알리익스프레스 오디오 핑거프린팅 논란 정리, 도청이 아니라 이런 원리였다

블루투스 이어폰으로 폰 음악을 듣던 개발자 매트 캘러헌(Matt Callaghan)은 이상한 현상을 겪었습니다. 노트북에서 유튜브나 알림음이 울리면 자동으로 폰 오디오가 끊기는 멀티포인트 기능을 쓰고 있었는데, 알리익스프레스 페이지를 열기만 하면 노트북에서 아무 소리도 안 나는데도 폰 쪽 음악이 뚝뚝 끊기는 겁니다. 탭을 음소거해도, 브라우저나 윈도우 소리를 꺼도 소용없었고, 알리익스프레스 탭을 닫는 순간 바로 정상으로 돌아왔습니다.

이 사소해 보이는 버그를 추적하던 캘러헌은 알리익스프레스 사이트에 숨겨진 오디오 핑거프린팅 스크립트를 찾아냈습니다. 지난주 후반 이 사실을 공개한 이후 The Register, Malwarebytes 등 보안 매체들이 잇따라 다루면서 논란이 커지고 있습니다. 이 글에서는 정확히 무슨 일이 있었던 것인지, 그리고 각 브라우저가 어떻게 다르게 대응하고 있는지 정리했습니다.

알리익스프레스 홈페이지. 오디오 핑거프린팅 스크립트는 이 사이트의 방문자 보안·이상 거래 방지 도구 안에 심어져 있었습니다.

오디오 핑거프린팅이란 무엇인가

오디오 핑거프린팅은 마이크로 주변 소리를 녹음하는 방식이 아닙니다. 캘러헌이 분석한 알리익스프레스의 스크립트는 브라우저의 Web Audio API를 이용해 톱니파(sawtooth wave) 신호를 직접 만들어내고, 이 신호가 각 기기와 브라우저의 오디오 처리 과정을 통과한 뒤 미세하게 달라지는 값을 분석기(analyzer)로 측정합니다.

이때 오디오의 게인(gain)을 0으로 설정하기 때문에 사용자는 아무 소리도 듣지 못합니다. 하지만 브라우저 입장에서는 실제로 오디오 그래프를 처리하고 있는 상태입니다. 기기마다 하드웨어나 드라이버, OS 조합에 따라 이 처리 결과가 조금씩 달라지는데, 이 차이를 지문(fingerprint)처럼 활용해 쿠키 없이도 특정 방문자를 다시 알아보는 방식입니다.

캘러헌은 이 코드가 “collina.js”, “fireyejs.js”라는 이름으로 심하게 난독화된 채 알리바바의 “브라우저 보안 및 이상 거래 방지 도구” 안에 들어 있었다고 밝혔습니다.

블루투스 이어폰이 먹통이 된 이유

일반적인 자동재생 동영상이라면 브라우저의 탭 음소거 버튼으로 간단히 막을 수 있습니다. 하지만 이 오디오 그래프에는 브라우저가 음소거 대상으로 인식할 미디어 엘리먼트 자체가 없습니다. 페이지 입장에서는 실시간으로 오디오를 처리하는 중이라서, 음소거 버튼이 개입할 지점이 없는 겁니다.

캘러헌의 사례에서는 이 처리 과정 때문에 브라우저나 윈도우가 블루투스 오디오 경로를 계속 활성 상태로 유지했고, 그 결과 멀티포인트 이어폰이 노트북에서 폰으로 매끄럽게 전환되지 못했습니다. 이어폰 오작동이라는 아주 물리적인 현상이 브라우저 안에서 벌어지던 무음 트래킹을 드러낸 셈입니다.

멀티포인트를 지원하는 블루투스 헤드폰. 출처 : Wikimedia Commons (digitalpush.net, CC BY 4.0)

오디오 신호만 수집한 게 아니다

캘러헌은 같은 코드 안에서 오디오 핑거프린팅 외에도 다음과 같은 정보를 수집하는 흔적을 발견했다고 밝혔습니다.

• 화면 해상도와 크기
• 기기의 메모리 용량
• 설치된 브라우저 플러그인 목록
• WebGL 렌더링 결과
• 마우스 움직임과 클릭 패턴

여기에 더해 이렇게 모은 데이터를 암호화해 알리바바의 텔레메트리 서버로 전송하는 정황도 확인됐습니다. 캘러헌은 이 모든 요소를 합치면 “상당히 정교한 브라우저 및 기기 지문”이 만들어진다고 설명했습니다. 알리바바 측은 아직 이에 대한 공식 입장을 내놓지 않았고, The Register도 논평을 요청한 상태입니다.

브라우저의 오디오·그래픽 처리 미세한 차이를 기기 지문으로 활용하는 방식이라, 사용자가 화면에서 눈치채기는 거의 불가능합니다. 출처 : Wikimedia Commons (Colin, CC BY-SA 4.0)

브라우저마다 대응이 다르다

같은 스크립트라도 브라우저에 따라 실제로 통하는 정도가 크게 다릅니다.

