2026-07-31

페이스북 마켓플레이스나 크레이그리스트는 사진의 GPS 데이터를 정말 지워줄까? 두 건의 독립 조사 결과

온라인에서 무언가를 팔 때는 거의 항상 같은 방식으로 시작합니다. 휴대폰을 물건에 대고, 사진을 찍고, 올립니다. 사진 자체 말고는 아무것도 신경 쓰지 않습니다. 하지만 그 파일에는 사진 이상의 것이 담겨 있습니다. 그 사진들 하나하나에는 정확히 언제, 어디서 촬영되었는지를 기록하는 EXIF 블록이 들어 있을 수 있고, 낡은 자전거나 남는 모니터를 팔 때 쓰는 앱이 어디냐에 따라 그 위치 정보가 낯선 사람의 화면까지 그대로 따라갈 수도 있습니다. 실제로 그렇게 되는지는 대부분의 사람들이 생각하는 것보다 훨씬 예측하기 어렵습니다.

말 한마디 없이도 사진이 낯선 사람에게 알려주는 것

컨슈머 리포트(Consumer Reports)는 이를 직접 실험했습니다. 홈 플레이트에 선 리틀 리그 유니폼 차림 소년을 찍은 흑백 사진에는 캡션도 없었고, 프레임 안에도 장소를 알려주는 단서가 전혀 없었습니다. 하지만 EXIF 데이터만으로도 이 경기가 2018년 6월 6일 오후 7시 15분, "오하이오의 한 작은 마을에 있는 교회 뒤편 흙바닥 야구 다이아몬드"에서 아이폰 X로 촬영되었다는 사실을 확인하기에 충분했습니다. 누구도 추측하거나 조사할 필요가 없었습니다 — 좌표는 처음부터 파일 안에 그대로 들어 있었으니까요. 사이버보안 기업 스트로즈 프리드버그(Stroz Friedberg)의 부사장이자 디지털 포렌식 전문가인 조너선 라예프스키(Jonathan Rajewski)는 이 매체에 온라인 마켓플레이스 버전의 같은 문제를 이야기했습니다. 한 크레이그리스트 판매자가 GPS 태그가 그대로 남은 상품 사진을 그에게 보낸 적이 있었다는 것입니다. "저는 속으로 '이제 당신이 어디 사는지 알게 됐는데, 사실 알고 싶지는 않았다'고 생각했습니다"라고 그는 말했습니다 — 그러고는 그 판매자에게 실제로 무슨 일이 일어난 것인지 설명해주어, 다음번에는 더 나은 선택을 할 수 있도록 도왔습니다.

3년 간격을 둔 두 번의 조사가 어떤 플랫폼이 지우는지 확인했고, 대체로 일치했다

안심이 되는 사실 하나는, 여러 주요 플랫폼이 업로드 시 실제로 EXIF 데이터를 제거한다는 것입니다. 카스퍼스키(Kaspersky) 공식 블로그는 2016년 10월 자체 실험을 진행해 페이스북, 트위터, VK.com, 인스타그램, 이베이, 크레이그리스트가 모두 메타데이터를 삭제한다는 것을 확인했고, 반면 구글플러스, 플리커, 구글 포토, 텀블러는 그렇지 않다는 것도 확인했습니다. 그로부터 3년 뒤인 2019년 12월, 독립적으로 진행된 컨슈머 리포트의 업데이트 조사도 거의 같은 결과를 보였습니다 — 페이스북, 인스타그램, 왓츠앱, 트위터, 임거, 크레이그리스트는 지웠고, 플리커, 구글 포토, 애플 포토는 지우지 않았습니다. 페이스북, 트위터, 인스타그램, 크레이그리스트 네 곳은 3년 간격을 둔 두 조사 모두에서 "지운다" 쪽에 있었습니다 — 서로 독립된 두 시점 조사가 이 정도로 일치한다는 것은 꽤 신빙성 있는 확인이라 할 만합니다.

