2026-07-28

제보자 신원 지키기 — 발행하기 전 문서 메타데이터가 드러내는 것들

제보자가 기자에게 파일 하나를 건넵니다. 프리랜서가 피칭 이메일에 문서를 첨부합니다. 제보자가 화면을 캡처해서 보냅니다. 이런 순간마다, 그 파일 자체는 눈에 보이는 내용과는 아무 상관없이 누가 그것을 다뤘는지를 그대로 담고 있을 수 있습니다 — 그리고 기명 기사와 달리, 그 정보를 일부러 넣은 사람은 아무도 없습니다. 이것이 왜 중요한지 보여주는 가장 많이 인용되는 사례는 며칠 만에 체포로 끝났습니다.

리얼리티 위너를 특정하는 데 도움이 된 프린터 점들

2017년 5월, 바이스지가 아니라 디 인터셉트(The Intercept)가 제보자로부터 받은 NSA 기밀 보고서의 스캔본을 게재했습니다. 보안 연구자 롭 그레이엄(Rob Graham)은 그 페이지에 거의 눈에 띄지 않는 노란 점 패턴이 있다는 것을 발견했습니다 — 일부 컬러 레이저 프린터가 인쇄하는 모든 페이지에 새겨 넣는 일종의 "기기 식별 코드"입니다. 전자프런티어재단(EFF)이 만든 디코더를 사용해 그레이엄은 그 패턴에서 프린터 모델 54, 일련번호 29535218, 그리고 2017년 5월 9일 오전 6시 20분이라는 타임스탬프를 읽어냈습니다. 프린터 자체의 사용 기록과 대조하자, 그 페이지를 인쇄할 수 있었던 사람의 범위를 소수로 좁히기에 충분했습니다. 며칠 뒤 NSA 계약직 직원이었던 리얼리티 위너가 해당 문서를 유출한 혐의로 체포·기소되었습니다. EFF 자신의 설명에는 짚어둘 만한 미묘한 지점이 하나 있습니다 — 위너의 체포로 이어진 정부 진술서는 실제로는 이 추적 점들을 증거로 인용하지 않았다는 것입니다. 그럼에도 이 사건은 인쇄된 페이지가 그 위에 적힌 텍스트보다 더 많은 신원 정보를 담을 수 있다는 것을 설명할 때 사람들이 가장 먼저 언급하는 사례가 되었고, 지금도 그렇습니다.

이 점들 자체가 2017년에 새로 발견된 비밀은 아닙니다 — 세스 숀(Seth Schoen)이 이끈 EFF 연구팀이 그 코드를 처음 해독한 것은 이미 2005년의 일이며, 적어도 한 주요 프린터 제품군이 기기의 날짜·시간·일련번호를 패턴으로 인코딩하고 있으며, 이는 원래 위조 방지 대책이라는 명목으로 비밀경호국과 맺은 협약을 통해 읽을 수 있다는 사실을 그때 이미 확인했습니다. 2017년에 달랐던 점은 그저 10여 년 전의 공개된 연구 결과가 실제 사건에 적용되었다는 것뿐입니다.

이것이 파일 메타데이터와 다른 층위인 이유

자신을 실제로 지켜주는 것이 무엇인지 판단하려는 사람에게 중요한 경계선이 여기 있습니다 — 추적 점은 파일 어디에도 저장되어 있지 않습니다. 인쇄되는 순간 프린터 하드웨어가 물리적인 종이 위에 새겨 넣는 것이며, 육안으로는 보이지 않고 청색광이나 확대경으로만 읽을 수 있습니다. NearScrub을 포함한 어떤 메타데이터 제거 도구도, 애초에 디지털 파일의 일부였던 적이 없는 것을 찾아내거나 제거할 수는 없습니다. 이 점들이 존재하는 시점이 되면 유출은 이미 "메타데이터가 있는 파일"에서 "완전히 다른 종류의 흔적이 있는 인쇄물"로 넘어간 뒤입니다. 이는 진짜로 별개의 위험이며, 파일의 메타데이터를 지웠다는 이유만으로 이 위험까지 해결됐다고 여기는 것은 실제로 위험이 큰 상황에 놓인 사람에게는 위험한 착각일 수 있습니다.

