카쿠시에: X서 '꾹 누르면' 보이는 은닉 이미지 트렌드, 규제 당국이 주목하는 CSAM 위험

X(구 트위터)를 스크롤하다 보면 '꾹 누르세요(press and hold)' 또는 '長押しで変化(길게 누르면 변합니다)'라는 캡션과 함께, 타임라인에서 희미하거나 불완전하게 보이는 이미지를 본 적이 있을 것입니다. 모바일에서 이 이미지를 길게 누르면 갑자기 선명한 색상의 그림이 나타납니다. 이것이 바로 **카쿠시에(カクシエ, 숨은그림찾기)**이며, 최근 X에서 가장 화제가 된 트렌드 중 하나입니다. 많은 사용자가 재미있는 시각적 트릭으로 여기지만, 안전 연구원과 규제 당국은 더 심각한 질문을 던집니다. 같은 기술이 아동 성착취물(CSAM)을 자동 검열로부터 숨기는 데 사용된다면 어떻게 될까요?

카쿠시에란 무엇인가?

카쿠시에는 X에서 사용자들이 투명 PNG 파일을 게시하여 타임라인에서는 희미하게 보이거나 거의 빈 화면처럼 보이지만, 다른 사용자가 모바일에서 이미지를 길게 누르면(tap and hold 또는 press and hold) 숨겨진 전체 이미지가 드러나는 바이럴 트렌드입니다. 이 트렌드는 '탭 앤 홀드', '프레스 앤 홀드' 또는 '長押しで変化'라고도 불립니다. Kakushie Maker, SukeSuke Maker, TapHold.co 같은 무료 브라우저 기반 생성기가 등장하여 누구나 포토샵 없이 몇 초 만에 이런 이미지를 만들 수 있습니다.

기술적 원리

이 트릭은 투명 PNG 알파 채널과 X의 모바일 이미지 뷰어 간의 특정 상호작용을 이용합니다.

1. 투명도가 있는 PNG-8 — 제작자는 알파 채널이 있는 8비트 PNG(PNG-8)로 이미지를 내보내고, 스포이드 도구를 사용해 선택한 영역을 완전히 또는 부분적으로 투명하게 만듭니다.
2. X의 타임라인 압축 — 메인 타임라인 피드에 표시될 때 X의 이미지 파이프라인은 PNG의 투명도를 그대로 유지하여, 크게 투명하거나 반투명한 영역이 희미하거나 깨져 보이거나 거의 빈 화면처럼 보이게 만듭니다.
3. 길게 누르면 드러남 — X 모바일 앱에서 이미지를 탭하면 전체 화면 뷰어가 열리고, 꾹 누르고 있으면 X가 더 높은 해상도의 '4K' 버전을 불러옵니다. 이 시점에서 투명도 데이터가 다르게 렌더링되어 숨겨진 그림이 완전히 보입니다. iOS에서는 '4K로 로드'를 추가로 탭해야 할 수도 있습니다.

이는 전통적인 의미의 스테가노그래피도 아니고 보안 취약점도 아닙니다. X의 2단계 이미지 렌더링 파이프라인(썸네일 vs. 고해상도 뷰어)을 의도적으로 악용한 것입니다. 플랫폼은 전체 화면 보기에서 타임라인과 동일한 압축이나 알파 채널 처리를 적용하지 않기 때문에 이런 효과가 나타납니다.

안전 우려: CSAM 및 부적절한 콘텐츠

현재까지 카쿠시에 이미지가 실제 CSAM 유포에 사용되었다는 구체적인 증거는 없습니다. 하지만 여러 이유로 안전 우려는 신뢰할 만하고 심각한 위험으로 널리 인식되고 있습니다.

