2026-10-01

폴라스텝스의 열린 API가 GPS 좌표 10억 건을 노출하고 군인들을 기지까지 추적했습니다 — 두 위치정보 출처 중 하나만 사진 메타데이터였습니다

이 블로그가 다뤄온 유출 사고 대부분은 원인이 하나였습니다 — 서버가 뚫리거나, 플랫폼이 지웠어야 할 GPS 태그를 그대로 남겨둔 경우였습니다. 2026년 9월, 네덜란드 탐사보도 매체 Follow the Money(FTM)가 보도한 여행 기록 앱 폴라스텝스(Polarsteps) 사례는 다릅니다 — 유출된 위치정보가 사실은 같은 제품 안의 서로 다른 두 곳에서 나온 것이었고, 그중 한쪽만이 NearScrub 같은 파일 단위 메타데이터 제거 도구가 애초에 손댈 수 있는 영역이었습니다. 나머지 한쪽은 완전히 다른 문제이고, 솔직하게 밝혀둘 가치가 있습니다.

Follow the Money가 발견한 것

이동 경로를 자동으로 기록하고 사진을 붙이는 용도로 2,300만 명 넘게 쓰는 폴라스텝스는, 로그인도 비밀번호도 해킹도 필요 없이 누구나 백엔드에 접근할 수 있는 상태로 방치돼 있었습니다. 벨기에 매체 IT데일리의 보도에 따르면 이 API에는 "요청 빈도 제한도, 봇 차단도, 객체별 권한 검사도 없었다"고 합니다 — 즉 특정 이용자의 여행 데이터를 요청할 때 요청자가 실제로 그 데이터를 볼 자격이 있는지 전혀 확인하지 않았다는 뜻입니다. 이 틈을 이용해 FTM은 사진·영상 2억 3천만 건과 약 200만 건의 여행에서 나온 GPS 좌표 10억 건 이상을 이름·팔로워 목록과 함께 내려받았다고 밝혔습니다. 프랑스의 보안 연구자 루이 쿠데르크(Louis Couderc)는 이미 2025년 말에 이 문제를 신고했는데, IT데일리는 그가 폴라스텝스의 대응을 "그러면 그냥 방치한 것"이라고 평가했다고 전했습니다. FTM은 유출된 데이터를 이용해 미국·영국·프랑스·벨기에 소속 군인 30명 이상, 그리고 베이프(Wezep)·하벌터(Havelte)·스하르스베르헌(Schaarsbergen) 등의 병영과 연결된 네덜란드 군인들의 실거주지 주소를 추정해냈습니다 — 그 결과 네덜란드 국방부는 보도 직후 업무용 기기에서 이 앱을 전면 금지했습니다.

한 문장 안에 섞여 있던 서로 다른 두 가지 방법

이 사고가 단순히 "지난번보다 숫자가 큰 유출"이 아니라 한 번 더 들여다볼 가치가 있는 이유는, FTM이 그 주소를 찾아낸 방식을 스스로 설명한 문장 자체에 있습니다. 더치뉴스가 전한 조사 내용에 따르면: "FTM은 일부는 이용자 사진 안에 저장된 정확한 위치 — 예를 들어 집에서 짐가방을 싸는 모습을 찍은 사진 — 로 집을 특정했고, 더 많은 경우는 사람들이 매일 밤 돌아가는 장소를 통해 알아냈다." 이것은 하나가 아니라 서로 다른 두 가지 기법입니다. 첫 번째는 사진 파일 하나 안에 이미 들어 있던 GPS 좌표를 읽은 것입니다 — 누군가 떠나기 전 짐가방을 찍는 순간, 휴대폰 카메라가 단 한 번 그 사진 안에 적어 넣은 값입니다. 두 번째는 사진을 전혀 거치지 않습니다 — 폴라스텝스 자체의 Travel Tracker 기록, 즉 여행이 진행되는 동안 앱이 계속 수집하는 백그라운드 위치점들의 흐름을 분석해, 매일 밤 점들이 모이는 장소로 거주지를 추정한 것입니다. IT데일리의 보도에서도 같은 구분이 드러납니다 — 어떤 군인은 사진이 아니라 "자기 동네 초등학교에 정기적으로 들른다"는, 몇 달치 앱 자체 위치 기록을 모아야만 보이는 패턴으로 식별됐습니다.

