Faceapp 개인정보 - faceapp gaeinjeongbo

사용자 몰래 서버에 업로드

얼굴 사진에 여러 효과를 적용하는 FaceApp이 근래 폭발적인 인기를 누리고 있다. 많은 다운로드 수와 좋은 평점은 물론 구글의 추천까지 받고 있다. 그런데 이 앱이 프라이버시 논쟁에 휩싸였다.

처음엔 이 앱이 기기에 있는 모든 사진을 임의로 개발사 서버에 업로드한다는 의혹이 제기됐지만, 코드와 트래픽을 상세히 분석한 몇몇 보안 전문가에 의해 사실이 아닌 것으로 일단 밝혀졌다. 그러나 사용자가 선택해 필터를 적용 중인 사진은 개발사 서버로 업로드되는 것으로 확인됐다.

페이스앱 측의 해명에 따르면, 업로드된 사진은 영구 저장되는 것이 아니라, 대부분 48시간 내에 삭제된다고 한다. 하지만 어떻게 검증할 것인가.

이 자체만으로도 큰 문제라고 생각한다. 파일 변환 서비스 같은 것은 크게 2가지 방법으로 제공된다. 웹 사이트에서 바로 처리하는 방식과 앱을 설치해서 하는 방식이다. 웹에서 하는 것이라면 당연히 파일을 업로드해야 한다. 그러나 앱에서 하는 경우에는 사용자의 기기에서 처리하는 것이 맞다. 아니면 뭐하러 앱을 설치하겠는가.

FaceApp 측에 따르면, 필터 적용을 위해 클라우드를 이용할 기술적인 필요성이 있다고 한다. 그렇다고 치자. 그러나 파일을 서버에 업로드하는 것은 악의적이든 관리 소홀이든 개인정보 유출로 이어질 수 있으므로, 사용자의 동의 아니면 최소한 인지는 필요하다. 따라서 명확하게 서버로 전송되어 처리된다고 알려야 한다.

전체 사진을 서버로 전송(탈취)하는 것이 아니라 선택한 사진만을 전송하는 것은 이런 앱에서 일반적으로 예상할 수 있는 작동 방식이라는 견해(참2)가 있지만, 동의할 수 없다. 앱은 기기에서 작동하는 것이 원칙이다. 비슷한 문제는 2019년 초에 이미 제기된 적이 있다(관1).

또한 페이스앱은 기기 ID와 모델 등 기기 관련 정보도 수집하는데, 이것도 (참2)에서는 일반적으로 예상할 수 있는 일이라며 두둔하고 있다. 그러나 이 점에도 동의할 수 없다. 이런 일이 흔하다는 것은 사실이지만, 과도한 권한 요구인 것은 명백하다. 잘못된 일이 만연하다고 그것이 정당화되는 것은 아니다.

PUP 악성코드

이 문제를 러시아에 대한 편견으로 몰아가는 견해도 있다. 페이스앱의 개발사는 러시아 국적이다. 사람들은 이미 구글 포토와 페이스북 등 많은 서비스에 사진을 올리고, 이들 회사는 약관상 이 정보를 활용할 권리를 갖고 있으므로, 페이스앱만의 문제가 아니라는 것이다. 문제는 오직 미국 회사냐 러시아 회사냐 하는 것뿐이라는 것이다(참3). 참으로 억지스런 주장이다.

구글 포토와 페이스북에 사진을 올리는 것은 이용자들이 자발적으로 하는 것이다. 회사의 정보 활용 권리까지는 잘 모르더라도, 자신의 사진이 서버에 저장된다는 것은 모르는 사람이 없다. 그러나 FaceApp의 설명에는 어디에도 사진이 서버에 저장된다는 말이 없다. 또한 구글 포토와 페이스북은 공유가 주된 기능이다. 그러나 FaceApp은 그렇지 않다는 점도 큰 차이점이다.

사용자의 동의 혹은 인지는 정상적인 소프트웨어인지 악성코드인지를 구별하는 데 중요한 판단 요소이다. 위치 추적 앱을 예로 들어 보자. 사용자들이 알고 사용하면 연인끼리 안전을 확인하는 등 유용한 앱이 된다. 그러나 몰래 사용한다면 사생활을 염탐하는 스파이웨어이다. 이렇게 애매한 부류의 소프트웨어를 특히 PUP(Potentially Unwanted Program, 잠재적인 악성코드)라고 부른다. FaceApp은 악성코드로 분류돼도 할 말이 없는 것이다.

