사진 한 장으로 집 주소가 털린다 — 메타데이터의 위험

집에서 찍은 고양이 사진을 커뮤니티에 올렸다. 귀여운 고양이만 보이겠지, 싶겠지만 — 그 사진 파일 안에는 집 주소가 GPS 좌표로 박혀 있을 수 있다.

위도 37.XXXX, 경도 127.XXXX. 구글 지도에 넣으면 아파트 동·호수까지는 아니어도, 어느 건물인지는 특정된다.

이건 해킹이 아니다. 스마트폰이 사진을 찍을 때 자동으로 기록하는 데이터 — 메타데이터(metadata) — 가 파일에 그대로 남아 있는 거다.

메타데이터가 뭔가

메타데이터는 “데이터에 대한 데이터”다. 사진 파일의 경우, 눈에 보이는 이미지 외에 촬영 조건과 환경 정보가 파일 안에 함께 저장된다. 이걸 EXIF(Exchangeable Image File Format)라고 부른다.

EXIF에 들어가는 정보:

• GPS 좌표 — 위도, 경도. 미터 단위 정밀도.
• 촬영 일시 — 연·월·일·시·분·초.
• 기기 정보 — 제조사, 모델명 (예: Samsung SM-S928N, Apple iPhone 16 Pro).
• 촬영 설정 — 조리개, 셔터 속도, ISO, 플래시 사용 여부.
• 소프트웨어 — 편집 앱 이름과 버전.

사진만이 아니다. Word 문서에는 작성자 이름과 편집 기록이, PDF에는 생성 도구와 작성자가, 이메일에는 발신 IP와 경유 서버가 — 전부 메타데이터다.

사진 한 장이 위치를 노출한 실제 사건들

추상적인 위험이 아니다. 실제로 터진 사건들이 있다.

John McAfee — VICE 인터뷰 사진 한 장

2012년, 안티바이러스 소프트웨어 McAfee의 창업자 John McAfee가 벨리즈 경찰의 살인 수사를 피해 도주 중이었다. 미국 매체 VICE가 그를 만나 인터뷰했고, “지금 McAfee와 함께 있다”며 사진을 올렸다.

문제는 그 사진이 iPhone으로 촬영됐고, EXIF의 GPS 좌표가 그대로 남아 있었다는 거다. 좌표를 지도에 넣으면 과테말라 리오둘세 국립공원의 Ranchon Mary 레스토랑 수영장이 찍혔다. McAfee의 은신처가 사진 한 장에 공개된 셈이다.

McAfee는 블로그에서 “VICE 본사의 미숙한 기술자가 EXIF를 제거하지 않고 원본을 올린 탓”이라고 비난했지만, 어차피 원본이 이미 공개된 뒤였고, 결국 본인이 과테말라에 있다는 사실을 시인했다.

Strava 히트맵 — 군사기지 위치 노출

2018년, 피트니스 앱 Strava가 전 세계 사용자들의 운동 경로를 시각화한 히트맵을 공개했다. 문제는 시리아 사막 한가운데, 아프리카 사헬 지역, 소말리아 같은 곳에서 조깅 경로가 빛나고 있었다는 거다. 그 위치들은 미군과 연합군의 비밀 군사기지였다.

CNN, TechCrunch 등이 보도했고, 미 중부사령부(CENTCOM)가 보안 정책을 재검토했다. 소말리아의 CIA 추정 기지, 예멘의 패트리어트 미사일 방어 시스템 위치, 지부티의 드론 기지까지 노출됐다.

개별 군인이 GPS가 켜진 채 운동 앱을 돌린 것뿐인데, 그 데이터가 모이니 기지 윤곽이 그려진 거다.

문서 메타데이터 — 작성자가 찍힌다

사진만의 문제가 아니다. 2017년, NSA 기밀 문서를 언론에 유출한 Reality Winner가 체포된 사건에서는 출력물에 남는 프린터 추적 코드(Machine Identification Code)가 단서가 됐다. 컬러 레이저 프린터가 모든 출력물에 육안으로 보이지 않는 노란 점을 찍어 넣는데, 이 점 패턴으로 프린터 시리얼 번호와 출력 일시를 특정할 수 있다.

Word 문서도 마찬가지다. 파일 속성에 작성자 이름, 마지막 편집자, 편집 시간, 심지어 파일이 저장된 폴더 경로까지 기록된다. 서로 다른 회사에서 제출한 입찰 문서의 작성자 메타데이터가 전부 동일 인물로 찍혀서 담합이 발각된 사례도 있다.

이메일 헤더에도 메타데이터가 있다

이메일을 보내면 본문 외에 “헤더(header)“라는 메타데이터 블록이 붙는다. 여기에 들어가는 것:

• 발신 IP 주소 — 어디서 보냈는지. 도시 수준까지 위치 추정 가능.
• 경유 서버 목록 — 이메일이 어떤 서버를 거쳐 왔는지 전체 경로.
• 타임스탬프 — 각 서버에서 처리된 시각.
• 메일 클라이언트 — 어떤 앱/서비스로 보냈는지.

Gmail, Outlook.com, Yahoo 같은 대형 서비스는 발신자의 원래 IP를 자사 서버 IP로 대체해서 보호한다. 하지만 회사 메일 서버나 소규모 호스팅을 쓰는 경우, 발신자의 실제 IP가 헤더에 그대로 노출된다.

SNS에 올리면 자동으로 지워지지 않나?

반쯤 맞다.

페이스북, 인스타그램, 트위터(X), 틱톡 — 주요 SNS는 피드에 올라가는 공개 이미지에서 EXIF를 제거한다. 다운로드해도 GPS 좌표는 나오지 않는다.

