를 녹음하지 않아도 되는 설명이 더 자주 들어맞습니다. 내가 검색하고 본 것, 방문한 장소, 앱과 웹사이트에서 한 행동, 광고 회사가 받은 구매 정보만으로도 관심사를 꽤 정확하게 추정할 수 있기 때문입니다. 문제는 휴대폰이 모든 말을 엿듣는다는 한 문장보다 더 넓습니다. 마이크 하나를 끄는 것만으로는 사라지지 않는 수많은 흔적이 이미 광고를 만들고 있습니다.

왜 하필 말한 직후 광고가 나타날까

가령 친구와 캠핑 의자를 이야기한 뒤 같은 날 광고를 봤다고 해보겠습니다. 이 장면만 떼어 놓으면 대화가 원인처럼 보입니다. 하지만 광고 시스템이 볼 수 있는 장면은 더 많습니다. 며칠 전 본 여행 영상, 야외용품 기사를 읽은 기록, 캠핑장 근처의 위치 신호, 쇼핑몰에서 열어 본 상품, 광고 회사와 데이터를 나누는 웹사이트의 방문 기록이 이미 남아 있을 수 있습니다.

이 가운데 하나가 정확히 어떤 광고를 불렀는지는 이용자 화면에서 되짚기 어렵습니다. 그래서 눈에 보이는 대화가 원인 자리를 차지합니다. 사람은 수없이 빗나간 광고보다 방금 한 말과 맞아떨어진 광고 한 번을 더 오래 기억합니다. 광고가 먼저 있었는데 대화 뒤에야 눈에 들어오는 경우도 있습니다. 이것은 경험이 거짓이라는 뜻이 아니라, 경험만으로 데이터가 지나온 길을 확정하기 어렵다는 뜻입니다.

광고 플랫폼의 공식 설명도 이 넓은 경로를 보여 줍니다. 구글은 계정 활동, 이용한 서비스와 대략적인 위치, 현재 보고 있는 웹페이지나 앱 같은 맥락을 광고에 활용할 수 있다고 설명합니다. 메타는 광고주와 파트너가 웹사이트·앱 활동뿐 아니라 구매 같은 오프라인 활동도 보낼 수 있다고 안내합니다. 플랫폼마다 방식과 설정은 다르지만, 공통점은 음성 녹음이 없어도 광고를 고를 재료가 이미 많다는 것입니다.

여기서 ‘추정’도 중요합니다. 광고 회사는 내가 ‘캠핑 의자’를 검색해야만 캠핑 관심자로 분류하는 것이 아닙니다. 여행 콘텐츠, 자동차 이동, 날씨 확인, 함께 소비되는 상품처럼 여러 신호가 겹치면 관심 가능성을 계산합니다. 결과가 맞으면 도청처럼 느껴지고, 틀리면 평범한 광고로 지나갑니다.

1만7천여 개 앱을 살펴본 연구는 무엇을 찾았나

가장 자주 인용되는 실증 연구 가운데 하나는 2018년 학술지 《Proceedings on Privacy Enhancing Technologies》에 발표된 ‘Panoptispy’입니다. 연구진은 구글 플레이와 다른 앱 장터에서 모은 안드로이드 앱 1만7,260개를 코드 수준에서 살폈고, 그중 9,100개는 실제로 실행하며 네트워크로 나가는 정보를 관찰했습니다.

연구가 찾으려 한 것은 단순히 앱에 마이크 기능이 들어 있는지가 아니었습니다. 앱이 주변 소리를 녹음한 파일을 외부로 보내는지 확인했습니다. 시험 범위에서는 실제 음성 파일 전송으로 판정된 사례가 없었습니다. ‘모든 앱이 광고를 위해 늘 듣는다’는 주장과는 거리가 있는 결과입니다.

하지만 이 결과를 “휴대폰은 절대 듣지 않는다”로 읽으면 연구보다 앞서 나갑니다. 연구진도 한계를 적었습니다. 음성을 파일 대신 글자나 특징값으로 바꿔 보냈다면 놓칠 수 있고, 코드가 숨겨졌거나 시험 중 실행되지 않은 기능도 찾기 어렵습니다. 사람의 로그인이나 특정 행동이 있어야 켜지는 기능, 외부에서 나중에 내려받는 코드도 제한입니다. 2018년의 안드로이드 앱을 본 연구이므로 오늘의 모든 앱과 아이폰까지 보증하지도 않습니다.