폴라스텝스가 바꾼 것, 그리고 어떤 파일로도 바꿀 수 없는 것

폴라스텝스는 이를 "유출(breach)"이라 부르는 데 동의하지 않습니다 — 공식 입장문에서 여행 기록과 프로필은 기본값이 비공개/팔로워 전용이며, FTM은 깨진 인증을 뚫은 것이 아니라 자사 API가 노출한 데이터로 작업한 것이라고 주장합니다. 어느 쪽 설명이 맞든, 회사가 실제로 취한 조치는 위에서 설명한 두 출처 구도와 정확히 맞아떨어집니다 — API 요청 빈도 제한을 강화했고, 이제 팔로우를 받으려면 수동 승인이 필요하며, 무엇보다 사진의 위치정보를 API 응답에서 아예 빼기 시작했습니다. 이 변경은 2026년 2월과 8월, 두 단계로 나눠 적용됐습니다. 이 마지막 조치는, 업로드 전 메타데이터 제거가 닫는 것과 정확히 같은 통로를 반대편에서 닫은 것입니다 — 사진에서 위치가 애초에 읽혀 API로 다시 공개되지 않는다면, 그 API 자체에 요청별 권한 검사가 없었다는 사실은 더 이상 중요하지 않습니다. 반면 이 조치든 폴라스텝스가 취할 수 있는 어떤 수정이든, Travel Tracker 자체의 백그라운드 기록에는 손대지 못합니다 — 이 기능은 설계상 휴대폰을 들고 다니는 동안 위치를 계속 수집하도록 돼 있고, 여기서 진짜 쟁점은 "그 파일에 태그가 있는가"가 아니라 "서비스가 애초에 그 흐름 자체를 수집·저장하길 원하는가"입니다. 네덜란드 국방부가 내놓은 대응 — 업무용 기기에서 앱 자체를 전면 금지한 것 —은 사실 이 두 번째 질문에 대한 답이고, 메타데이터 도구가 줄 수 있는 답이 아닙니다.

게시 전 메타데이터 제거가 여기서 실제로 바꾸는 것 — 그리고 바꾸지 못하는 것

FTM이 설명한 그 짐가방 사진을 여행에 추가하기 전에 브라우저 기반 제거 도구에 한 번 통과시켰다면, 폴라스텝스에 건네진 파일에는 그 API든, 훗날 같은 틈이 발견될 다른 어떤 API든 읽어서 유출할 GPS 태그 자체가 없었을 것입니다 — 그 앱이 접근 제어를 끝내 고쳤는지와 무관하게, 애초에 노출될 위치가 그 파일 안에 없는 것입니다. 이것이 NearScrub 같은 도구가 실제로 해주는 좁지만 분명한 역할이고, 공교롭게도 폴라스텝스가 이후 자사 API 응답에 대해 스스로 취한 조치와 정확히 같은 방향입니다. 다만 이것이 여행 추적 앱 자체의 지속적인 위치 수집을 끄는 것과 같지는 않으며, FTM이 애초에 타인의 데이터를 읽을 수 있었던 접근 제어 결함에도 아무 영향을 주지 못합니다 — 이는 서버 쪽 문제이고 서버 쪽에서 고쳐야 할 문제이지, 파일의 문제가 아닙니다. 그리고 이 도구는 JPEG·PNG·PDF·오피스 파일만 처리하는 브라우저 기반 도구이므로, FTM이 이번 유출에 함께 포함됐다고 밝힌 영상 파일에는 해줄 수 있는 것이 없습니다 — 이는 단순히 지원 형식 범위 밖의 일이지, 도구가 자신이 내세운 기능을 슬그머니 못 지키는 경우가 아닙니다.