파일 안에 실제로 있는 층위

NearScrub이 — 그리고 파일 메타데이터 제거가 일반적으로 — 실제로 닿을 수 있는 것은 그 아래 층위입니다. 인쇄되기도 전에 파일이 스스로에 대해 담고 있는 정보입니다. 기자들을 대상으로 한 뉴스룸 보안 교육 자료인 OpenNews의 "Field Guide to Security Training in the Newsroom"은 정확히 이 두 범주를 짚습니다 — 워드 문서의 작성자 이름, 그 문서를 만든 소프트웨어에 연결된 마이크로소프트 계정·라이선스 소유자 정보, 그리고 수정 이력이 하나이고, 사진의 EXIF 데이터 — GPS 좌표, 카메라 모델, 촬영 시각 — 이 다른 하나입니다. 두 범주 모두 인쇄 여부와 무관하게 파일 안에 그대로 있으며, 파일 이름을 바꾸거나 다시 이메일로 보내거나 다시 업로드해도 사라지지 않습니다. 파일 이름을 바꾸는 것은 그 안에 저장된 내용을 전혀 바꾸지 않기 때문입니다.

워드·엑셀·파워포인트 파일이라면, 작성자 이름과 lastModifiedBy 필드 — 마지막으로 저장한 사람의 실제 윈도우 또는 마이크로소프트 365 계정 — 이 눈에 보이는 본문 텍스트나 기명과 무관하게 문서의 속성 파트 안에 그대로 있습니다. PDF라면 같은 개념이 Info 딕셔너리의 Author/Creator/Producer 필드로 나타나는데, 여기에는 흔히 스캔이나 내보내기를 수행한 소프트웨어 (그리고 때로는 조직명)가 담기며, 같은 정보를 한 번 더 담은 XMP 메타데이터 스트림도 함께 있습니다. 사진이라면 EXIF 블록의 GPS 태그와 기기 식별자가 그 역할을 합니다.

유출 문서를 사진으로 찍는 것이 오히려 위험을 키울 수 있다

짚어둘 만한 함정이 하나 있습니다. 프리덤 오브 더 프레스 파운데이션(Freedom of the Press Foundation)이 민감한 자료를 공유하는 사람들에게 주는 가이드는, 실물 문서를 스마트폰이 아니라 구식 카메라로 촬영하라고 권합니다 — 정확히는, 스마트폰으로 찍은 사진도 그 폰으로 찍은 다른 모든 사진과 마찬가지로 GPS 태그가 담긴 EXIF 블록을 그대로 갖고 있기 때문입니다. 원본 파일을 그대로 보내는 대신 사진으로 다시 찍어서 보내겠다는 발상 자체는 타당하지만, 그 촬영을 스마트폰으로 하는 순간 애초에 피하려던 바로 그 위치 태그 위험을, 다른 파일 안에서 조용히 다시 끌어들이게 됩니다. 이 재단의 가이드는 스크린샷이나 GPS 기능이 없는 카메라로 찍은 사진을 같은 우회 방법의 더 안전한 버전으로 제시합니다.

파일이 손을 떠나기 전에 실제로 해야 할 일

이 이야기가 꼭 저널리즘에만 해당하는 것은 아닙니다 — 클라이언트의 초안을 전달하는 프리랜서, 스크린샷을 첨부하는 제보자, 혹은 특정 기기나 계정으로 추적되고 싶지 않은 문서를 보내는 사람 누구나 같은 처지에 있습니다. 파일을 내보내기 전에: 워드·엑셀·파워포인트 파일이라면 작성자, lastModifiedBy, 회사, 사용자 지정 속성 필드를 지우십시오. PDF라면 Info 딕셔너리와 XMP 스트림을 지우십시오. 사진이라면 GPS 태그가 설정되어 있다고 생각하든 아니든 EXIF 블록 전체를 제거하십시오. 바로 이 층위가 NearScrub이 브라우저 안에서, 아무것도 업로드하지 않고 지워주는 부분입니다 — 파일을 넣으면 이름, 사용자명, 회사명, 좌표를 담고 있는 속성 파트와 EXIF/XMP 데이터가 깨끗하게 제거되어 나옵니다. 이보다 위험 수준이 더 높은 소수의 경우 — 인쇄되고 다시 촬영될 실물 유출이거나, 전달 경로 자체가 익명이어야 하는 위협 모델이라면 — 바로 그 지점에서 그 문제만을 위해 만들어진 전용 도구가 필요합니다. 댄저존(Dangerzone, 역시 프리덤 오브 더 프레스 파운데이션에서 만든 도구)은 문서를 래스터화해서 순수한 콘텐츠 이외의 모든 것을 제거하며, 시큐어드롭(SecureDrop)은 애초에 익명 제출 경로 자체를 제공합니다. NearScrub은 둘 중 어느 쪽의 대체재도 아닙니다 — 그 둘까지는 필요 없는, 훨씬 더 흔한 상황에서 파일 메타데이터 층위를 설치도, 업로드도 없이 빠르게 닫아주는 도구입니다.