"조사에서 지우는 것으로 확인됨"과 "반드시 지워줌"은 다르다

여기서 정확히 짚어야 할 것이 두 가지 있습니다. 안심되는 결과 뒤에 이 둘이 가려져 있기 때문입니다. 첫째, 이는 3년 간격을 둔 특정 시점의 조사일 뿐이며, 업로드 시 동작 방식은 어느 기업이든 아무 통보 없이 바꿀 수 있습니다 — 어떤 플랫폼의 EXIF 처리 정책도 계약으로 고정되어 있거나 영구적이지 않으며, 위 목록 어느 쪽도 "현재 사실"이 아니라 "특정 두 조사가 그 시점에 확인한 결과"로 읽어야 합니다. 둘째, 실제로 물건을 파는 사람에게 더 중요한 점인데, 두 조사 모두 플랫폼 자체의 공개 매물 등록 경로를 통해 업로드된 사진에 대한 것이었습니다. 다른 방식으로 전달된 사진 — 다이렉트 메시지에 첨부하거나, 관심 있는 구매자에게 바로 이메일로 보내거나, "사진 더 있어요?"라는 요청을 받고 문자로 보낸 사진 — 에 대해서는 두 조사 모두 아무것도 말해주지 않습니다. 정확히 이것이 라예프스키의 크레이그리스트 일화가 보여주는 구조입니다 — 유출이 일어난 곳은 공개 매물 사진이 아니라, 플랫폼의 주 업로드 경로가 적용되었을지도 모르는 범위를 벗어나 직접 전달된 후속 사진들이었습니다.

카스퍼스키 자신의 단서 조항도 건너뛰지 말고 되짚어야 한다

"도둑들이 매물 사진의 GPS 데이터를 이용해 판매자를 노린다"는 말을 이미 확립된 사실처럼 읽고 싶어질 수 있습니다. 실제로 그렇게 회자되고 있기 때문입니다. 하지만 카스퍼스키의 2016년 글 자체는 그렇게 단정하지 않도록 조심하고 있습니다 — "'판매' 게시물에 올라온 물건이 도난당했다는 이야기가 무성한데, 아마도 도둑이 사진 메타데이터에서 위치를 알아낸 결과로 추정된다"라고, 단서를 붙인 표현을 씁니다. 맥아피나 리얼리티 위너 사례처럼 이름과 날짜가 붙은 기록된 사건이 아니라, 어디까지나 조심스러운 추정입니다. 이 글의 논지가 정직하게 성립하려면 그 추정이 사실일 필요는 없습니다. 독립적으로 확인된 다음 두 가지만 있으면 충분합니다 — 메타데이터는 기본값으로 정말 파일 안에 들어 있다는 것, 그리고 특정 공유 경로가 그것을 지워주는지는 일관되지 않으며 전송 버튼을 누르는 그 순간에는 확인할 방법이 없다는 것입니다.

실제로 이 틈을 메우는 것

어느 플랫폼인지, 몇 년도인지, 구매자의 후속 질문에 답하려고 사진을 어떤 경로로 보내는지와 무관하게 통하는 유일한 조치는, 파일이 여러분 자신의 기기 바깥 어디에도 존재하기 전에 EXIF 데이터를 먼저 제거하는 것입니다. NearScrub이 JPEG와 PNG 파일에 대해 하는 일이 바로 이것입니다. 사진을 넣으면 GPS 좌표, 타임스탬프, 기기 식별자를 비롯한 EXIF/XMP/IPTC 필드가 브라우저 안에서만, 파일이 어디로도 나가기 전에 제거됩니다 — 업로드도, 서버도 없고, 2026년 현재 크레이그리스트의 정책이 2016년이나 2019년 조사 결과와 여전히 같은지에 기댈 필요도 없습니다. 매물 사진이든, 구매자가 요청한 추가 사진이든, 올리는 대신 문자로 보낸 사진이든 — 모두 같은 깨끗한 파일에서 시작하므로, 어떤 경로로 나가든 상관없습니다.