2026-09-25
메타 엔지니어가 내부 보안을 우회해 페이스북 비공개 사진 3만 장을 내려받았습니다 — 위협이 내부자일 때 업로드 전 메타데이터 제거가 바꾸는 것
사진 프라이버시에 관한 조언 대부분은 — 이 블로그도 대체로 그래왔듯 — 위험을 둘 중 하나로 가정합니다. 공개로 올린 것을 낯선 사람이 보는 경우이거나, 해커가 외부에서 회사 서버를 뚫고 들어오는 경우입니다. 2026년 4월 영국에서 알려진 사건은 그 어느 쪽도 아닙니다. "이 플랫폼은 안전하다"는 말이 외부 공격자에 대한 주장일 뿐이며, 이미 내부에 정당한 접근 권한을 가진 사람은 전혀 별개의 위험이라는 것, 그리고 그 위험에 대해서도 메타데이터 제거의 *시점*이 여전히 뭔가를 바꿔줄 수 있다는 것을 보여줍니다.
전직 메타 엔지니어가 했다고 알려진 일
2025년 11월, 영국 런던 경찰청(Metropolitan Police)은 30대 남성인 전직 메타 엔지니어 한 명을 컴퓨터 자료 무단 접근 혐의로 체포했습니다. 피타픽셀(PetaPixel)과 엔가젯(Engadget)의 2026년 4월 보도에 따르면, 그는 메타 자체의 내부 탐지 시스템을 우회하도록 설계한 스크립트를 작성했고 이를 이용해 페이스북 이용자들의 비공개 사진 약 3만 장을 내려받았습니다. 런던 경찰청 사이버범죄수사대는 미국 FBI의 이첩을 받아 수사에 착수했습니다. 멀웨어바이츠(Malwarebytes)가 인용한 메타 측 공식 입장은 "1년도 더 전에 이 침해를 자체적으로 발견했다"고 밝혔습니다 — 즉 2024년 무렵이라는 뜻입니다 — 그리고 해당 직원을 해고하고, 영향받은 이용자들에게 통지했으며, 사건을 직접 사법당국에 이첩했다고 덧붙였습니다. 2026년 4월 보도 시점 기준 그는 보석 상태였고 2026년 5월 재출석하도록 되어 있었습니다. 그가 사진으로 구체적으로 무엇을 했는지, 동기가 무엇이었는지는 어떤 보도도 확인해주지 않았습니다.
정당한 접근권을 가진 내부자는 외부 해커와는 다른 위협이다
이 사건에는 비밀번호를 뚫거나 서버 취약점을 이용하는 등, "이 플랫폼은 안전한가"를 물을 때 흔히 확인하는 요소가 전혀 없습니다. 그 사람은 메타 직원으로서 이미 출입증과 시스템 접근권을 갖고 있었고, 알려진 실패 지점은 메타가 자사 엔지니어들을 대상으로 운영하는 모니터링이 — 회사 스스로 "1년도 더" 라고 밝힌 기간 동안 — 맞춤 우회 수법을 잡아내지 못했다는 것입니다. 이는 가상의 위험 범주가 아닙니다. 2024년 11월부터 2025년 10월까지의 사건을 다룬 버라이즌 2026년 데이터 유출 조사 보고서(DBIR)는 내부자가 연루된 유출이 전체의 12%(전년 18%에서 하락)였고, 그중 가장 흔한 동기는 "편의성"이 60%로 재정적 이득(33%)을 앞섰다고 밝혔습니다. 암호화·모의해킹·버그바운티 같은 플랫폼의 대외적 보안 태세는 이 범주에 대해서는 거의 아무것도 말해주지 않습니다 — 그중 어느 것도 "이미 안에 있는 사람"을 막기 위한 장치가 아니기 때문입니다.
