인터넷 개인 정보 침해 논란의 중심에 등장하는 존재가 있다. 바로 인터넷에서 사용자들의 정보를 저장 관리하는 ‘스텔스 기술’인 쿠키(cookies)라는 놈이다.

쿠키는 1994년 넷스케이프에 의해 처음 탄생된 기술로, 사용자들의 WWW 이용을 편리하게 해주기 위한 목적으로 만들어졌다. 오늘날 쿠키는 WWW 이용을 편리하게 해줄 뿐만 아니라, 웹 사이트가 사용자 정보를 수집하도록 하기 위한 조금 ‘조잡한’ 기술로 널리 이용되고 있다.

이 쿠키의 정체는 웹 서버에 의해 사용자의 하드 디스크에 저장된 최대 사이즈가 4k에 불과한 텍스트 파일이다.

쿠키에는 사용자의 컴퓨터와 웹 서버 사이를 오고 가는 HTML 정보가 저장된다. 쿠키는 대개 웹 서버가 데이터를 주고 받을 때 사용하는 CGI(Common Gateway Interface) 스크립트로 만들어진다. 하지만 쿠키는 자바스크립트에서도 읽을 수 있도록 수정이 가능하다.

여러분이 HTML에 전혀 익숙치 않다 하더라도 다음의 쿠키의 기본 성격을 정의하는 스크립트 정도는 이해하고 넘어갈 필요가 있다.

Set-Cookie: NAME=VALUE; expires=DATE;
Path=PATH; domain=DOMAIN_NAME:
Secure

여기서 중요한 것은 expires=DATE, 즉 ‘만기일’과 domain=DOMAIN_NAME, 즉 도메인 네임을 뜻하는 부분이다. 원래 쿠키는 사용자의 인터넷 세션의 시간과 동일한 수명을 갖도록 만들어졌다. 그러나 대다수의 웹 서버들은 이 만기일을 더 오래 잡아 쿠키가 사용자 하드 디스크에서 계속 효력을 발휘하도록 하고 있다.
쿠키센트럴 웹 사이트(CookieCentral Web site)에 따르면, 쿠키의 기능은 보통 두 단계로 나누어 설명할 수 있다.

첫번째는 사용자가 웹 사이트를 방문할 때 쿠키가 컴퓨터 하드 디스크에 저장되는 단계다. (윈도 시스템에서 쿠키는 보통 WindowsCookies 디렉터리에 저장된다. 하지만 이 저장 디렉터리는 사용자의 설정에 따라 달라질 수 있다.)

예를 들어, 사용자가 라이코스(Lycos.com) 웹 사이트에 방문해 자신의 계정을 새로 만들기로 했다고 가정하자. 자신의 계정을 만들기 위해 사용자는 자신의 이름, 생년월일, e메일 주소 등을 입력해야 한다. 이때 라이코스는 사용자의 하드 디스크에 텍스트 파일, 즉 쿠키를 전송해 사용자 브라우저를 확인하는 특정 ID 번호를 저장한다. (말하자면, 쿠키는 사용자 브라우저를 확인하는 파일이지 사용자 개인을 확인하기 위해 저장된 파일은 아니다.)

이때 쿠키에 저장되는 정보의 내용은 각 상황에 따라 다르다. 하지만 공통적으로 쿠키에는 쿠키를 저장한 사이트의 도메인 네임, 그 특정 사이트를 구분하는 숫자, 그리고 쿠키의 수명 등과 같은 정보가 담긴다. 대부분의 사람들은 쿠키 안의 텍스트를 거의 이해할 수 없다. 하지만 이렇게 저장된 정보를 통해 웹 서버는 사용자의 ID, 사이트 이용 방식과 같은 개인적인 정보를 이해하게 된다.

두 번째는 사용자 컴퓨터에 저장된 쿠키 정보가 웹 서버에 다시 전송되는 단계다. 예를 들어, 사용자가 전에 자신이 방문했던 라이코스 사이트를 재 방문할 경우, 라이코스 웹 서버는 사용자 컴퓨터에 저장된 쿠키를 통해 브라우저를 확인하고 그 외에 여러 개인 정보를 습득할 수 있다. 이 때문에, 사용자는 자신이 과거 입력한 ID나 패스워드와 같은 개인 정보를 또 다시 입력해야 하는 번거로움을 면할 수 있다.

