개발자 Roy Fish가 자신의 블로그에 올린 글 “Fingerprints Are the New Cookies”가 개발자 커뮤니티에서 화제가 되고 있습니다. 글쓴이는 자신의 웹사이트에 디바이스 핑거프린팅 스크립트를 직접 심어두고, 방문자가 쿠키를 지우거나 VPN을 켜거나 시크릿 모드로 접속해도 거의 동일한 “닉네임”으로 자신을 식별할 수 있다는 것을 실시간으로 보여줍니다. 이 글이 주목받는 이유는 단순한 기술 데모를 넘어, 구글이 수년간 공언해온 “쿠키 없는 프라이버시 중심 웹”이라는 약속이 실제로는 더 강력한 추적 기술의 허용으로 귀결됐다는 점을 짚고 있기 때문입니다.

쿠키를 지워도 똑같은 사람으로 식별되는 원리

핑거프린팅은 쿠키처럼 브라우저에 식별자를 저장하는 방식이 아닙니다. 대신 브라우저가 서버에 요청을 보낼 때 자연스럽게 노출되는 정보—사용 중인 브라우저 종류, 언어 설정, 운영체제, IP 주소, 화면 해상도, 설치된 폰트, 하드웨어 성능 특성 등—을 조합해 사실상 유일한 “지문”을 만들어냅니다. 글쓴이는 이 지문이 쿠키를 삭제하거나, VPN으로 IP를 바꾸거나, 시크릿 모드로 들어가도 거의 변하지 않는다는 점을 직접 시연합니다. 반면 다른 기기(예: 스마트폰)로 접속하면 지문이 달라지는데, 이는 기기 고유의 하드웨어·소프트웨어 조합이 식별자의 핵심이기 때문입니다.

흥미로운 점은 이 글의 서두에 있습니다. 자바스크립트를 꺼둔 독자에게는 “당신은 이 핑거프린팅 기법에서 안전하다”고 밝히는데, 이는 핑거프린팅 상당수가 브라우저에서 실행되는 스크립트를 통해 하드웨어·소프트웨어 특성을 수집하는 방식에 의존한다는 뜻입니다. 다만 글쓴이는 동시에 “네트워크 기반 방법에는 여전히 취약하다”고 경고합니다. IP 주소나 요청 패턴만으로도 어느 정도 추적이 가능하다는 의미입니다.

쿠키보다 핑거프린팅이 더 위협적인 이유

써드파티 쿠키는 사용자가 삭제하거나 브라우저가 차단하면 추적이 끊깁니다. 실제로 사파리와 파이어폭스는 이미 오래전부터 써드파티 쿠키를 기본 차단해왔고, 이는 2019년 전후로 쿠키 추적에 대한 여론 악화와 맞물려 업계 전체의 화두가 됐습니다. 반면 핑거프린팅은 사용자가 능동적으로 지울 수 있는 데이터가 아니라 브라우저와 기기의 고유한 특성 자체를 활용하기 때문에, 쿠키 삭제·VPN 연결·시크릿 모드 전환 같은 기존의 프라이버시 보호 수단이 거의 무력화됩니다. 글쓴이는 이렇게 모은 데이터가 단순히 광고 타겟팅에 그치지 않고, 사용자가 가입한 서비스의 개인정보—이름, 활동 기록, AI와의 대화 내용까지—를 사실상 “구매”할 수 있는 연결고리가 된다고 지적합니다.

글의 핵심 주장은 “이제는 광고가 목적이 아니다”라는 데 있습니다. 개별 사용자를 겨냥한 광고보다, 수많은 사용자의 데이터를 모아 사회·경제·심리 전반의 패턴을 읽어내는 것 자체가 하나의 상품이 되고 있다는 것입니다. “익명화된 데이터니 괜찮다”는 통념에 대해서도, 핑거프린팅으로 식별이 가능해지면 익명화 자체가 무의미해진다는 점을 꼬집습니다.

구글의 3막짜리 쿠키 폐지 서사

이 글에서 가장 날카로운 부분은 구글의 행보를 3막 구조로 정리한 대목입니다. 1막(압박, 2019~2020년)에서는 쿠키에 대한 여론이 악화되자 구글이 “쿠키를 없애고 프라이버시 중심으로 가겠다”고 공언합니다. 2막(지연, 이후 수년)에서는 대안으로 내놓은 Privacy Sandbox가 반독점 우려까지 불거지며 제대로 채택되지 못했고, 결국 “쿠키는 그대로 두되 IP를 마스킹하겠다”는 축소된 약속으로 후퇴했으나 글쓴이는 이마저 제대로 이행되지 않았다고 주장합니다. 3막(가속)에서는 아예 구글이 자사 광고 상품에 디바이스 핑거프린팅 사용을 허용하는 방향으로 전환했다는 것이 글쓴이의 지적입니다.

이 서사가 뼈 있게 느껴지는 이유는 크롬이 전체 브라우저 시장의 상당 부분을 차지하는 가운데, 그 운영사가 동시에 세계 최대 광고 기업이라는 구조적 이해상충 때문입니다. EU가 쿠키 동의 배너 같은 규제를 빠르게 밀어붙이는 동안 정작 기술 기업들은 자체 약속을 지키지 않고 있다는 비판이 글 전반에 깔려 있습니다.

브라우저별 대응 수준과 한국 사용자가 체크할 점

글쓴이는 브라우저들이 “보안”과 “프라이버시”를 다르게 정의하고 있다고 설명합니다. 크롬과 엣지는 웹사이트 코드가 다른 사이트 데이터나 로컬 파일에 접근하지 못하게 막는 ‘격리’ 수준에서 멈춰 있는 반면, 사파리(특히 최신 iOS/macOS)와 파이어폭스는 핑거프린팅 방지 기능까지 일부 포함하지만 완전하지는 않다고 평가합니다. 브레이브(Brave)와 토르(Tor) 브라우저를 프라이버시 보호의 선두주자로 꼽았고, VPN 업체 Mullvad가 내놓은 Mullvad Browser도 주목할 대안으로 언급합니다.

한국 개발자 입장에서는 두 가지를 생각해볼 만합니다. 첫째, 자사 서비스에 분석 도구나 광고 SDK를 도입할 때 핑거프린팅 기반 식별이 포함되어 있는지, 이것이 국내 개인정보보호법상 어떤 처리 근거가 필요한지 점검할 필요가 있습니다. 둘째, 사용자 입장에서는 쿠키 삭제나 시크릿 모드만으로는 추적을 완전히 피할 수 없다는 점을 인지하고, 핑거프린팅 저항 기능이 강화된 브라우저 사용을 고려해볼 수 있습니다. 다만 글의 내용은 어디까지나 글쓴이 개인의 실험과 주장에 기반한 것으로, 구글의 공식 정책 변경 시점이나 세부 조항은 원문에 구체적으로 명시되어 있지 않아 추가 확인이 필요합니다.

원문: Fingerprints Are the New Cookies