2026-08-30

Tea 앱 유출로 쏟아진 7만 2천 장의 사진 — 그 EXIF가 사용자 위치 지도가 되었다는 주장까지

2025년 7월 Tea 앱 유출 사건은 보통 인증용 셀피와 신분증 사진이 4chan에 올라간 이야기로 기억됩니다 — 실제로 그랬습니다. 하지만 이 사건에는 더 조용한 두 번째 층위가 있고, 어떤 앱에든 사진을 올리는 모든 사람에게 교훈이 되는 것은 바로 그쪽입니다. 파일이 유출되는 순간, 그 파일은 자신이 처음부터 담고 있던 모든 것을 그대로 실어 날랐습니다. 많은 경우 여기에는 EXIF 메타데이터가 포함되어 있었고 — 며칠 지나지 않아 유출물과 함께 떠돈 것은 "여기 사진들이 있다"가 아니라 "여기 이 여성들이 어디 있는지 보여주는 지도가 있다"는 주장이었습니다.

실제로 일어난 일

2025년 7월 25일, 404 미디어(404 Media)는 여성들이 데이트 상대 남성에 대한 경고를 익명으로 공유하도록 만들어져 막 앱스토어 차트 1위에 올랐던 앱 Tea가 침해당했다고 보도했습니다. 정교한 해킹이랄 것도 없었습니다. 4chan 사용자들이 구글 파이어베이스(Firebase)에 호스팅된, 404 미디어의 표현으로는 인증 절차가 아예 없이 노출된 데이터베이스를 발견한 것입니다. 파일들은 그냥 내려받을 수 있는 상태였고, 4chan 스레드는 곧 사용자들의 운전면허증과 셀피로 채워졌습니다.

Tea의 자체 공식 성명이 숫자를 밝혔습니다. 약 72,000장의 이미지가 노출되었는데, 그중 약 13,000장은 계정 인증 과정에서 제출된 셀피와 신분증 사진이었고, 약 59,000장은 게시물, 댓글, 다이렉트 메시지에 올라왔던 이미지였습니다. 전부 회사가 "레거시 데이터 저장 시스템"이라고 부른, 2024년 2월 이전 데이터를 담고 있던 곳에서 나왔습니다. 나흘 뒤 상황은 더 나빠졌습니다. 테크크런치는 2023년 초부터 바로 그 주까지 이어진 110만 건 이상의 다이렉트 메시지가 추가로 노출되었다고 보도했고, Tea는 이후 메시지 기능 자체를 중단했습니다.

애초에 존재하지 말았어야 할 파일들

이 사건을 보안 실패에서 신뢰 실패로 바꿔놓은 대목이 있습니다. 그 인증 사진들은 애초에 거기 있어서는 안 되는 것들이었습니다. 내셔널 로 리뷰(National Law Review)의 정리에 따르면, Tea의 2022년 개인정보처리방침은 인증 사진이 "안전하게 처리되며 일시적으로만 저장되고, 인증 절차가 완료되는 즉시 삭제된다"고 사용자들에게 약속하고 있었습니다. 이번 유출은 보존에 관한 약속이란 의도에 대한 진술일 뿐이라는 것 — 그리고 파일을 올리는 사람은 그 파일이 실제로 보관되고 있는지를 그때도, 이후로도 영원히 확인할 방법이 없다는 것을 가장 공개적인 방식으로 증명해 보였습니다.

메타데이터 층위 — 유출된 사진에서 '지도'라는 주장까지

그다음이 서버가 아니라 파일 자체에 관한 부분입니다. 사이먼 윌리슨(Simon Willison)은 사건 다음 날 이를 검토하면서 대부분의 보도가 지나친 사실 하나를 짚었습니다. "그 사진들 중 다수는 EXIF 위치 정보도 담고 있었다"는 것입니다. 위치 서비스가 켜진 채 찍힌 사진은 GPS 좌표를 파일 안에 담고 있고, 원본 업로드를 그대로 저장하는 앱은 그 좌표까지 함께 저장합니다 — 그래서 원본 파일들이 유출되자 좌표도 그 일부로 함께 유출되었습니다. NPR의 일주일 뒤 보도는 그것이 어디로 흘러갔는지 이렇게 전합니다. "온라인 트롤들은 또한 사진에 포함된 메타데이터를 추출해 Tea 가입자들의 위치 지도를 만들었다고 주장했다."

이 블로그가 모든 사건 기사에 붙이는 것과 같은 종류의 정직성 메모 두 가지를 여기 붙여둘 필요가 있습니다. 첫째, 그 지도는 '주장'입니다. NPR은 이를 트롤들이 했다고 주장한 일로 보도했고, 내셔널 로 리뷰 역시 독립적으로 검증된 사실이 아니라 X(구 트위터)에서 떠도는 이야기로 기술합니다 — 이 글이 단정하지 않는 이유도 정확히 그것입니다. 둘째, 그 단서 조항이 누구를 구해주지는 않습니다. 특정 지도가 정확했든 아니든, 지도를 만들 수 있게 해줄 좌표는 유출된 파일 안에 실제로 들어 있었고, 유출물과 아무 EXIF 뷰어만 있으면 누구나 읽을 수 있었습니다. 불확실한 것은 그 데이터로 무엇이 만들어졌는가이지, 데이터가 거기 있었는가가 아닙니다.