한편 iOS 버전 사용자들 사이에, 페이스앱이 권한 설정을 무시한다는 지적이 있었다. 사진 접근 권한을 허용하지 않아도, 파일 선택 인터페이스를 통해 사진을 열 수 있다는 것이다. 그러나 이것은 오해다.

파일 접근 권한은 앱이 스스로 파일에 접근하는 것을 제한하는 것이다. 대화 상자 등을 통해 사용자가 직접 선택하는 것은 막지 않는다. 이는 운영체제의 정상적인 작동 방식으로, Windows도 마찬가지다.

관련 자료

1. 이용자 사진을 수집하는 악성 카메라 앱

참고 자료

1. FaceApp responds to privacy concerns
2. Is FaceApp an evil plot by 'the Russians' to steal your data? Not quite
3. FaceApp is back and so are privacy concerns 

AR(증강현실) 기술로 얼굴을 예쁘게 변형시키는 앱이 인기몰이 중이다. [브왈라 애플리케이션]

최근 얼굴 사진을 디즈니 3D(3차원) 애니메이션 주인공으로 바꿔주는 ‘브왈라’(Voilà AI Artist: ‘여기’ 또는 ‘맞아요’라는 뜻) 애플리케이션(앱)이 인기를 끌고 있다. 이 앱에서 깜찍한 만화 주인공처럼 바뀐 자신의 사진을 SNS(소셜네트워크서비스) 프로필이나 피드에 올리는 게 유행이다.

브왈라를 비롯해 AR(증강현실) 기술로 얼굴을 예쁘게 꾸미거나 우스꽝스럽게 변형시키는 다양한 필터와 앱이 등장해 인기몰이 중이다. 그런데 얼굴 데이터를 활용한다는 점에서 보안 문제도 수면 위로 떠오르고 있다.

디즈니 스타일 얼굴 AR 앱 대세

브왈라가 인기를 끄는 이유는 얼굴 느낌을 유지한 채 큰 눈, 부드러운 선, 생생한 컬러링 효과를 구현해서다. 이 앱에는 2D/3D 애니메이션, 르네상스 효과, 캐리커처 등 4가지 옵션이 있다. 사용자가 사진을 업로드하거나 촬영한 후 옵션을 선택하면 애니메이션 캐릭터가 만들어진다. 이 이미지를 저장하거나 SNS에 업로드할 수 있다.

셀카를 보정하거나 변형하는 AI(인공지능) 앱은 안면인식 시스템에서 핵심인 이미지 인식 기술로 작동한다. 입력된 데이터를 기반으로 이미지를 모방하고 스스로 학습하는 딥러닝을 통해 눈꺼풀, 광대뼈, 턱선, 콧대 등 얼굴의 주요 특징을 인식하고 변형시킨다. 사용자들의 사진에서 데이터를 수집함으로써 더욱 정교하게 작동한다.

브왈라처럼 얼굴을 바꿔주는 앱으로 페이스앱(FaceApp)이 한때 유행한 적이 있다. 이 앱은 얼굴 모습을 통해 성별을 바꾸고, 어리거나 늙어 보이게 하는 것이 특징이다. 방대한 데이터를 바탕으로 주름을 시뮬레이션하고 머리카락이 빠지는 헤어라인을 예측해 노후 모습을 보여준다.

성별을 바꾸고 어리거나 늙어 보이게 사진을 바꾸는 페이스앱(위). 스냅챗 애니메이션 필터. [페이스앱 애플리케이션, 스냅챗 애플리케이션]

스냅챗(Snapchat)도 실사를 디즈니 애니메이션처럼 바꿔주는 필터를 제공하고 있다. 얼굴 이미지를 감지한 뒤 AR 기술을 통해 해당 얼굴에 가상 요소를 겹쳐서 보여준다. 모든 과정이 매우 빠르게 처리돼 수초 만에 새로운 얼굴이 생성된다. 피사체가 고개를 돌리거나 다른 표정을 짓는 순간 실시간으로 AR를 구현한다.