하지만 두 가지를 알아야 한다.

첫째, 플랫폼은 원본 메타데이터를 수집한다. 공개 이미지에서 제거하는 거지, 플랫폼 서버에는 원본 GPS 좌표가 저장된다. 인스타그램은 이걸 내부 용도(광고 타겟팅 등)로 쓴다고 명시하고 있다.

둘째, DM과 API 업로드는 예외가 있다. 트위터 DM으로 보낸 이미지, 서드파티 API를 통한 업로드에서는 EXIF가 제거되지 않는 경우가 있다. “SNS에 올렸으니 안전하겠지”라는 가정은 DM에서는 성립하지 않을 수 있다.

진짜 위험한 건 SNS가 아니다. 커뮤니티 게시판, 중고거래 사이트, 블로그, 이메일 첨부 — EXIF를 건드리지 않는 곳에 원본 사진을 올릴 때 GPS 좌표가 그대로 나간다.

내 상황에 맞게 판단하기

모든 메타데이터가 당장 위험한 건 아니다. 현실적으로 분류하면 이렇다.

🟢 일반 사용자 — 이것만 하면 된다:

스마트폰 카메라 설정에서 위치 태그(GPS 태그)를 끄면 된다. 이미 찍은 사진을 공유할 때는 공유 옵션에서 “위치 정보 제거”를 켜면 된다. iOS는 사진 공유 시 “위치” 토글이 있고, 안드로이드도 갤러리 앱에서 위치 정보 삭제 옵션을 제공한다.

이 정도면 중고거래 사이트에 올린 사진으로 집 주소가 노출되는 건 막을 수 있다.

🟡 민감한 상황 (스토킹 피해자, 위치를 숨겨야 하는 경우):

스마트폰 설정만으로는 부족하다. 사진을 공유하기 전에 EXIF를 완전히 제거해야 한다.

• Windows: 파일 우클릭 → 속성 → 자세히 탭 → “속성 및 개인 정보 제거”
• 명령줄: ExifTool — exiftool -all= 파일명.jpg 한 줄이면 모든 EXIF가 삭제된다.
• 문서: Word는 파일 → 정보 → “문서 검사” → 개인 정보 제거. PDF는 Adobe Acrobat의 “문서 검사” 기능.

문서를 외부에 보낼 때도 작성자 이름과 편집 기록을 반드시 확인하라. 특히 퇴사 후 이직한 회사에서 이전 직장 문서 템플릿을 그대로 쓰면, 메타데이터에 이전 직장 이름이 찍혀 나간다.

🔴 OPSEC 필요 (기자·취재원, 내부고발자):

ExifTool이나 mat2로 메타데이터를 제거하는 것은 기본이고, 파일을 공유할 때 원본 형식 자체를 바꿔야 한다. 사진은 스크린샷으로 다시 찍고, 문서는 내용만 복사해서 새 파일로 만들고, 이메일은 ProtonMail 같은 발신 IP를 숨기는 서비스를 쓴다.

프린터 추적 코드까지 신경 써야 하는 수준이라면, 흑백 레이저 프린터를 쓰거나 아예 출력하지 않는 게 답이다. 컬러 레이저 프린터의 노란 추적 점은 대부분의 제조사가 기본 탑재하고 있다.

EXIF 확인하는 법 — 지금 해볼 수 있다

직접 확인해봐야 와닿는다.

Windows: 아무 사진 파일을 우클릭 → 속성 → “자세히” 탭. GPS 위도/경도 항목이 있으면 촬영 위치가 기록된 거다.

ExifTool (상세 확인): exiftool.org에서 다운로드 후 명령 프롬프트에서:

exiftool 사진파일.jpg

GPS Position, Camera Model, Create Date 등이 전부 출력된다.

제거까지 한 번에:

exiftool -all= 사진파일.jpg

이 명령 하나로 모든 EXIF가 삭제된다. 원본은 사진파일.jpg_original로 백업된다.

mat2 (Python 사용자): mat2는 사진뿐 아니라 PDF, 오디오, 오피스 문서까지 메타데이터를 일괄 제거한다. mat2 파일명이면 끝이고, 원본을 건드리지 않고 cleaned 파일을 새로 만든다.

선은 다른 데 있다

메타데이터를 제거하는 건 프라이버시 보호의 기본이다. 내 집 주소가, 내 이름이, 내 위치가 파일 하나에 박혀서 돌아다니는 걸 막는 건 당연한 자기 방어다.

하지만 이 기술이 악용되는 방향도 있다. 스토킹 가해자가 피해자의 사진에서 위치를 추출하는 건 범죄다. 누군가의 문서 메타데이터를 뒤져서 신원을 특정하고 괴롭히는 것도 마찬가지다.

메타데이터 지식은 방패로 쓰라고 있는 거다. 칼로 쓰는 순간, 그건 디지털 스토킹이고 개인정보 침해다. 정보통신망법, 스토킹처벌법 — 적용되는 법이 한두 개가 아니다.

정리

파일에는 눈에 보이는 것 이상의 정보가 들어 있다. 사진 EXIF의 GPS 좌표, 문서의 작성자 이름, 이메일 헤더의 발신 IP — 전부 나를 특정하는 단서가 된다.

지금 할 일은 간단하다. 스마트폰 카메라의 위치 태그를 끄고, 사진이나 문서를 외부에 공유하기 전에 메타데이터를 확인하라. ExifTool 한 줄이면 끝나는 일이다.

John McAfee는 사진 한 장으로 은신처가 노출됐고, 미군은 운동 앱 데이터로 비밀 기지가 드러났다. “설마 이게 문제가 되겠어?”라는 생각이 가장 위험한 메타데이터다.