세 개의 피해 층위, 세 개의 서로 다른 결정 시점

사건을 분해해 보면, 유출된 사진 한 장은 서로 다른 세 종류의 노출을 담고 있고, 각각은 서로 다른 시점에 서로 다른 주체가 결정합니다 — 이 점이 이 블로그가 이전에 다룬 이야기들과 이 사건을 구분 짓습니다. 파티풀(Partiful) 사례는 GPS 데이터를 지우려는 의도가 있었지만 버그가 배포된 플랫폼이었고, 마켓플레이스 조사 글은 플랫폼마다 업로드 파이프라인 정책이 제각각이라는 이야기였습니다. Tea는 세 번째 실패 유형입니다 — 지우겠다고 말한 원본 파일을 계속 보관하다가, 침해가 그것을 통째로 공개해 버린 플랫폼입니다.

Tea에서 무너진 것은 3번 층위입니다 — 보존 약속과 열려 있던 데이터베이스까지 치면 두 번 무너졌습니다. 사용자가 일방적으로 닫을 수 있는 층위는 2번뿐이고, 유출된 인물 사진을 '좌표가 붙은 주장'으로 바꿔놓은 것도 바로 그 층위였습니다.

실제로 닫을 수 있는 층위

그 가운데 층위가 NearScrub이 다루는 부분이고, Tea 사례는 그것을 업로드 이후에 누군가가 처리해 주길 믿는 대신 업로드 전에 직접 처리해야 한다는 가장 깔끔한 논거입니다. JPEG를 넣으면 EXIF 블록 전체 — GPS 좌표, 촬영 시각, 기기 식별자 — 와 XMP, IPTC/포토샵 필드, 삽입된 코멘트가 브라우저 탭 안에서만 제거됩니다. 업로드도 서버도 없으며, 정리된 사본은 손대지 않은 원본 옆에 새 파일로 저장됩니다. PNG도 텍스트·타임스탬프 청크에 대해 같은 처리를 받습니다. 여러 파일을 한 번에 넣으면 무엇을 지우기 전에 각 파일이 실제로 무엇을 담고 있는지 리포트로 먼저 보여줍니다. 이렇게 정리한 파일도 보낸 서비스가 침해당하면 여전히 유출될 수 있습니다 — 다만 그때 유출되는 것은 사진이지, 사진에 여러분 집 좌표가 더해진 것이 아닙니다.

업로드 전 스크러빙이 여기서 정직하게 해결하지 못하는 것

분명히 밝혀둘 한계가 세 가지 있습니다. Tea 사건은 셋 모두에 걸쳐 있기 때문입니다. 앱이 자체 인앱 카메라로 인증 셀피를 촬영하는 방식이라면, 먼저 정리할 파일이 기기에 존재한 적조차 없습니다 — 업로드 전 단계는 라이브러리에서 직접 고른 사진에만 존재합니다. 신분증 사진의 피해는 대부분 눈에 보이는 내용 그 자체입니다 — 운전면허증 사진에서 EXIF를 지우면 좌표는 사라지지만 면허증은 사라지지 않으며, 메타데이터 제거가 신분증 업로드를 안전하게 만들어 주지는 않습니다. 그리고 파일에 무엇을 하든 3번 층위는 통제할 수 없습니다 — 플랫폼이 삭제 정책을 지키는지, 저장소를 보호하는지, 자체적으로 위치 데이터를 기록하는지는 그쪽의 코드이자 행동이며, 밖에서는 보이지 않습니다. 72,000장 분량의 사람들이 한꺼번에 알게 된 것처럼요. 실용적인 메모 하나 더 — 아이폰은 기본값으로 HEIC로 촬영하는데 NearScrub은 HEIC를 해석하지 않으므로, 먼저 JPEG로 변환하거나(자동 변환되는 공유 경로를 쓰거나) 변환된 JPEG를 정리하세요.

습관

Tea 유출은 업로드 전 메타데이터 위생에 대한 논거 전체를 뉴스 사이클 하나에 압축해 보여줬습니다. 여러분의 파일에 대한 플랫폼의 약속은 검증할 수 없고, 그 저장소는 약속보다 몇 년을 더 살아남을 수 있으며, 무너질 때는 모두에게 한꺼번에 무너집니다 — 그 파일들이 담고 있던 모든 바이트와 함께요. 가입하기 전에 남의 파이어베이스 설정을 감사할 수는 없습니다. 하지만 건네주는 사진이 어떤 지도에도 보탤 것이 없게 만들어 둘 수는 있습니다. 파일이 아직 여러분 것일 때 메타데이터를 지우세요 — 업로드된 뒤에는, 두 번 다시 여러분 것이 아니니까요.