쿠키가 먹는 게 아닌 건 알았는데, 그 용도는 뭐지?

앞서 설명한 것처럼 쿠키는 원래 넷스케이프 사에서 사용자의 ID만 저장하기 위해 만들어진 도구였다.

그러나 상업용 인터넷 사이트의 수가 폭발적으로 증가하고, 서로 간의 경쟁이 치열해 짐에 따라, 다른 사이트가 제공하지 못하는 ‘특별’ 서비스를 고객에게 제공해야 한다는 욕심이 따라 증가하기 시작했다.

오프라인 주유소들의 경우, 고객들을 더 끌어 모으기 위해 기름값을 인하하거나, 무료 엔진 오일을 넣어주거나, 타이어 압력을 체크해 주거나, 심지어는 유리 장식품까지 공짜로 나눠주곤 한다. 물론 이들의 경쟁은 그 특정 지역에서만 한정돼 있다.

인터넷에선 지역 간의 경쟁이란 찾아보기 어렵다. 웹 사이트들은 전세계를 상대로 경쟁을 벌여야 하기 때문에 고객 확보에 대한 압박이 더 심하다. 그러나 인터넷에선 주유소처럼 방문하는 고객들에게 친절히 인사를 할 수도, 엔진 오일을 넣어줄 수도, 타이어를 체크할 수도, 자동차 앞 유리창을 닦아 줄 수도 없다. 인터넷이 고객 서비스를 위해 이용할 수 있는 것은 오직 컴퓨터와 사용자, 그리고 쿠키 뿐이다.

사용자의 개인 정보를 저장하는 쿠키는 사이트 방문객의 경험을 이해하고 각 사용자의 취향에 따라 ‘특별’ 서비스를 제공할 수 있는 최상의 도구가 된 셈이다. 결국 쿠키는 단순히 사용자의 ID를 확인하는데 그치지 않고 상업적인 목적을 위한 도구로 그 기능을 크게 확장하기 시작했다.

다음은 요즘 쿠키가 가장 흔히 사용되는 몇 가지 용도들이다.

사이트 개인화: 쿠키는 사용자의 ID와 패스워드 외에도 사용자의 ‘취향’까지 저장할 수 있다. 예를 들어, 라이코스를 방문한 어떤 사용자는 스포츠 뉴스는 보지 않고, 사이트를 방문하자마자 비즈니스 페이지에서 주식 정보를 보길 원한다고 하자. 혹은 아마존 사이트를 방문하자마자 매번 고전 음악 CD 섹션으로 들어가고 싶다고 하자. 이런 각 사용자의 취향은 쿠키에 심어놓은 정보를 통해 웹 사이트에 그대로 반영될 수 있다. 이렇게 사용자 개개인을 위한 개인화 서비스를 마련해 주는 것은 다른 웹 사이트와의 경쟁에서 중요한 이점이 될 수 있다.

장바구니(Shopping Cart) 시스템: 전자상거래 사이트에서 흔히 사용되고 있는 장바구니 시스템은 사용자가 원하는 물건을 선택하고 나중에 와서 선택한 물건을 구입할 수 있게 한다. 이렇게 웹 사이트가 사용자의 구매 내역을 ‘기억하게’ 해주는 것은 모두 쿠키를 이용한 덕분이다. 게다가, 과거 구매 기록이 있는 사용자에게는 그와 비슷한 또 다른 아이템을 추천하는 추천 기능까지 제공할 수 있다.

웹 사이트 이용 방식 추적: 많은 수의 사이트들은 사용자가 웹 사이트를 이용할 때 그 뒤를 추적해 필요한 정보를 캐내고 있다. 웹 사이트가 다른 사이트와의 경쟁에서 이기기 위해선 사용자들의 사용 방식을 제대로 파악해 사이트의 디자인과 기능을 개선할 필요가 있기 때문이다. 예를 들어, 웹 사이트는 쿠키를 통해 특정 페이지에 얼마나 많은 사람들이 방문했는지, 어떤 페이지에 방문률이 가장 떨어지는지 확인할 수 있다. 그러나 쿠키를 이용한 이런 고객 정보 획득은 불법 감시 카메라와 같다며 항의하는 의견도 만만치 않다.

