개인정보위, 구글·메타·애플·네이버·카카오 실태점검 결과 발표
토큰폐기 기능 제대로 이뤄지지 않아

[보안뉴스 박은주 기자] 직접 가입이 아닌 소셜로그인으로 온라인 서비스를 이용하는 사용자가 해당 계정을 탈퇴할 때 개인정보 파기가 제대로 이뤄지지 않는 것으로 나타났다.


▲개인정보 파기 관련 문제점 요지[자료: 개인정보위]

개인정보보호위원회는 13일 소셜로그인 서비스를 제공하는 네이버와 카카오, 구글, 메타, 애플 등 5개 사업자에 대한 사전 실태점검 결과를 전날 전체회의에서 발표했다고 밝혔다.

소셜로그인은 포털이나 사회관계망서비스(SNS) 계정의 회원정보를 다른 웹사이트나 애플리케이션에 연동해 이용자가 별도의 가입 과정을 거치지 않고 손쉽게 로그인하는 방식이다. 현재 국내 사이트 50만여 곳에서 쓰이고 있다.

개인정보위는 대부분 회원가입 절차가 이러한 소셜로그인 방식으로 대체됨에 따라 작년 4월부터 11월까지 사전 실태점검을 했다.

점검 결과 소셜계정을 탈퇴한 이용자의 개인정보 파기가 적절히 이뤄지지 않았다.

현재 모든 소셜로그인 사업자는 이용자가 이용 사이트에서 탈퇴한 경우 이들의 소셜로그인 접근 ‘토큰’을 삭제하도록 하는 토큰폐기 기능을 제공하고 있다.

토큰은 소셜로그인 이용자 정보를 이용 사이트로 제공하기 위한 일종의 인증정보다. 탈퇴자 토큰은 폐기되지 않으면 해킹 등의 위험성이 존재한다.

사업자들은 개발자 문서에서 토큰폐기 기능을 공개하고 있지만 분량이 방대한 데다 관련 내용을 찾기 어려워 제대로 활용되지 못하는 실정이다.

이에 개인정보위는 소셜로그인 사업자들에게 토큰폐기 기능을 쉽게 확인할 수 있는 안내 방안을 마련하라고 권고했다.

메타의 경우 이용자가 소셜계정 탈퇴 시 연동된 모든 이용 사이트에 이 사실을 통보하는 ‘일괄통보 기능’을 제공하지 않아 이를 갖추도록 했다.

또한 이용자가 소셜계정 설정화면에서 가입된 사이트 목록을 조회하고 탈퇴할 수 있는 ‘연동 해지’의 경우 5개 사업자 모두 이 기능을 제공하고 있지만, 카카오와 구글, 애플, 메타의 경우 실제 이용률이 낮았다.

이에 개인정보위는 이들 업체를 상대로 연동 해지 이용률을 높일 수 있는 대안을 마련하도록 했다.

다만 소셜 계정이 이용자의 개인정보를 제공하는 과정에서는 특별한 문제점이 발견되지 않았다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>