메신저 3개를 바꿔가며 써본 결과
지난 3년 동안 저는 업무용으로 텔레그램, 왓츠앱, 시그널을 번갈아 사용했습니다. 보안을 업으로 삼는 사람으로서 매번 앱을 바꿀 때마다 같은 질문을 받았습니다. “어느 메신저가 제일 안전해요?” 그때마다 저는 되묻습니다. “상대방이 누구인데요?” 종단간 암호화(E2EE)는 기술 스펙만으로 완성되지 않습니다. 상대방의 기기가 이미 해킹됐다면, 아무리 완벽한 암호화도 소용없습니다.
2023년 카스퍼스키 보고서에 따르면 모바일 앱 사용자 10명 중 4명이 피싱이나 멀웨어로 개인정보를 잃은 경험이 있습니다. 이 중 상당수가 메신저 대화를 통해 시작됐습니다. 저는 실제로 한 기업 고객의 내부 대화가 유출된 사건을 분석한 적이 있습니다. 원인은 종단간 암호화가 아니라, 임직원 한 명이 피싱 메일에 속아 계정 자격 증명을 넘긴 것이었습니다. 암호화가 아무리 강해도, 사용자가 문을 열어주면 끝입니다.
종단간 암호화가 지키는 것과 못 지키는 것
종단간 암호화는 송신자와 수신자 사이에서 메시지가 암호화된 채로 이동하게 만듭니다. 서버 관리자, 통신사, 해커가 중간에서 내용을 볼 수 없습니다. 이 기술은 1991년 필 짐머만이 만든 PGP(Pretty Good Privacy)에서 시작해, 2016년 왓츠앱이 기본 적용하면서 대중화됐습니다. 현재 시그널, 왓츠앱, 아이메시지, 텔레그램의 비밀대화가 이 방식을 씁니다.
하지만 이 기술이 지키는 건 ‘전송 중’인 메시지뿐입니다. 상대방 기기에 도착한 순간, 그 기기가 안전하다는 보장은 없습니다. 화면을 잠금 해제한 채로 두는 사람, 악성 앱을 설치한 사람, 클라우드 백업을 켜둔 사람이라면 대화 내용이 다른 경로로 빠져나갈 수 있습니다. 저는 보안 컨설팅을 하면서 항상 이 점을 강조합니다. 종단간 암호화는 ‘도청자’를 막는 기술이지, ‘사용자 자신’을 막는 기술이 아닙니다.
실제로 2021년 애플이 iCloud 백업에서 종단간 암호화를 기본 적용하지 않았을 때, 미 연방수사국(FBI)이 법적 절차를 통해 백업 데이터를 확보한 사례가 있습니다. 백업은 암호화의 사각지대입니다. 이건 기술적 한계라기보다 서비스 설계의 선택입니다.
메신저마다 다른 설정, 이렇게 확인하세요
많은 사람이 메신저를 설치하면 기본 설정으로 종단간 암호화가 켜져 있다고 믿습니다. 하지만 이는 절반만 맞습니다. 왓츠앱과 시그널은 모든 대화에 기본 적용됩니다. 반면 텔레그램은 일반 채팅은 서버 측 암호화만 사용하고, ‘비밀대화’ 기능을 켜야 종단간 암호화가 적용됩니다. 아이메시지도 설정에서 ‘iCloud 백업’을 끄거나 ‘고급 데이터 보호’를 켜야 종단간 암호화가 강화됩니다.
제가 상담했던 한 스타트업 대표는 텔레그램을 업무용으로 쓰면서 비밀대화를 켜지 않았고, 외부에 회의 내용이 유출됐습니다. 텔레그램 자체가 문제라기보다, 사용자가 기능을 몰랐던 것입니다. 이 기능을 확인하는 방법은 간단합니다. 텔레그램에서는 채팅방 우측 상단의 점 세 개를 누르고 ‘비밀대화 시작’을 선택하면 됩니다. 아이메시지는 설정 > 사용자 이름 > iClo 보안 메신저 ud > 고급 데이터 보호에서 켤 수 있습니다.
또 하나, 메신저마다 ‘안전한 전송’의 기준이 다릅니다. 시그널은 메타데이터(발신자, 수신자, 시간)조차 최소화하도록 설계됐습니다. 왓츠앱은 페이스북과 연동되는 광고 데이터 수집이 가능합니다. 이 차이가 실제로 ‘누가 내 정보를 볼 수 있는가’를 결정합니다. 종단간 암호화가 내용을 보호해도, 메타데이터는 여전히 회사와 정부에 노출될 수 있습니다.