파일 안에 실제로 무엇이 있었나 — 확인된 것과 추론인 것
정확히 짚자면: 내려받힌 사진들의 내장 메타데이터가 실제로 조사되거나 유출된 것에 포함됐는지는 어떤 보도도 밝히지 않았고, NearScrub도 이 사건이 그것을 증명한다고 주장하지 않습니다. 별개로 확인 가능하고 독립적으로 검증되는 사실은, 메타 자체의 데이터 정책(Data Policy)이 이용자가 업로드한 콘텐츠로부터 "사진의 위치나 파일이 생성된 날짜 같은 메타데이터"를 수집한다고 명시하고 있다는 것입니다 — 이는 친구가 피드에서 보는 사본이 아니라 메타의 시스템이 보관하는 것에 대한 진술이며, 다른 이용자에게 보이는 사본에서는 바로 그 메타데이터를 플랫폼이 미리 제거한다는 것은 여러 조사로 이미 확인된 바입니다. 두 사실을 나란히 놓으면 요점은 "이 사건이 반드시 GPS 태그를 포함했다"가 아니라, 메타의 내부 사진 저장소에 접근하도록 만들어진 스크립트가 닿은 곳이 바로 메타 스스로 그런 정보를 담을 수 있다고 밝힌 종류의 저장소였다는 것입니다.
업로드 전 메타데이터 제거가 바꾸는 것, 그리고 되돌릴 수 없는 것
기계적인 요점은 단순합니다 — 사진의 EXIF 블록을 어디로든 보내기 전에 내 기기에서 미리 제거했다면, 그 정보는 애초에 메타의 서버에 도달한 사본 안에 없었던 것입니다. 내부자의 스크립트가 나중에 어느 내부 시스템·캐시·테이블에 닿든, 회사가 자기 직원의 우회 수법을 알아채는 데 시간이 얼마나 걸리든 상관없이 말입니다. 이는 메타의 내부 감사를 신뢰하거나 "우리가 잡아서 고쳤다"는 회사 발표를 그대로 믿는 것과는 다릅니다 — 애초에 찾아낼 것 자체가 없다는 데 의존하는 것입니다. 이는 "플랫폼이 다른 열람자를 위해 메타데이터를 지워준다"는 것과는 의미 있게 다른 보장입니다 — 여러 조사와 메타 자체의 데이터 정책이 보여주듯, 그 말은 열람용 사본에 대한 것이지 회사가 보관하는 모든 것에 대한 것이 아니기 때문입니다.
바뀌지 않는 것은 이 사건의 나머지 전부입니다. 파일의 메타데이터를 지우는 것은 정당한 접근 권한을 가진 직원이 사진 자체를 — 이런 사건의 실질적 피해인 그 부분을 — 열람하는 것을 전혀 막지 못합니다. 이미지 콘텐츠는 메타데이터 도구가 건드리거나 건드리도록 설계된 적이 없는 부분이기 때문입니다. 계정에 연결된 플랫폼 생성 데이터 — 누가, 언제, 어디서 업로드했는지, 메타 시스템이 자체 계산하는 내부 태그 — 에 대해서도 아무것도 바꾸지 못합니다. 그 어느 것도 NearScrub이 처리하는 파일 안에 있지 않으므로, 파일 메타데이터를 지우는 것은 이쪽에는 어느 방향으로도 영향이 없습니다. 그리고 메타가 내부적으로 문제를 발견한 시점과 그것이 공개되기까지 이 사건에서 드러난 약 1년의 간극에 대해서도 아무것도 바꾸지 못합니다 — 이는 전적으로 플랫폼 쪽의 탐지·공개 문제이지, 파일을 보내기 전에 이용자가 할 수 있는 일이 아닙니다. 이런 내부자 사건이야말로 플랫폼의 내부 통제를 외부에서 확인할 수 없는 정확한 상황입니다. 확인하고 직접 통제할 수 있는 것은, 그 파일이 내 기기를 떠나기 전에 그 안에 무엇이 들어 있었는가뿐입니다.