LinkedIn이 사용자의 브라우저 확장 프로그램을 검색하고 있음

3 hours ago 1

LinkedIn이 사용자의 브라우저 확장 프로그램을 비밀리에 스캔하고, 결과를 자사 및 제3자 서버로 전송하는 행위가 확인됨
이 과정에서 사용자 동의나 고지 없이 실행되며, LinkedIn의 개인정보 보호정책에도 명시되지 않음
스캔 대상에는 정치·종교·장애·구직 활동 등 민감한 정보를 드러낼 수 있는 확장 프로그램이 포함됨
LinkedIn은 이를 통해 경쟁사 제품 사용 기업을 식별하고, 제3자 도구 사용자에게 제재 위협을 가한 사례가 있음
Fairlinked e.V.는 이를 대규모 개인정보 침해 및 기업 스파이 행위로 규정하고, 법적 대응과 공공 제보를 추진 중임

LinkedIn의 불법적 브라우저 확장 프로그램 검색 의혹

LinkedIn이 사용자의 컴퓨터에 설치된 브라우저 확장 프로그램을 비밀리에 검색하고, 그 결과를 자사 및 제3자 서버로 전송한 사실이 확인됨
- 이 코드는 사용자 동의나 고지 없이 실행되며, LinkedIn의 개인정보 보호정책에는 관련 내용이 명시되어 있지 않음
- 수집된 데이터는 HUMAN Security(구 PerimeterX) 등 제3자 기업에도 전송됨
LinkedIn은 사용자의 실명, 직장, 직책 정보를 보유하고 있어, 익명 방문자가 아닌 식별 가능한 개인 및 기업 단위로 스캔을 수행함
- 이로 인해 전 세계 수백만 개 기업의 내부 정보가 매일 수집되는 구조임
- 조사 결과, 이러한 행위는 검토된 모든 관할권에서 불법이거나 형사 범죄에 해당할 가능성이 있음

조사 주체와 목적

Fairlinked e.V. 는 상업적 LinkedIn 사용자들의 협회로, 플랫폼에 의존하는 전문가, 기업, 도구 개발자들을 대표함
BrowserGate는 이 단체가 수행한 조사 및 캠페인으로, 대규모 기업 스파이 행위와 개인정보 침해 사건을 기록하고 공공 및 규제 기관에 알리며, 법적 대응을 위한 증거 수집과 자금 모금을 목표로 함

주요 발견 사항

대규모 개인정보 침해
- LinkedIn의 스캔은 사용자의 종교, 정치 성향, 장애 여부, 구직 활동 등을 드러낼 수 있는 확장 프로그램을 탐지함
- 예시로 무슬림 신앙자용 확장 프로그램, 정치 성향 관련 확장 프로그램, 신경다양성 사용자용 도구, 509개의 구직 관련 확장 프로그램 등이 포함됨
- 이러한 데이터는 EU 법상 수집 자체가 금지된 범주에 해당하며, LinkedIn은 동의·공개·법적 근거 없이 이를 수행함
기업 스파이 및 영업 비밀 탈취
- LinkedIn은 Apollo, Lusha, ZoomInfo 등 자사 영업 도구와 경쟁하는 200개 이상의 제품을 스캔함
- 사용자의 고용주 정보를 통해 어떤 기업이 어떤 경쟁 제품을 사용하는지를 파악할 수 있으며, 이는 수천 개 소프트웨어 기업의 고객 목록을 무단 추출하는 결과로 이어짐
- LinkedIn은 이 데이터를 활용해 제3자 도구 사용자에게 제재 위협을 발송한 사례가 있음
EU 규제 회피
- 2023년 EU는 LinkedIn을 Digital Markets Act(DMA) 에 따른 ‘게이트키퍼’로 지정하고, 제3자 도구 접근 허용을 명령함
- LinkedIn은 이에 대응해 제한된 두 개의 API를 공개했으나, 이들은 초당 0.07회 호출 수준에 불과함
- 반면 내부 API인 Voyager는 초당 163,000회 호출로 모든 웹·모바일 제품을 구동함
- Microsoft의 249쪽 EU 보고서에는 “API”가 533회 등장하지만 “Voyager”는 단 한 번도 언급되지 않음
- 동시에 LinkedIn은 감시 대상을 확대해, 2024년 약 461개 제품에서 2026년 2월 기준 6,000개 이상으로 스캔 목록을 확장함
- EU가 제3자 도구 개방을 요구하자, LinkedIn은 이용자를 감시·처벌하는 시스템을 구축함
제3자 데이터 전송
- LinkedIn은 HUMAN Security의 보이지 않는 추적 요소(0픽셀 크기) 를 로드해, 사용자의 인지 없이 쿠키를 설정함
- LinkedIn 자체 서버에서 지문 인식 스크립트가 실행되며, Google의 스크립트도 모든 페이지 로드 시 동작함
- 이 모든 데이터 전송은 암호화되어 있으며, 외부에 공개되지 않음