쿠키와 맞춤 광고: 검색한 물건이 다른 사이트에도 나타나는 이유

운동화를 한 번 검색했을 뿐인데 뉴스와 동영상 화면에도 비슷한 신발 광고가 나옵니다. 휴대전화가 마음을 읽은 것처럼 보이지만, 광고 시스템은 방문 기록이나 계정 활동처럼 이미 얻은 단서를 이용할 수 있습니다. 쿠키는 그 단서를 같은 브라우저의 활동으로 연결하는 데 쓰이는 기술입니다. 다만 모든 맞춤 광고가 쿠키 하나로 만들어지는 것은 아니며, 광고가 나타났다는 사실만으로 어떤 데이터가 사용됐는지 확정할 수도 없습니다.

쿠키는 브라우저가 보관하는 작은 이름표입니다

웹사이트가 응답에 쿠키를 설정하면 브라우저는 정해진 조건에 맞는 다음 요청에 그 값을 다시 보냅니다. 서버는 이를 보고 앞서 방문한 브라우저인지 알아볼 수 있습니다. 매번 처음 온 손님으로 취급하지 않도록 번호표를 주는 것과 비슷합니다. 쿠키에는 식별자나 설정값이 들어갈 수 있지만, 그 자체가 컴퓨터 안의 모든 파일을 읽는 프로그램은 아닙니다. 쿠키가 설치됐다는 이유만으로 사진첩과 마이크를 자유롭게 사용할 수 있는 것도 아닙니다.

예를 들어 서버가 임의의 방문 번호를 쿠키로 주고, 해당 번호가 담은 장바구니를 서버에 저장한다고 생각해 봅시다. 브라우저가 번호를 보내면 서버가 장바구니를 찾아 보여줍니다. 이때 물건 목록 전체가 쿠키 안에 들어 있어야 하는 것은 아닙니다. 로그인 세션도 이와 비슷한 식별 구조를 쓸 수 있습니다. 쿠키의 기본 동작과 보안 속성은 MDN의 HTTP 쿠키 안내에 설명돼 있습니다.

쿠키의 만료 조건도 같지 않습니다. 세션 쿠키와 일정 기간 남는 쿠키가 있고, 브라우저의 세션 복원 기능에 따라 예상보다 오래 이어지는 경우도 있습니다. 로그인 유지와 언어 선택처럼 편의 기능에 필요한 쿠키까지 모두 지우면 계정에서 로그아웃되거나 설정이 초기화될 수 있습니다. 쿠키를 무조건 악성 파일로 분류하면 필요한 기능과 광고 추적의 차이를 놓치게 됩니다.

다른 사이트의 방문을 연결하는 과정

주소창에 표시된 사이트와 다른 사이트가 광고나 분석 요소를 제공할 수 있습니다. 쇼핑몰 A와 뉴스 사이트 B가 같은 광고 서비스의 요소를 불러오는 상황을 가정해 봅시다. 브라우저가 두 곳에서 광고 서비스에 같은 식별자를 보낼 수 있다면, 그 서비스는 두 방문을 같은 브라우저에서 발생한 일로 연결할 수 있습니다. 이것이 제삼자 쿠키를 이용한 사이트 간 추적의 기본 모습입니다. 실제로 가능한지는 브라우저의 저장소 분리와 차단 정책에 달려 있습니다.

이름에 등장하는 제삼자는 악성 여부를 뜻하는 말이 아닙니다. 사용자가 방문 중인 사이트와의 관계를 나타냅니다. 다른 서비스의 로그인이나 결제 연동처럼 정상 기능에도 비슷한 기술이 쓰입니다. 반대로 자사 쿠키라고 해서 개인정보 측면에서 항상 무해한 것도 아닙니다. 방문 사이트가 어떤 정보를 수집하고 다른 회사와 어떻게 공유하는지를 함께 봐야 합니다. MDN의 제삼자 쿠키 설명은 이 구분과 브라우저 대응을 정리합니다.

운동화 광고가 다시 나오는 것을 흔히 리타기팅이라고 부릅니다. 상품에 관심을 보인 방문자에게 관련 광고를 다시 보여주는 방식입니다. 다만 한 사람이 항상 같은 브라우저만 사용하는 것은 아닙니다. 로그인한 계정이나 앱에서 제공하는 식별 정보가 함께 쓰일 수 있고, 같은 기기를 여러 사람이 쓰기도 합니다. 광고 시스템이 만든 관심사 분류는 관찰과 추정의 결과이지, 사용자의 정확한 신분과 의도를 모두 알아낸 기록이라고 볼 수 없습니다.

쿠키를 지워도 광고가 완전히 달라지지 않는 이유

쿠키 삭제는 해당 브라우저에 저장된 값을 없애는 조치입니다. 이미 서버에 저장된 계정 기록까지 자동으로 지우지는 않습니다. 다시 로그인하면 서비스는 그 계정에 연결된 활동을 참고할 수 있습니다. 또한 현재 보고 있는 페이지의 내용만으로도 관련 광고를 고를 수 있습니다. 캠핑 기사에서 텐트 광고가 나온다고 해서 반드시 이전 쇼핑 기록이 이용됐다고 볼 수는 없습니다. 이런 문맥 광고는 개인별 방문 이력 없이도 성립합니다.