또 연구에서 음성 파일은 찾지 못했지만 화면과 카메라 정보가 외부로 나가는 사례는 확인됐습니다. 이 대목은 오히려 핵심을 잘 보여 줍니다. 가장 무서운 가설 하나만 바라보면 실제로 수집되는 다른 정보를 놓칠 수 있습니다. 현재 증거가 말하는 가장 정직한 결론은 ‘대규모 상시 음성 도청의 증거는 찾지 못했지만, 앱의 센서와 행동 데이터 수집은 따로 점검해야 한다’입니다.

실제로 마이크를 광고 추적에 쓴 사례도 있다

음성과 광고가 만난 전례가 전혀 없는 것은 아닙니다. 2016년 미국 연방거래위원회(FTC)는 ‘실버푸시’라는 소프트웨어가 포함된 앱 개발사 12곳에 경고장을 보냈습니다. 이 기술은 TV 광고가 내보내는, 사람이 듣기 어려운 고주파 신호를 휴대폰 마이크로 감지해 어떤 TV 광고를 봤는지 연결할 수 있었습니다.

여기에는 중요한 구분이 있습니다. 실버푸시는 사람들의 대화 내용을 받아 적는 기술이 아니었습니다. TV에서 나온 특정 신호를 알아보는 ‘소리 표식’에 가까웠습니다. FTC 발표 당시 실버푸시는 미국에서 해당 기능을 쓰지 않는다고 밝혔지만, FTC는 앱 설명에 이런 수집 사실이 드러나지 않았다면 소비자를 속일 수 있다고 경고했습니다.

이 사례는 두 극단을 모두 피하게 해 줍니다. ‘그런 일은 기술적으로 불가능하다’고 말할 수는 없습니다. 반대로 과거의 음향 표식 사례를 오늘 보는 모든 맞춤 광고가 대화를 받아 적은 증거로 확대할 수도 없습니다. 어떤 소리를, 어느 순간에, 무슨 목적으로 사용했는지를 나눠 봐야 합니다.

음성비서, 통화, 녹음, 영상 촬영처럼 마이크가 반드시 필요한 기능도 있습니다. 이런 기능이 마이크를 사용했다는 사실과, 그 음성이 광고용으로 넘어갔다는 주장은 서로 다른 단계입니다. 첫 단계는 휴대폰 설정에서 확인할 수 있지만 두 번째 단계는 앱의 데이터 처리 방식과 네트워크 전송까지 살펴야 판정할 수 있습니다.

초록 점과 주황 점은 무엇을 알려줄까

요즘 휴대폰은 앱이 마이크나 카메라를 사용할 때 화면 위에 표시를 띄웁니다. 안드로이드 12 이상에서는 오른쪽 위의 초록색 표시를 아래로 내려 누르면 어떤 앱이 마이크나 카메라를 쓰는지 볼 수 있습니다. 아이폰에서는 마이크만 사용 중일 때 주황색 점, 카메라 또는 카메라와 마이크를 함께 쓸 때 초록색 점이 나타납니다.

이 점은 ‘광고 도청 경고등’이 아닙니다. 지금 센서에 접근한 앱을 알려 주는 표시입니다. 통화 앱에서 주황 점이 보이는 것은 정상입니다. 반대로 계산기나 손전등처럼 마이크가 필요 없어 보이는 앱을 열었는데 표시가 반복된다면 이유를 확인할 신호가 됩니다.

표시를 놓쳤다면 기록을 볼 수 있습니다. 안드로이드의 ‘개인정보 보호 대시보드’는 안드로이드 13에서 최근 7일, 안드로이드 12에서 최근 24시간 동안 마이크 같은 권한을 사용한 앱을 보여 줍니다. 아이폰의 ‘앱 개인정보 보호 리포트’는 기능을 켠 뒤 최근 7일 동안 앱이 마이크·위치 같은 정보에 접근한 횟수와 연결한 인터넷 주소를 보여 줍니다.

다만 기록도 판결문은 아닙니다. 마이크 사용 시점은 알려 주지만 앱이 어떤 내용을 저장했는지, 서버로 보냈는지, 광고에 썼는지까지 한 번에 설명하지는 않습니다. 표시가 없었다고 과거 어느 때에도 접근하지 않았다는 뜻도 아닙니다. 기록은 의심할 앱을 좁히는 출발점입니다.

