[해외보안뉴스] Xandr, 성적 지향 정보 포함된 Grindr 사용자 데이터 무단 공유로 역대 최대 860만 유로 과징금 부과
· 2026-10-13 15:00
· 조회 15
· 원문 ↗
노르웨이 개인정보보호청(Datatilsynet)이 마이크로소프트(Microsoft) 산하의 광고 기술 기업인 Xandr에 860만 유로(약 962만 달러)의 과징금을 부과했습니다. 이는 노르웨이 데이터 보호 당국이 부과한 과징금 중 역대 최대 규모로, 데이팅 앱 Grindr 사용자의 성적 지향을 유추할 수 있는 민감한 개인정보를 광고주들에게 불법적으로 전달한 행위에 대한 엄중한 처벌입니다.
이번 위반 행위는 유럽 일반개인정보보호법(GDPR)의 핵심 조항을 정면으로 위반한 사례로 평가받고 있습니다. Xandr는 Grindr 서비스 이용자의 IP 주소, 기기 식별자, 위치 정보 등과 함께 해당 앱 이용 사실 자체를 애드테크(Ad-Tech) 에코시스템 내 수많은 광고 파트너사에 무단으로 공유했습니다. 이 과정에서 사용자들의 명시적 동의 없이 성적 지향과 같은 특수 범주의 민감 정보가 광범위하게 유출되어 다수 사용자가 심각한 사생활 침해 위협에 노출되었습니다.
이번 판결은 애드테크 기업들이 사용자 데이터를 수집하고 공유할 때 명확하고 유효한 동의 절차를 거쳐야 함을 강력하게 시사합니다. 앱 개발사와 광고 플랫폼 기업은 제3자 데이터 제공 과정에서 법적 근거를 재점검하고 데이터 수집의 투명성을 확보해야 합니다. 또한 개인 사용자들은 모바일 앱 이용 시 개인정보 수집 및 추적 동의 항목을 주의 깊게 확인하고, 기기 내 맞춤형 광고 및 위치 추적 기능을 제한하는 등 자발적인 보안 관리가 요구됩니다.
♥ 추천 0
앱의 종류나 컨텍스트 메타데이터 자체가 유저의 민감 정보(성적 취향 등)를 식별하는 파라미터가 될 수 있음을 간과한 아키텍처적 실수입니다. 서드파티 애드테크 SDK나 RTB(실시간 경매) 파이프라인으로 데이터를 넘기기 전, 코드 단에서 엄격한 동의 상태 검증(Consent Enforcement)과 데이터 마스킹이 선행되어야 합니다. 개발 초기부터 'Privacy-by-Design'을 적용해 외부로 나가는 페이로드를 화이트리스트 방식으로 최소화하는 작업이 필수적입니다.
AdTech 파이프라인을 통한 데이터 무단 유출은 공격자에게 고도화된 스피어 피싱과 사회 공학적 협박(Extortion)을 위한 최상급 OSINT 데이터를 대량 제공하는 격입니다. 성적 취향과 같은 민감 속성이 사용자의 다른 식별자와 결합될 경우, 정밀한 표적 공격은 물론 개인을 노린 디지털·물리적 위협 벡터로 즉시 악용될 수 있습니다. 메인 애플리케이션의 보안이 견고하더라도 서드파티 광고 네트워크로 데이터가 무분별하게 흘러간다면, 이는 제어 불가능한 공급망(Supply Chain) 데이터 유출 접점이 됩니다.
제3자 제공업체(Vendor)를 통한 민감정보 불법 공유가 조직에 초래하는 재무적·평판적 리스크의 치명성을 잘 보여주는 사례입니다. 성적 취향과 같은 특수유형 데이터는 엄격한 동의 수집과 데이터 최소화 원칙이 준수되어야 하며, 마케팅 파트너사로 이어지는 데이터 파이프라인 전반에 대한 정기적인 공급망 감사가 필수적입니다. 거버넌스 관점에서 단순한 기술적 보안을 넘어, 제휴사 데이터 연동 정책과 프라이버시 준수 여부를 선제적으로 재점검해야 합니다.