파일은 못 읽어도 사용 흔적은 보인다…4개 운영체제의 ‘파일 알림’ 사각지대

파일을 열 권한이 없으면 그 파일에 관한 정보도 알 수 없을까. 오스트리아 그라츠공과대 연구진의 연구는 그렇지 않을 수 있음을 보여준다. 같은 기기에 있는 권한이 낮은 관찰자가 파일 변경 알림의 이름·경로·발생 시각을 분석하면, 파일 내용은 읽지 못해도 다른 사용자의 활동을 추정할 수 있다는 것이다. 연구 대상은 리눅스, 안드로이드, 윈도, macOS다. 620

문제는 파일 내용이 아니라 ‘무슨 일이 언제 일어났는가’

파일 알림은 원래 앱이 파일의 접근·변경 등에 반응하도록 돕는 기능이다. 리눅스의 inotify, 이를 기반으로 하는 안드로이드의 FileObserver, 윈도의 ReadDirectoryChangesW, macOS의 FSEvents가 해당한다. 관련 보도는 이 인터페이스들이 각각 2005년, 2008년, 2000년, 2007년부터 쓰였다고 설명한다. 다만 이는 보도에 제시된 연도로, 최초 도입 시점을 별도로 검증한 기록은 아니다. 317

핵심은 파일을 읽는 권한과 파일에서 발생한 이벤트를 알아내는 권한이 다를 수 있다는 점이다. 알림에는 파일 내용이 담기지 않지만, 파일명이나 경로, 이벤트 종류와 시각은 사용자의 행동을 짐작할 단서가 된다. 안드로이드 공식 문서도 FileObserver가 기기의 다른 프로세스가 일으킨 파일 접근·변경 이벤트를 보고할 수 있다고 설명한다. 다만 실제로 무엇을 볼 수 있는지는 운영체제의 인터페이스와 관찰 가능한 위치에 달려 있다. 모든 앱이 모든 파일을 감시할 수 있다는 뜻은 아니다. 1720

실험에서 드러난 단서들

• 리눅스 — 타이핑 간격: 파일 자체를 읽을 권한이 없어도 디렉터리 감시를 통해 키 입력 사이의 시간 간격을 포착할 수 있었다. 보도에 따르면 사용자 7명을 대상으로 한 로컬 실험에서 키 입력 활동 탐지 결과는 93.1~100%였다. 이는 언제 타이핑했는지에 관한 결과이지, 입력한 글자를 직접 알아냈다는 뜻은 아니다. 74
• 윈도 — 방문 사이트: 파이어폭스가 방문 사이트의 이름을 담은 디렉터리를 만드는 점이 웹사이트 식별의 단서가 됐다. 1,000개 사이트를 대상으로 한 실험에서 보고된 수치는 **F1 점수 97.8%**다. F1은 분류 성능을 나타내는 지표이므로 이를 단순히 ‘정확도 97.8%’로 바꿔 말해서는 안 된다. 8
• 안드로이드 — 미디어 이용 흔적: 연구를 다룬 보도는 왓츠앱 미디어 관련 이벤트가 노출될 수 있다고 전한다. 이는 사진·동영상·문서 자체를 확보했다는 주장이 아니라, 알림으로 활동을 추정할 수 있다는 의미다. 1017
• macOS — 같은 유형의 노출: 연구진은 macOS에서도 파일 알림 메타데이터가 새어 나가는 문제를 확인했다. 다만 제공된 자료만으로는 앞선 사례처럼 구체적인 실험 조건이나 성능 수치를 제시하기 어렵다. 620

리눅스 보완 조치가 모든 문제를 해결하지는 않는다

리눅스의 CVE-2025-68788은 접근할 수 있는 상위 디렉터리를 감시하면서, 읽을 수 없는 하위 특수 파일의 접근·수정 알림을 받는 문제와 관련된다. 커널 변경은 이런 특수 파일의 ACCESS·MODIFY 이벤트가 상위 디렉터리 감시자에게 전달되지 않도록 한다. 파일 알림을 통한 정보 노출 전반을 없애는 조치는 아니다. 1112

이번 연구가 던지는 질문은 분명하다. 파일 내용을 가리는 것만으로 충분한가. 알림 구독 권한을 판단할 때도 그 알림 자체가 무엇을 드러내는지 살펴봐야 한다. 연구 논문은 2026년 11월 15~19일 네덜란드 헤이그에서 열릴 예정인 ACM CCS 2026 자료에 실려 있다. 한편 미국 사이버보안·인프라보안국(CISA)은 2026년 6월 해당 리눅스 CVE의 악용 현황을 ‘없음’으로 기록했다. 이는 관련 파일 알림 부채널이 실제 환경에서 한 번도 쓰인 적 없다는 증거와는 다르다. 61