메뉴 이름은 제조사와 운영체제 버전에 따라 조금씩 다릅니다. 안드로이드에서는 설정의 ‘보안 및 개인정보 보호’ 또는 ‘개인정보 보호’에서 ‘개인정보 보호 대시보드’를 찾고, 아이폰에서는 ‘설정 → 개인정보 보호 및 보안’으로 들어가면 됩니다. 앱 개인정보 보호 리포트는 먼저 켜야 그 뒤의 기록이 쌓인다는 점도 기억할 만합니다.

의심스러운 앱은 이렇게 좁혀 보면 된다

먼저 오늘의 마이크 사용 기록을 엽니다. 사용한 기억이 있는 통화, 카메라, 녹음, 음성비서 앱은 맥락과 맞는지 봅니다. 기억나지 않는 앱이 있으면 사용 시각과 앱의 기능을 비교합니다. 마이크가 필요 없는 앱이라면 권한을 ‘허용 안 함’으로 바꾸거나, 필요한 앱은 ‘앱 사용 중에만 허용’ 또는 ‘매번 묻기’로 줄일 수 있습니다.

그다음 광고 설정을 따로 봐야 합니다. 마이크 권한을 끄는 일은 마이크 경로만 막습니다. 검색 기록, 웹·앱 활동, 위치, 광고 파트너가 보낸 데이터는 그대로 남을 수 있습니다. 구글의 ‘내 광고 센터’나 메타의 광고 설정에서 맞춤 광고에 쓰는 활동과 관심 주제를 살펴보고 조정해야 하는 이유입니다.

맞춤 광고를 끈다고 광고가 완전히 없어지거나 모든 데이터 수집이 멈추는 것은 아닙니다. 구글도 맞춤 광고를 끄면 계정 정보와 활동을 개인화에 쓰지 않지만, 현재 보는 페이지의 내용이나 시간대, 대략적인 위치 같은 맥락으로 광고가 나올 수 있다고 설명합니다. 목표는 광고를 0으로 만드는 것이 아니라, 내가 허용한 정보와 실제 작동 범위의 차이를 줄이는 것입니다.

이상 징후가 반복되면 화면을 캡처하고 앱 이름, 시각, 그때 사용한 기능을 적어 두는 편이 좋습니다. 권한을 끈 뒤에도 불필요한 접근이 계속되거나 출처를 알 수 없는 앱이라면 삭제를 고려하고, 공식 앱 장터의 개발자 정보와 개인정보 처리방침을 확인합니다. 한 번의 절묘한 광고보다 반복되는 센서 접근 기록이 훨씬 강한 단서입니다.

오늘 5분만 쓴다면 한 가지만 확인하자

가장 실용적인 점검은 ‘내가 광고를 봤던 순간’을 재현하는 것이 아닙니다. 광고가 어떤 데이터 조각으로 만들어졌는지는 개인이 완전히 되짚기 어렵습니다. 대신 휴대폰이 제공하는 최근 마이크 사용 기록을 여는 것이 빠르고 검증 가능합니다.

기록에 낯선 앱이 없다면 그 사실만으로 광고의 데이터 경로가 깨끗하다고 단정할 수는 없지만, 적어도 상시 마이크 사용 의심은 한 단계 낮출 수 있습니다. 낯선 앱이 있다면 즉시 도청이라고 결론 내리지 말고 권한이 필요한 기능이 있었는지 먼저 확인한 뒤, 필요 없다면 권한을 줄이면 됩니다.

그리고 소름 끼치는 광고를 다시 만났을 때 질문을 하나 바꿔 보십시오. “마이크가 들었나?”에서 끝내지 말고 “내 검색·위치·구매·앱 활동 가운데 무엇이 이 추정을 가능하게 했나?”까지 묻는 것입니다. 이 질문은 공포를 줄이는 데서 그치지 않고, 실제로 조정할 수 있는 설정으로 이어집니다.

휴대폰이 내 말을 전혀 들을 수 없는 기계는 아닙니다. 하지만 광고가 나를 알아보는 힘의 대부분을 마이크 하나로 설명하면, 눈앞의 더 크고 일상적인 추적을 놓치게 됩니다. 가장 정확한 태도는 무조건 안심하거나 무조건 도청이라고 믿는 것이 아닙니다. 센서 기록은 센서 기록으로 확인하고, 광고 추적은 광고 설정에서 따로 줄이는 것입니다.