내 대화가 새는 실제 경로 5가지
암호화를 아무리 철저히 해도 대화가 새는 경로는 생각보다 많습니다. 첫째, 상대방 기기의 화면 녹화나 스크린샷입니다. 둘째, 클라우드 백업입니다. 아이클라우드나 구글 드라이브에 대화가 자동으로 백업되면, 그 파일은 종단간 암호화가 적용되지 않을 수 있습니다. 셋째, 키보드 입력 기록입니다. 일부 타사 키보드 앱은 입력 내용을 서버로 전송합니다. 넷째, 이메일이나 문자로 인증 코드를 주고받는 과정에서의 피싱입니다. 다섯째, 기기 분실입니다. 잠금이 약하면 누구나 대화를 열어볼 수 있습니다.
이 중에서 제가 실제로 목격한 가장 흔한 사례는 클라우드 백업입니다. 한 법무법인 고객은 왓츠앱을 사용하면서 아이클라우드 백업을 켜둔 상태였습니다. 나중에 그 백업 파일이 법적 분쟁에서 증거로 제출됐습니다. 종단간 암호화가 적용된 대화도 백업에서 평문으로 복원될 수 있었습니다. 이건 기술적 결함이 아니라, 백업이 암호화 대상에서 제외되기 때문입니다.
또한, 메타데이터 자체도 정보를 새나갑니다. 누가 누구에게, 언제, 얼마나 자주 메시지를 보냈는지는 암호화되지 않는 경우가 많습니다. 2013년 스노든 폭로 이후, 미국 국가안보국(NSA)이 메타데이터를 활용해 테러리스트 네트워크를 추적한 방식이 공개됐습니다. 내용은 모르더라도 관계와 패턴을 알면 많은 것을 파악할 수 있습니다.
기업과 개인, 선택 기준이 달라야 하는 이유
제가 컨설팅하는 기업들 중에서는 법무, 언론, 의료 분야가 가장 보안에 민감합니다. 이들에게는 시그널을 추천합니다. 오픈소스이고, 메타데이터를 최소화하며, 과거 실적이 검증됐습니다. 반면 일반 개인에게는 왓츠앱도 충분히 좋은 선택입니다. 다만, 페이스북 계정과 연동되는 점, 비즈니스 기능에서 데이터가 사용되는 점은 인지해야 합니다.
여기서 중요한 건 ‘완벽한 메신저’를 찾는 것이 아니 https://www.nytimes.com/search?dropmab=true&query=보안 메신저 라, ‘내 위협 모델’에 맞는 메신저를 고르는 것입니다. 예를 들어, 기자가 취재원과 대화한다면 시그널이나 왓츠앱의 비밀대화를 써야 합니다. 하지만 가족과의 일상 대화라면 아이메시지나 카카오톡의 비밀채팅도 충분합니다. 카카오톡은 2020년부터 1:1 비밀채팅에서 종단간 암호화를 지원합니다. 단체 채팅방은 아직 미지원이라는 점을 알아야 합니다.
저는 개인적으로 ‘보안의 정도’보다 ‘사용자의 이해도’가 더 중요하다고 봅니다. 아무리 안전한 앱을 써도 사용자가 보안 설정을 끄거나, 피싱에 속거나, 기기를 분실하면 소용없습니다. 그래서 저는 고객에게 항상 이렇게 말합니다. “당신이 가장 잘 쓰는 앱이 가장 안전한 앱입니다.” 완벽한 도구보다, 제대로 쓰는 도구가 낫다는 뜻입니다.
실제로 한 연구에 따르면, 보안 기능이 복잡할수록 사용자가 우회하거나 비활성화하는 비율이 높아집니다. 종단간 암호화도 예외는 아닙니다. 사용자가 불편하다고 느끼면 결국 꺼버리거나, 다른 앱으로 옮겨갑니다. 그래서 선택 기준은 ‘기능’보다 ‘습관’이 되어야 합니다.
