줌(Zoom) 개인정보·보안 논란, 가짜 종단간 암호화 광고와 FTC 합의

2020년 3월 26일 매체 마더보드는 줌의 iOS 앱이 페이스북 계정이 없는 이용자의 기기 정보까지 페이스북 그래프 API로 보내고 있다고 보도했다. 전송 항목에는 앱 실행 시점, 기기 모델, 시간대와 도시, 통신사, 광고 식별자 등이 포함됐다. 줌은 이를 개인정보 방침에 분명히 알리지 않았고, 페이스북 로그인 기능을 위한 SDK가 필요 이상의 정보를 수집했다는 지적이 나왔다. 줌은 3월 25일 문제를 인지해 해당 SDK를 iOS 앱에서 제거하고 로그인은 브라우저 방식으로 바꾸는 업데이트를 내놓았다. 코로나19 재택 수요로 이용자가 급증한 시점이어서 사용자들의 불신이 빠르게 번졌다.

3월 31일 인터셉트는 줌이 웹사이트와 앱에서 '종단간 암호화(end-to-end encryption)'를 내세웠지만 실제로는 전송 구간 암호화(TLS)만 쓴다고 보도했다. 줌 측 대변인도 당시에는 화상회의에 종단간 암호화를 적용할 수 없다고 인정했고, 회의 내용은 줌 서버에서 복호화될 수 있었다. 암호학자 매슈 그린은 줌의 용어 사용이 다소 부정직하다고 비판했다. 이는 줌이 정부의 자료 제출 요구에 응할 수 있는 기술적 가능성이 있다는 의미이기도 해 기업·교육 고객의 우려를 키웠다. 이후 미 연방거래위원회(FTC) 조사의 핵심 쟁점이 된다.

4월 1일 줌의 에릭 위안 CEO는 공개 서한에서 줌이 이용자들의 개인정보·보안 기대에 미치지 못했다며 사과했다. 서비스가 원래 기업 고객 중심으로 설계됐고 개인 소비자의 폭발적 사용을 예측하지 못했다고 설명했는데, 일일 회의 참가자는 2019년 말 약 1000만 명에서 2020년 3월 2억 명 이상으로 20배 늘었다. 줌은 90일 동안 신규 기능 개발을 멈추고 모든 엔지니어링 자원을 신뢰·안전·프라이버시 문제에 투입하겠다고 약속했다. 제3자 보안 점검, 투명성 보고서, 버그 바운티 강화, 최고정보보안책임자 협의체 구성, 매주 수요일 웨비나 등 구체 조치도 제시됐다. 이후 약 100개의 보안 관련 기능이 추가됐다고 알려졌다.

줌은 2020년 10월 26일 종단간 암호화(E2EE)를 무료와 유료 이용자 모두에게 기술 미리보기로 제공한다고 발표했다. 최대 200명이 참여하는 회의에 적용되며 데스크톱 5.4.0 버전과 안드로이드 앱, 줌 룸스에서 우선 사용할 수 있었다. 이 방식에서는 회의 주최자가 개인키를 갖고 참가자에게 공개키를 배포하며, 줌 서버는 암호화 키를 볼 수 없는 중계 역할만 한다. 대신 클라우드 녹화, 실시간 자막, 1대1 채팅, 반응 이모지 등 일부 기능은 쓸 수 없는 제약이 있었다. 3월 보도에서 지적된 가장 큰 약점을 약 7개월 만에 기술적으로 보완한 조치였다.

2020년 11월 9일 미 연방거래위원회는 줌과 합의안을 발표했다. FTC는 줌이 2016년부터 '종단간 256비트 암호화'를 제공한다고 홍보했지만 실제로는 더 낮은 수준의 보안만 제공했고, 줌오프너(ZoomOpener) 소프트웨어가 애플 사파리의 보안 장치를 우회해 맥 이용자를 악성코드와 피싱에 노출시켰다고 주장했다. 합의로 줌은 개인정보·보안 관련 허위 진술이 금지되고 포괄적 정보보안 프로그램을 운영하며 20년간 격년으로 독립 기관의 평가를 받아야 한다. 위원회 표결은 3대 2였고, 민주당 소속 로히트 초프라와 레베카 슬로터 위원은 환불 등 피해 구제가 없다는 이유로 반대했다. 줌은 금전 벌금 없이 마무리됐다.

2021년 8월 1일 줌은 이용자 개인정보를 페이스북·구글·링크드인과 공유했고 외부인의 회의 난입, 이른바 줌바밍을 막지 못했다는 취지의 집단소송을 8500만 달러에 합의하기로 했다고 밝혔다. 합의안은 미 캘리포니아 북부 연방지방법원 루시 고 판사의 승인이 필요한 예비 합의였다. 유료 가입자는 핵심 구독료의 15% 또는 25달러 중 큰 금액을, 그 밖의 이용자는 최대 15달러를 받을 수 있게 설계됐다. 줌은 회의에서 제3자 앱이 사용될 때 알림을 주고 직원에게 개인정보 처리 교육을 제공하는 등 보안 조치도 약속했으며, 잘못은 부인했다. 이로써 팬데믹 초기 폭증 과정에서 불거진 줌 논란은 법적으로 일단락됐다.