AR 필터는 유행하는 메이크업을 덧씌우고 반짝이는 요소를 렌더링(rendering)하거나, 얼굴을 완전히 사라지게 할 수도 있다. 다양한 필터로 얼굴을 예쁘게 꾸미는 것은 물론이고 초현실적으로 또는 우스꽝스럽게 바꿀 수도 있다.

디즈니 애니메이션 캐릭터로 얼굴 사진을 바꿔주는 AR 앱이 트렌드가 된 것은 이번이 처음은 아니다. 모바일 앱 리서치 회사 센서 타워(Sensor Tower)에 따르면 지난해 8월 스냅챗이 반려동물을 디즈니 애니메이션화하는 필터를 출시하자 앱 다운로드 수가 2850만 건으로 대폭 증가한 바 있다.

올해 스냅챗은 동물이 아닌 사람 얼굴에 적용한 카툰 스타일 3D 렌즈 필터를 내놓으면서 다시 한 번 선풍적인 인기를 끌고 있다. 현재 2억5000만 명 이상이 이 필터를 사용하고 있다. SNS 앱 틱톡(TikTok)에서도 스냅챗을 사용해 디즈니 공주로 변신한 비디오가 끊임없이 공유된다.

브왈라가 앱스토어에서 1위에 오르자 스냅챗은 픽사로부터 영감을 받은 듯한 필터를 다시 제공하며 AR 애니메이션 열풍에 동참했다. 페이스북의 AR 필터 개발 플랫폼 스파크(Spark) AR도 새로운 기능을 선보였으며, 애플은 AR 소프트웨어 리얼리티키트(RealityKit)의 얼굴 추적 기능을 업데이트하겠다고 발표했다. 디즈니 스타일에서 벗어나 얼굴을 더 창의적으로 바꿔주는 AR를 통해 트렌드가 더 확장할 것으로 보인다.

개인정보를 담은 얼굴 사진

얼굴을 변형해주는 AI 앱은 셀카를 편집할 때 사용자 사진을 클라우드 서버에 저장하기 때문에 개인정보 보안에 대한 논란이 늘 있어왔다. 사진이 인터넷상에 떠돌거나 원하지 않는 목적으로 도용될 우려가 있어서다. 여기에는 사용자의 신상과 위치 정보 같은 중요한 개인정보도 포함돼 있다.

브왈라는 기존의 얼굴 보정 또는 얼굴 변형 앱과 비슷한 개인정보보호정책을 펼치고 있다. 브왈라를 개발한 캐나다 기반의 신생업체 웨매진AI(Wemagine.AI)는 사용자가 플랫폼에 업로드한 이미지를 소유하지 않지만 사용할 권리를 갖는다고 명시하고 있다. 또한 이미지는 대부분 24~48시간 후 삭제된다고 밝혔다. 다만, 인터넷 사본의 특성상 다른 곳에 사진이 남겨질 공산이 있다.

최근 틱톡이 사용자 콘텐츠에서 목소리, 얼굴 사진 등 개인정보를 수집할 수 있다는 내용으로 개인정보보호정책을 업데이트했다. 필요시 생체인식 정보 같은 매우 민감한 정보도 사전 동의를 받아 수집하겠다는 내용도 포함돼 있다. 수많은 사용자를 등에 업은 채 개인정보를 대놓고 수집하는 앱이 나타날 수도 있는 것이다.

보안 소프트웨어업체 멕아피(McAfee)의 수석 엔지니어 스티브 포볼니는 미국 ‘USA 투데이’를 통해 “얼굴 사진은 디지털 정체성을 나타내는 수단으로, 사용자가 인식하는 것보다 훨씬 더 많은 정보를 담고 있다”며 “미래에 자신의 데이터가 어떻게 도용될지 제대로 예측하기 힘든 상황에서 사용자의 데이터, 특히 사진을 수집하는 앱을 쓰는 것은 위험할 수 있다”고 지적했다.

*포털에서 ‘투벤저스’를 검색해 포스트를 팔로잉하시면 다채로운 투자 정보를 만나보실 수 있습니다.

주간동아 1297호 (p44~45)