Firefox는 2023년 9월 버전 118부터 WebAudio 기반 핑거프린팅을 무력화하는 보호 기능을 넣었습니다. 파이어폭스 보안 엔지니어 톰 리터(Tom Ritter)에 따르면 이 기능은 추적 자체를 막는 게 아니라, 사용자들을 몇 개의 큰 “버킷”으로 묶어 다 같은 사람처럼 보이게 만드는 방식입니다. 전체 사용자의 99.24퍼센트는 FMA(Fused Multiply-Add) 명령어 지원 여부에 따라 나뉘는 두 개의 큰 버킷 중 하나에 들어가고, 0.76퍼센트는 스크립트 실행 자체가 실패합니다. 다만 전 세계 48명의 사용자는 이 버킷 어디에도 속하지 못하고 23개의 아주 작은 그룹으로 흩어져, 오히려 더 쉽게 식별되는 예외로 남아 있습니다.

Brave는 6년 전부터 기본으로 핑거프린팅 방지 기능을 적용해왔다고 밝혔습니다. 브라우저 출력값에 무작위 데이터를 섞어 사이트마다 다른 지문을 보여주고, 세션이 바뀔 때마다 이 값을 초기화합니다. 여기에 더해 알리익스프레스가 사용한 스크립트 자체를 차단하고 있다고 설명했습니다.

Safari는 “Advanced Tracking and Fingerprinting Protection” 기능으로 오디오 버퍼에 오류를 주입하는 방식을 씁니다. Firefox처럼 사용자를 묶는 대신, 측정값 자체를 조금씩 틀리게 만드는 접근입니다.

Chrome은 이런 종류의 핑거프린팅에 대해 적극적인 방어 기능을 갖추고 있지 않습니다. 톰 리터는 “Chrome과 Safari는 아마 이런 유형의 핑거프린팅에 대한 방어 수단을 갖추고 있을 것”이라고 언급했지만, 프라이버시 컨설턴트 알렉산더 한프(Alexander Hanff)는 앞서 “지금 이 순간에도 Chrome에서 통하는 서로 다른 핑거프린팅 기법이 최소 30가지”라고 지적한 바 있습니다.

중국 항저우의 알리바바그룹 본사. 출처 : Wikimedia Commons (Thomas LOMBARD, CC BY-SA 3.0)

알리익스프레스를 계속 써도 될까

이번에 확인된 방식은 마이크로 대화나 주변 소리를 엿듣는 도청이 아닙니다. 브라우저가 스스로 만든 무음 신호를 처리하는 방식의 차이를 읽어내는 기술이라, 마이크 권한 자체가 필요 없습니다. 다만 사용자 동의 없이 쿠키를 넘어서는 방식으로 기기를 추적하고, 그 과정에서 실제 하드웨어 동작(블루투스 멀티포인트)에 부작용까지 일으켰다는 점에서 프라이버시 문제로 보기에 충분합니다.

당장 할 수 있는 대응은 브라우저 선택입니다. Firefox나 Brave처럼 오디오 핑거프린팅 방지 기능이 기본으로 켜진 브라우저를 쓰면 이번에 알려진 방식은 상당 부분 무력화됩니다. Chrome이나 다른 크로미움 기반 브라우저를 주로 쓴다면, 별도의 프라이버시 확장 프로그램을 설치하는 것도 방법입니다.

자주 묻는 질문 (FAQ)

Q. 알리익스프레스가 마이크로 사용자를 도청한 건가요?

아닙니다. 이번에 발견된 방식은 마이크로 소리를 녹음하는 것이 아니라, 브라우저가 자체적으로 만들어낸 무음 신호를 처리하는 과정의 미세한 차이를 읽어 기기를 식별하는 오디오 핑거프린팅입니다. 마이크 권한 자체가 필요하지 않습니다.

Q. 이 문제는 언제, 누가 처음 발견했나요?

개발자 매트 캘러헌이 블루투스 멀티포인트 이어폰이 알리익스프레스 페이지에서만 오작동하는 것을 이상하게 여겨 원인을 추적하다 지난주 후반 공개했습니다. 이후 The Register 등 보안 매체들이 2026년 8월 24일 전후로 이를 보도했습니다.

Q. 어떤 브라우저를 쓰면 이 추적을 피할 수 있나요?

Firefox는 2023년 9월(버전 118)부터, Brave는 6년 전부터 관련 방어 기능을 기본 적용하고 있습니다. Safari도 자체적인 방지 기능을 갖추고 있는 반면, Chrome은 이런 유형의 핑거프린팅에 대한 방어가 상대적으로 약한 것으로 알려져 있습니다.

정리하며

이번 사례는 눈에 보이지 않는 오디오 신호 하나가 실제 하드웨어 동작에 부작용을 일으키면서 우연히 드러났다는 점이 특히 흥미롭습니다. 알리익스프레스가 이 스크립트를 언제부터 사용해왔는지, 앞으로 관련 정책을 바꿀지는 아직 확인되지 않았습니다. 알리바바 측 공식 입장이 나오는 대로 업데이트하겠습니다.

이 글은 The Register, Malwarebytes 등이 2026년 8월 24일 전후로 보도한 내용과 개발자 매트 캘러헌의 공개 분석을 바탕으로 작성했습니다. 특정 기업의 위법성이나 법적 책임을 단정하는 글이 아니며, 알리바바 측의 공식 반박이나 후속 조치에 따라 사실관계가 달라질 수 있으니 실제 대응 전에는 원 출처 기사를 통해 최신 내용을 확인하시길 권합니다. 인용한 사진의 저작권은 각 출처(Wikimedia Commons, 사진작가 표기)에 있습니다.