"이게 다 공개된다고?" 블루스카이 연동 앱 쓰다 유료 피드 다 털린 사연

요약 블루스카이(Bluesky)의 기반 기술인 AT 프로토콜(AT Protocol) 생태계에서 사용자들이 무심코 연동한 개인 데이터가 인터넷 전체에 무방비로 공개되고 있다는 분석이 나와 충격을 주고 있습니다. 한 개발자가 AT 프로토콜 기반 앱들을 조사하던 중, RSS 피드 리더 앱인 '스카이리더(Skyreader)'를 사용하는 유저들의 데이터를 추적했습니다. AT 프로토콜의 특성상 각 유저의 데이터는 개인 데이터 서버(PDS)에 저장되는데, 이 PDS에 저장된 정보는 누구나 열람할 수 있도록 기본적으로 공개되어 있습니다. 실제로 유저들의 계정 핸들을 조회해보자, 해당 유저가 구독 중인 RSS 피드 목록(`app.skyreader.feed.subscription`)이 고스란히 노출되어 있었습니다. 이 과정에서 유료 회원 전용인 비공개 RSS 피드 주소까지 그대로 털렸습니다. 패트리온(Patreon) 후원자 전용 피드, 404 미디어의 유료 전문 피드, 맥스토리즈(Club MacStories) 비공개 피드는 물론이고 깃랩(GitLab) 비공개 저장소 피드 토큰까지 누구나 접근할 수 있는 상태였습니다. 작성자가 블루스카이 릴레이를 통해 데이터를 긁어모으자, 아무런 인증 절차 없이 1,300개가 넘는 유저들의 구독 피드 주소가 통째로 수집되었습니다. 문제는 RSS 리더뿐만이 아닙니다. AT 프로토콜 기반으로 만들어진 디스코드 클론 앱들은 모든 메시지를 공개 저장하고 있었으며, 트위치 클론 플랫폼인 '스트림플레이스(Stream.place)' 역시 시청자들의 모든 실시간 채팅 내역을 누구나 검색하고 열람할 수 있는 상태였습니다. 프로토콜 특성상 공개가 기본값이라 하더라도, 정작 이를 이용하는 일반 유저들은 자신의 사적인 구독 정보나 채팅이 전체 공개되고 있다는 사실을 전혀 인지하지 못하고 있어 심각한 사생활 노출 위험이 지적되고 있습니다.