광고를 개인화하는 단서에는 서비스 내 활동과 사용자가 제공한 정보, 대략적인 지역 등이 포함될 수 있습니다. 어떤 정보를 사용하는지는 회사와 설정에 따라 다릅니다. Google의 광고 데이터 설정 안내는 계정 활동의 사용 여부를 별도로 관리하도록 설명합니다. 한 서비스에서 개인 맞춤 광고를 끄는 설정은 다른 모든 광고 회사의 기록을 일괄 삭제하는 명령과 같지 않습니다.

브라우저 지문도 구분해야 합니다. 화면과 소프트웨어 설정 등 여러 특성을 조합해 브라우저를 구별하려는 방식입니다. 쿠키라는 저장 파일이 없어도 시도될 수 있기 때문에 쿠키 삭제만으로 추적이 모두 끝난다고 말할 수 없습니다. 다만 지문이 언제나 유일하고 정확한 개인 신원을 알려주는 것은 아닙니다. MDN의 지문 설명에서처럼 여러 속성의 조합이 식별에 이용된다는 뜻으로 이해하면 됩니다.

설정마다 해결하는 문제가 다릅니다

브라우저마다 제삼자 쿠키를 차단하거나 방문 사이트별로 저장 공간을 나누는 방식이 다릅니다. 같은 브라우저도 버전과 사용자가 선택한 모드에 따라 달라질 수 있습니다. 따라서 모든 브라우저가 특정 날짜부터 쿠키를 완전히 없앴다는 식의 설명은 피해야 합니다. 실제 기기의 개인정보 메뉴에서 현재 적용된 설정을 확인하는 편이 정확합니다. 추적 방지를 강하게 적용했을 때 일부 로그인이나 결제 기능에 문제가 생기면 필요한 사이트만 예외로 둘 수 있는지도 확인합니다.

광고 자체가 사라지는 것과 개인화가 줄어드는 것도 다릅니다. 개인 맞춤 설정을 꺼도 광고 자리는 남을 수 있습니다. 이때 현재 페이지와 대략적인 위치 같은 문맥에 맞는 광고가 보일 수 있습니다. 광고 수가 그대로라는 이유만으로 설정이 무효라고 단정할 수 없고, 광고가 낯설어졌다는 이유만으로 모든 추적이 멈췄다고 판단할 수도 없습니다. 결과 화면만으로 내부의 데이터 처리를 모두 관찰하기는 어렵습니다.

실제로 점검할 때는 계정과 브라우저를 나눠 봅니다

먼저 광고 옆의 설명 메뉴에서 왜 이 광고가 표시되는지 살펴봅니다. 제공되는 설명은 서비스가 공개하는 범위에 한정되지만, 추측만 하는 것보다는 구체적인 단서를 얻을 수 있습니다. 그다음 해당 계정의 활동 기록과 광고 설정을 확인합니다. 사용하지 않는 서비스의 연결 권한을 정리하고, 브라우저의 사이트 간 추적 방지 기능을 살펴보면 어떤 층에서 조치하고 있는지 이해하기 쉽습니다.

여러 사람이 쓰는 컴퓨터라면 브라우저 프로필이나 사용자 계정을 분리하는 것도 도움이 됩니다. 한 사람의 검색이 다른 사람의 로그인 상태와 섞이면 광고가 엉뚱하게 보일 수 있습니다. 공용 기기에서는 사용 후 계정에서 로그아웃하고 저장된 비밀번호나 다운로드 파일도 확인해야 합니다. 쿠키만 삭제하면 기기에 남은 모든 개인정보가 사라진다고 생각하지 않는 것이 좋습니다. 각 정보는 서로 다른 곳에 저장될 수 있기 때문입니다.

쿠키가 가격까지 자동으로 올린다고 연결하는 주장도 조심해야 합니다. 광고 대상으로 다시 분류되는 일과 판매 가격이 개인별로 바뀌는 일은 다른 과정입니다. 항공권이나 숙박 가격이 재검색 때 달라졌다면 재고, 시간, 통화, 검색 조건 등 여러 요인을 확인해야 합니다. 두 현상이 함께 나타났다는 사실만으로 쿠키가 인상의 원인이라는 결론을 낼 수는 없습니다. 비교할 때는 같은 조건과 시점을 맞추는 것이 먼저입니다.

쿠키를 이해하는 목적은 인터넷 사용을 포기하는 데 있지 않습니다. 로그인 편의에 쓰이는 기억과 사이트를 넘나드는 광고 추적을 구별하면 자신에게 필요한 설정을 선택할 수 있습니다. 관심 없는 광고 한 번을 보고 도청이나 해킹을 확신하기보다, 사용한 계정과 방문 기록, 광고 설명을 차례로 확인해 보세요. 자신이 관리할 수 있는 범위와 서비스에 별도로 삭제를 요청해야 하는 범위도 훨씬 분명해집니다.

쿠키 동의창에서도 필수 기능과 선택적인 광고 항목을 구분해 읽어 보세요. 선택을 바꾸는 메뉴는 첫 화면이 아닌 개인정보 설정에 따로 있을 수 있습니다. 화면에서 선택했다는 사실과 서버에 저장된 과거 자료의 삭제는 서로 다른 요청이므로, 삭제가 목적이라면 서비스의 데이터 관리 안내도 확인해야 합니다.

참고 자료

• MDN: HTTP 쿠키
• MDN: 제삼자 쿠키
• Google: 광고에 사용되는 데이터 관리
• MDN: 브라우저 지문