EFF 조사 결과, 안드로이드 광고 SDK 4종이 사용자 위치정보를 데이터 브로커에 기본 전송

SDK가 데이터 브로커와 위치정보를 공유하는 방식

• EFF는 호스트 앱이 위치 권한을 보유하면 기본적으로 정밀 위치정보를 수집 및 공유하는 4개의 광고 SDK( InMobi, BidMachine, Verve의 HyBid, Huawei의 Petal Ads )를 확인했습니다 .
• 이 SDK들은 위치 데이터를 실시간 입찰 시스템에 공급하며, 데이터 브로커는 이를 활용해 수억 명의 상세 이동 프로필을 의미 있는 사용자 동의 없이 구축합니다 .
• EFF의 네트워크 트래픽 분석 결과, BidMachine의 문서는 처음에 위치 수집에 관해 부정확했으며, EFF의 기술적 분석이 기본 설정으로 정밀 위치가 전송되고 있음을 확인한 후에야 문서를 업데이트했습니다 .
• InMobi는 문서에서 재정적 인센티브를 강조하며 개발자들이 위치 공유를 활성화 상태로 유지하도록 장려하는 것으로 나타났습니다 .
• 이 광고 파이프라인에서 수집된 위치 데이터는 ICE(미국 이민세관단속국) 조사, 글로벌 스파이 도구, 동성애 신부 폭로, 노조 활동가 추적, 미군 요원 추적 등에 사용된 바 있습니다 .

안드로이드 권한 프레임워크의 구조적 취약점

• 핵심 문제는 안드로이드의 권한 모델이 앱과 그 안에 포함된 SDK를 구분하지 않는다는 점입니다. 사용자가 앱에 위치 권한을 부여하면, 포함된 모든 타사 SDK가 자동으로 동일한 권한을 상속받습니다 .
• 광고 SDK는 일반적으로 위치 공유 설정이 '켜짐'을 기본값으로 합니다. 즉, 개발자가 기능을 적극적으로 비활성화하지 않으면 사용자의 정밀 GPS 좌표가 광고 네트워크와 데이터 브로커에 무심코 전송됩니다 .
• EFF는 이 설계가 사각지대를 만든다고 지적합니다. 많은 개발자가 수익 창출을 위해 SDK를 통합하면서도 SDK가 기본적으로 위치 데이터를 빼내고 있다는 사실을 인지하지 못하며, 플랫폼은 앱 자체의 위치 기능을 유지하면서 SDK 수준의 접근을 차단할 세부적인 메커니즘을 제공하지 않습니다 .
• 2026년 10월 28일자 Google Play 정책 업데이트는 정밀 위치에 대한 최소 범위로 '위치 버튼'을 도입할 예정이지만, EFF 보고서 당시에는 아직 적용되지 않았으며 SDK 상속 문제를 해결하지도 못합니다 .

규제 현황: 버지니아 주의 2026년 위치정보 판매 금지법

• 2026년 7월 1일, 버지니아주의 개정된 소비자 데이터 보호법(VCDPA)이 발효되어 소비자의 정밀 위치정보(약 533미터 이내의 정확도로 정의) 판매 또는 판매 제안을 금지했습니다 .
• 애비게일 스팬버거 주지사가 2026년 4월 13일 상원 법안 338호에 서명하여 버지니아는 메릴랜드, 오리건에 이어 미국에서 세 번째로 이러한 금지법을 제정한 주가 되었습니다 .
• 이 금지법은 VCDPA의 기존 옵트아웃 동의 모델을 판매에 대한 완전 금지로 대체했지만, EFF가 문서화한 기본 데이터 공유 파이프라인을 직접적으로 제한하지는 않습니다 .
• EFF 보고서는 주 차원의 판매 금지법이 발효되더라도 기본 SDK 수집의 구조적 문제는 지속된다고 강조합니다. 데이터가 판매(금지 대상)가 아닌 공유로 처리되고 광고 타겟팅에 사용될 경우 기술적으로 판매 금지 규정을 위반하지 않을 수 있기 때문입니다 .

EFF가 개발자에게 권장하는 사항

• 불필요한 위치 수집 비활성화. 개발자는 기본 설정에 의존하지 말고 광고 SDK에서 위치 공유 설정을 적극적으로 꺼야 합니다 .
• SDK 문서 주의 깊게 검토. EFF는 일부 SDK 문서가 부정확하거나 의도적으로 위치 수집을 축소한다는 사실을 발견했습니다. 개발자는 자체 기술 테스트를 통해 실제로 어떤 데이터가 전송되는지 확인해야 합니다 .
• 개인정보 보호를 기본값으로 하는 SDK 선택. EFF는 개발자들에게 기본적으로 위치 데이터를 수집하지 않고 데이터 관행에 대해 명확하고 정확한 문서를 제공하는 광고 라이브러리를 선택할 것을 촉구합니다 .
• 데이터 최소화 접근 방식 채택. 개발자는 앱의 핵심 기능에 진정으로 필요한 경우에만 위치 권한을 부여하고, 가능한 경우 정밀 위치 대신 대략적인 위치 사용을 고려해야 합니다 .
• EFF 직원 기술자 레나 코헨은 "사용자가 위치 프라이버시를 방어하기 위해 추가 조치를 취할 수는 있지만, 그래서는 안 됩니다. 개발자, 규제 기관, 입법자는 앱이 사용자의 위치를 광고 회사와 데이터 브로커에 유출하는 것을 막기 위해 행동해야 합니다"라고 말했습니다 .