AppLovin의 미디어션 암호화 프로토콜을 해킹했습니다.

(buchodi.com)

AppLovin의 광고 미디에한 암호화 프로토콜을 해킹하여, 사용자가 ATT(앱 추적 투명성)를 거부하더라도 정교한 기기 핑거프린팅을 통해 사용자를 재식별할 수 있는 심각한 개인정보 침해 취약점이 발견되었습니다.

이 글의 핵심 포인트

1AppLovin의 자체 암호화 프로토콜 취약점 발견 및 복호화 성공
2ATT(App Tracking Transparency) 거부 시에도 기기 핑거프린팅을 통한 사용자 재식별 가능
3암호화된 페이로드 내 RAM, 화면 해상도, OS 버전 등 50개 이상의 상세 기기 정보 포함
4AppLovin 외 약 12개의 하위 광고 네트워크로 해당 데이터가 실시간 전송됨
5SplitMix64 기반의 취약한 암호화 구조로 인해 데이터 탈취 및 변조 위험 존재

이 글에 대한 공공지능 분석

왜 중요한가?

Apple의 ATT 정책을 우회하여 사용자를 추적하는 '핑거프린팅' 기술이 실제 광고 생태계에서 어떻게 작동하는지 기술적으로 증명되었기 때문입니다. 이는 개인정보 보호 규제의 실효성에 대한 근본적인 의문을 제기합니다.

어떤 배경과 맥락이 있나?

모바일 광고 산업은 IDFA(광고 식별자) 차단 이후, 기기의 하드웨어 및 소프트웨어 특성(RAM, 화면 해상도, OS 버전 등)을 조합해 사용자를 식별하는 고도화된 핑구프린팅 기술을 발전시켜 왔습니다.

업계에 어떤 영향을 주나?

광고 네트워크와 미디에이션 플랫폼에 대한 법적 규제와 기술적 감사 요구가 거세질 것이며, 데이터 수집의 투명성이 확보되지 않을 경우 대규모 과징금이나 서비스 중단 리스크가 발생할 수 있습니다.

한국 시장에 어떤 시사점이 있나?

글로벌 광고 SDK를 사용하는 한국 앱 개발사들은 의도치 않게 개인정보 보호법 위반의 공범이 될 수 있으므로, 서드파티 SDK가 수집하는 데이터의 범위와 흐름을 전수 조사해야 합니다.

이 글에 대한 큐레이터 의견

이번 발견은 '프라이버시 보호'라는 기술적 규제가 얼마나 쉽게 우회될 수 있는지를 보여주는 충격적인 사례입니다. 광고 플랫폼 입장에서는 타겟팅 정밀도를 유지하기 위한 고육지책이었을 수 있으나, 이는 장기적으로 광고 생태계 전체의 신뢰를 무너뜨리고 강력한 규제를 초래하는 부메랑이 될 것입니다.

스타트업 창업자들은 단순히 기능 구현에 매몰될 것이 아니라, 서비스에 포함된 SDK가 가져오는 데이터의 '법적/윤리적 리스크'를 관리해야 합니다. 의도치 않은 데이터 유출이나 규제 위반은 서비스의 존립을 흔들 수 있는 치명적인 리스크입니다. 데이터 기반의 성장을 추구하되, 'Privacy by Design'을 기술적 기본값으로 설정하는 전략적 접근이 필요합니다.

원문 보기 →