• 의도적 난독화 도구 — 카쿠시에의 목적 자체가 타임라인에서는 무해하거나 읽을 수 없게 보이게 하고, 특정 사용자 액션이 있어야만 두 번째 그림을 드러내는 것입니다. 이 메커니즘은 공개 타임라인 썸네일만 검사하는 자동 콘텐츠 모더레이션을 우회하는 데 직접적으로 악용될 수 있습니다.
• 이전 스테가노그래피 사례 — 2021년, 보안 연구원 David Buchanan은 Twitter의 PNG 파이프라인이 ZIP 아카이브, MP3 파일 및 최대 3MB의 임의 데이터를 게시된 이미지 안에 숨기는 데 악용될 수 있음을 입증했습니다. 이 기술은 모더레이션 스캐너의 감시를 피해 멀웨어나 불법 콘텐츠를 유포하는 데 사용될 수 있습니다.
• X의 알려진 CSAM 모더레이션 실패 — 호주 온라인 안전 규제 기관은 X에서 CSAM이 '특히 조직적'이라고 경고하며, X를 아동 학대 자료 최악의 플랫폼으로 지목했습니다. 비영리 단체 얼라이언스포유럽(Alliance4Europe)은 2025년 단 4일간 X에서 CSAM을 공유하는 계정을 최소 150개 발견했습니다. 유럽연합 집행위원회는 2025년 X에 대한 CSAM 유포 조사를 시작했습니다. 2025년 6월, 아동 안전 비영리 단체 쏜(Thorn)은 미지급 청구서와 CSAM에 대한 플랫폼의 무대응을 이유로 X와의 파트너십을 종료했습니다. 성착취 반대 국립 센터(National Center on Sexual Exploitation)는 X를 '온라인 성적 학대의 첫 페이지'라고 묘사했습니다.
• 오프콤(Ofcom) 조사 — 오프콤은 2026년 1월 12일, 그록(Grok) AI 스캔들(실제 여성과 아동의 성적 이미지 생성) 이후 영국의 2023년 온라인 안전법(Online Safety Act 2023)에 따라 X에 대한 공식 조사에 착수했습니다. 2026년 6월, 오프콤은 X를 포함한 모든 소셜 미디어 플랫폼에 바이럴 불법 콘텐츠를 중단하기 위한 '중대 사고(critical incident)' 프로토콜을 채택하도록 명령했습니다.
• 학술 연구 — 2025년 학술 논문('Just in Plain Sight')은 X에서 CSAM 유포 캠페인이 가짜 계정과 해킹된 프로필을 사용하여 공개적으로 운영되는 방식을 조사했으며, 플랫폼의 모더레이션 공백이 적극적으로 악용되고 있음을 확인했습니다.

핵심 주의사항: X의 체계적인 CSAM 문제와 규제 압력 증가에 대한 명확한 문서화된 증거가 있지만, 아직 카쿠시에 이미지가 CSAM에 적극적으로 사용되었다는 구체적인 보고나 조사는 없습니다. 이 우려는 확인된 악용 경로보다는 신뢰할 수 있고 널리 논의되는 위험으로 남아 있습니다. 그러나 전체 기술이 공개적인 시야에서 이미지를 숨기도록 설계되었기 때문에, 악용 가능성은 명백하며 안전 연구원들에 의해 지적되었습니다.

규제 환경

X는 현재 여러 전선에서 조사를 받고 있으며, 카쿠시에 트렌드는 이러한 기존 우려에 새로운 차원을 더합니다. 카쿠시에는 타임라인에서 자동 모더레이션에 보이지 않고 의도적인 사용자 상호작용 후에만 볼 수 있는 콘텐츠를 게시할 수 있는, 기술적으로 간단하고 널리 접근 가능한 방법을 제공합니다.

규제 기관/단체	조치	날짜
오프콤(Ofcom, 영국)	온라인 안전법에 따른 X 공식 조사; 중대 사고 프로토콜 명령	2026년 1월~6월
유럽연합 집행위원회	X의 CSAM 유포 네트워크 의혹 조사	2025년 8월
호주 e안전 커미셔너(eSafety Commissioner)	X에서 CSAM이 '특히 조직적'이라고 경고	2026년 3월
쏜(Thorn, NGO)	CSAM 무대응으로 X와 파트너십 종료	2025년 6월

X가 렌더링 파이프라인을 조정하여 썸네일과 고해상도 단계 모두에서 일관된 콘텐츠 모더레이션 검색을 적용할 때까지, 이 플랫폼은 이러한 악용 경로에 노출된 상태로 남아 있습니다.