마이크로소프트 윈도 리콜 프라이버시 논란, 상시 화면 캡처 기능의 출시 연기와 재설계(2024)

2024년 5월 마이크로소프트는 개발자 행사 빌드에서 Copilot+ PC의 핵심 기능으로 리콜(Recall)을 선보였다. 이 기능은 사용자가 PC에서 본 화면을 주기적으로 스크린샷으로 저장해 나중에 검색할 수 있게 하는 것이었다. 회사는 색인 데이터가 모두 로컬에 저장되고 암호화된다고 설명했다. 그러나 비밀번호, 금융 정보, 메시지 등 민감한 내용이 상시 기록된다는 점에서 즉각 우려가 제기됐다. 이 기능은 기본적으로 켜지는 방식이었다.

발표 직후 영국 정보위원회(ICO)가 마이크로소프트에 리콜 기능에 대해 문의에 나섰다고 알려졌다. 프라이버시 옹호 단체와 보안 전문가들은 화면 기록이 기본 설정으로 켜지는 점과 끌 수 있는 선택권이 제한된 점을 비판했다. 6월 초 보안 전문가들은 리콜을 비활성화할 수 없다는 점을 지적했다. 이 사안은 AI 편의 기능과 개인정보 보호의 균형 문제로 확산됐다. 기업 고객과 보안 책임자들도 도입에 신중한 반응을 보였다.

보안 연구자 케빈 뷰몬트는 블로그에서 리콜 데이터가 다른 사용자도 접근할 수 있는 SQLite 데이터베이스에 저장되는 등 여러 심각한 보안 결함을 짚었다. 연구자들은 스냅샷이 침해된 시스템에서 쉽게 빼낼 수 있고 암호나 금융 정보 같은 민감 정보가 암호화되지 않은 채 저장될 수 있다고 시연했다. 콘텐츠 중재도 없어 민감한 화면이 그대로 기록된다는 점이 지적됐다. 마이크로소프트의 '로컬 저장·암호화' 설명과 실제 구현 사이의 간극이 문제가 됐다. 비판 여론은 출시 계획 재검토 압박으로 이어졌다.

6월 초 'Total Recall'이라는 스크립트 도구가 리콜의 암호화되지 않은 로컬 저장소를 이용해 데이터를 빼낼 수 있음을 시연했다. 이 도구는 저장된 스냅샷과 텍스트 색인이 보호받지 못한다는 점을 구체적으로 보여줬다. 마이크로소프트가 내세운 암호화 주장의 신뢰성이 흔들렸다. 보안 업계는 장기간 누적 기록이 공격자에게는 매력적인 목표가 된다고 경고했다. 이 시연이 연기 결정을 앞당긴 압력의 하나로 꼽힌다.

2024년 6월 7일 마이크로소프트는 리콜의 광범위한 프리뷰 배포를 연기한다고 발표했다. 회사는 이 결정이 신뢰할 수 있고 안전하며 견고한 경험을 제공하겠다는 약속에서 비롯됐다고 밝혔다. 원래는 6월 18일 모든 Copilot+ PC 사용자에게 제공될 예정이었으나 '앞으로 몇 주 안에' 윈도 인사이더 프로그램 참가자에게만 제공하는 쪽으로 바뀌었다. 리콜을 켜거나 스크린샷 타임라인을 보려면 윈도 헬로 인증이 필요하도록 바꿨고, 기본 설정도 옵트인으로 돌렸다는 보도가 나왔다. 이는 출시 직전 기능이 후퇴한 이례적 사례였다.

6월 13~14일경 언론은 마이크로소프트 엔지니어들이 원래의 보안 기한을 맞추기 어려워했다고 보도했다. 이 보도는 연기가 단순한 신중함이 아니라 개발 일정상의 압박과 결함에서 비롯됐을 가능성을 시사했다. 회사는 인사이더 대상 추가 시험을 거치겠다고 했다. 컴퓨팅 등 일부 매체는 출시가 12월로 밀린다고 전했다. 이로써 Copilot+ PC 출시 당시 핵심 기능이던 리콜은 첫 제품 발매에서 빠졌다.

2024년 9월 초 리콜이 윈도 11의 선택적 제거 가능 기능으로 나타났고 마이크로소프트는 이를 버그라고 해명했다. 이어 9월 마이크로소프트는 데이터베이스 전체 암호화와 제거 가능성을 갖춘 더 안전한 버전을 발표했다. 기능은 기본적으로 꺼져 있고 사용자가 직접 켜는 옵트인 방식으로 바뀌었다. 이는 5월 발표 때의 설계에서 사실상 전면 후퇴한 것이었다. 보안 우려는 일부 해소됐지만 신뢰 회복은 별개의 문제로 남았다.

2025년 5월 메신저 시그널은 윈도에서 리콜이 대화 내용을 캡처하지 못하게 막는 '화면 보안' 기능을 추가했다. 시그널은 리콜을 이 기능을 넣는 계기로 꼽았다. 이는 앱 개발사가 운영체제 차원의 상시 화면 기록에 맞서 자체 보호책을 마련해야 했던 사례다. 사용자의 프라이버시를 지키려는 앱과 OS 간의 긴장이 드러났다. 재설계 이후에도 리콜에 대한 불신이 남아 있음을 보여줬다.

2025년 7월 브라우저 브레이브와 광고 차단기 애드가드도 리콜이 자사 서비스 화면을 기록하지 못하도록 차단하는 기능을 도입했다. 시그널에 이은 조치로 민감한 웹 활동이 상시 캡처되는 것에 대한 업계의 우려가 이어졌다. 마이크로소프트는 옵트인과 암호화를 내세웠지만 서드파티들은 여전히 자체 차단책을 택했다. 사건은 AI 기능의 기본값과 데이터 수집 범위가 신뢰를 좌우함을 보여준 사례로 남았다.