암호화를 무력화하는 설정과 습관
종단간 암호화를 켜도, 몇 가지 설정 때문에 효과가 반감됩니다. 가장 대표적인 것이 ‘클라우드 백업’입니다. 아이폰은 아이클라우드, 안드로이드는 구글 드라이브에 대화를 백업합니다. 이 백업 파일은 대부분 암호화되지 않거나, 서비스 제공자가 복호화 키를 보관합니다. 그래서 메신저의 종단간 암호화와 별개로, 백업을 끄거나 별도 암호화를 적용해야 합니다.
또 하나는 ‘멀티 디바이스’ 기능입니다. 왓츠앱 웹이나 데스크톱 앱을 쓰면, 그 기기에서 대화가 복호화됩니다. 만약 그 기기가 해킹됐다면, 암호화는 무용지물입니다. 저는 한 고객이 노트북을 분실한 뒤, 왓츠앱 웹 세션을 원격으로 종료하지 못해 대화가 유출된 사례를 접했습니다. 이럴 때는 앱에서 ‘모든 기기에서 로그아웃’ 기능을 즉시 실행해야 합니다.
또한, 화면 잠금을 안 하거나, 간단한 패턴 잠금을 쓰는 사람이 많습니다. 이 경우 기기 분실 시 대화 내용이 그대로 노출됩니다. 지문이나 얼굴 인식, 강력한 비밀번호를 설정하는 게 기본입니다. 그리고 타사 키보드(예: 구글 키보드, 삼성 키보드)는 입력 내용을 서버로 전송할 수 있습니다. 보안에 민감하다면 기본 키보드만 쓰는 것이 좋습니다.
마지막으로, 사용자 스스로가 ‘보안 경고’를 무시하는 경우입니다. 새 기기에서 로그인할 때 뜨는 알림, 상대방의 안전번호(시그널, 왓츠앱에서 제공)가 바뀌었을 때의 경고. 이 경고를 무시하면 중간자 공격에 노출될 수 있습니다. 저는 이 경고를 무시하지 말라고 강조합니다. 한 번의 무시가 큰 사고로 이어질 수 있습니다.
지금 당장 확인해야 할 3가지
이 글을 읽고 있다면, 지금 당장 아래 3가지를 확인하세요. 첫째, 사용 중인 메신저의 종단간 암호화가 기본 적용인지, 아니면 별도 설정이 필요한지 확인합니다. 둘째, 설정에서 클라우드 백업을 끄거나, 백업에 별도 암호를 설정합니다. 셋째, 타사 키보드를 사용 중이라면 기본 키보드로 바꿉니다.
이 3가지만 확실히 해도 대부분의 대화 유출 위험을 줄일 수 있습니다. 저는 보안 컨설팅을 하면서 항상 이 순서대로 조치를 권합니다. 복잡한 보안 솔루션을 도입하기 전에, 기본적인 습관을 고치는 것이 먼저입니다.
종단간 암호화는 만능이 아닙니다. 하지만 제대로 설정하고 사용한다면, 대화 내용을 지키는 가장 강력한 도구가 됩니다. 기술은 계속 발전하지만, 사용자의 인식이 따라가지 못하면 그 효과는 반감됩니다. 오늘 이 글이 그 시작점이 되길 바랍니다. 지금 바로 설정 화면을 열어보세요.
자주 묻는 질문
종단간 암호화가 적용된 메신저는 어떤 것이 있나요?
대표적으로 시그널, 왓츠앱, 아이메시지가 기본 적용이며, 텔레그램은 비밀대화, 카카오톡은 1:1 비밀채팅에서 지원합니다. 단, 텔레그램 일반 채팅과 카카오톡 단체 채팅방은 종단간 암호화가 적용되지 않습니다.
종단간 암호화를 켜도 클라우드 백업을 하면 안전한가요?
아니요, 클라우드 백업은 종단간 암호화의 사각지대입니다. 아이클라우드나 구글 드라이브에 백업된 대화는 암호화가 풀린 상태로 저장될 수 있습니다. 보안을 원한다면 백업을 끄거나, 백업 자체에 별도 암호를 설정해야 합니다.
종단간 암호화와 일반 암호화의 차이는 무엇인가요?
종단간 암호화는 메시지가 송신자 기기에서 암호화되어 수신자 기기에서만 복호화됩니다. 일반 암호화는 서버에서 복호화가 가능합니다. 예를 들어 텔레그램 일반 채팅은 서버에서 내용을 볼 수 있지만, 비밀대화는 볼 수 없습니다.
답글 남기기