타깃 마케팅: 지금 자신의 쿠키 디렉터리를 열어보면, 아마 자신이 단 한번도 방문한 적이 없는 사이트의 도메인 네임을 가진 파일들이 눈에 띌 것이다. 이 파일들은 더블클릭(DoubleClick)과 같은 온라인 광고 대행 업체들에 의해 만들어진 것들이다. 더블클릭은 야후나 라이코스 같은 인기 있는 웹 사이트의 광고 공간을 미리 사들여 이것을 다른 제3의 업체들이 광고를 낼 수 있도록 ‘임대’해 준다. 문제는 이 제3의 업체들이 자신들이 낸 광고가 얼마나 효과를 얻고 있는지 궁금해 한다는 점이다. 이를 위해 더블클릭은 이 제3의 업체들의 쿠키를 사용자 컴퓨터에 저장하고 사용자들의 이용 정보를 수집한다. 더블클릭은 이렇게 수집된 사용자 정보를 업체들에게 판매해 그들의 광고를 얼마나 많은 사람들이 보는지, 그 자리에서 고객들이 선호하는 광고는 무엇인지 확인할 수 있다. 쿠키가 개인 정보 유출의 주범으로 지목 받는 것은 바로 이러한 용도 때문이다.

그러나 쿠키의 옹호자들은 쿠키 덕분에 오히려 원치 않는 광고 대신, 사람들이 원하는 적절한 광고를 낼 수 있게 되지 않았느냐고 반문한다. 이들은 쿠키가 오직 사용자들이 원하는 것을 정확히 전달해 줄 뿐 그 이외의 부작용은 없다고 주장한다. 그러나 최근 퓨(Pew)에서 실시한 설문 조사에 따르면 겨우 27%의 사용자들만이 쿠키를 통한 정보 추적이 유용하다고 생각하는 것으로 나타났다.

쿠키에 관한 오해들

요즘도 쿠키가 사용자 컴퓨터에 바이러스를 옮기고 파일을 삭제할 수 있다고 믿는 사람들이 꽤 되는 것으로 알고 있다. 그러나 이는 사실이 아니다. 쿠키를 둘러싼 논쟁은 가끔 쿠키에 대한 억울한 모함으로까지 발전하곤 한다. 쿠키에 대한 공정한 시각을 갖기 위해 쿠키를 둘러싼 몇 가지 오해들을 풀어보도록 하자.

쿠키는 사용자 컴퓨터 하드에 악영향을 끼칠 수 있다: 쿠키는 실행 파일이 아닌 텍스트 파일이다. 쿠키엔 데이터를 저장하는 기능 밖에 없다. 쿠키는 사용자 하드 디스크를 스캔하거나 디렉터리를 읽거나, 파일을 지우거나, 바이러스를 옮기는 등의 기능은 절대 수행할 수가 없다.

특정 웹 사이트가 저장한 쿠키를 다른 웹 사이트에서도 읽어 들일 수 있다: 그렇지 않다. 쿠키는 자신에게 저장된 도메인 네임을 갖고 있는 사이트만 엑세스가 가능하다.

쿠키는 e메일 주소를 훔쳐갈 수 있다: 사용자 e메일 주소가 쿠키에 저장되는 경우는 사용자가 특정 웹 사이트에서 자신의 e메일 주소를 입력했을 때 뿐이다. 여기에 저장된 쿠키는 그 특정 사이트에서만 엑세스가 가능하기 때문에 e메일 주소가 쿠키를 통해 불법 유출되는 일은 없다.

쿠키는 웹 사이트 사용자를 추적하는 유일한 방법이다: 그렇지 않다. 사용자가 웹 사이트를 방문할 때 가장 먼저 드러나는 정보는 그 사용자의 ISP와 OS, 브라우저 종류, IP 주소, 그 밖에 하드웨어/소프트웨어 정보들이다. 이들 정보가 쿠키에 저장된 정보만큼 민감한 것은 아니지만, 웹 사이트를 방문할 때마다 이런 정보가 자동으로 새어 나간다는 것은 일반인들에겐 조금 생소한 일일 것이다.