Hacker News 2026.07.08 28

윈도우가 당신을 추적한다? 해커 검거로 드러난 마이크로소프트의 ‘기기 ID’

익명 해커는 어떻게 붙잡혔나

한 해커가 체포되는 과정에서 뜻밖의 사실이 드러났어요. 마이크로소프트가 윈도우 사용자를 “기기 ID(Device ID)”라는 걸로 추적할 수 있다는 거예요. 이게 왜 놀라운 이야기냐면, 아무리 익명으로 활동하는 해커라도 결국 윈도우 컴퓨터를 쓰는 순간 신원이 연결될 수 있다는 뜻이거든요.

이번 사건의 핵심은 이래요. 그 해커는 온라인에서 여러 가짜 신원과 익명 계정을 쓰며 자기 정체를 철저히 숨겼어요. 그런데 수사기관이 마이크로소프트에 특정 기기 ID에 대한 정보를 요청했더니, 그 익명 활동에 쓰인 기기가 알고 보니 해커의 실제 마이크로소프트 계정과 연결돼 있었던 거예요. 익명의 가면과 진짜 얼굴이 하나의 기기 ID로 이어져버린 거죠.

기기 ID가 뭐냐면

여러분이 윈도우를 설치하고 마이크로소프트 계정으로 로그인하면(요즘은 사실상 강제되죠), 그 컴퓨터에 고유한 식별 번호가 부여돼요. 이게 기기 ID예요. 사람으로 치면 주민등록번호 같은 건데, 컴퓨터 한 대 한 대에 붙는 거예요.

문제는 이 ID가 생각보다 끈질기게 따라다닌다는 거예요. 윈도우 업데이트를 받을 때, 마이크로소프트 스토어를 쓸 때, 오피스나 원드라이브에 로그인할 때… 이런 순간마다 기기 ID가 마이크로소프트 서버로 전달돼요. 즉 내가 어떤 계정으로 뭘 했는지가 이 하나의 기기 번호를 매개로 다 엮일 수 있는 거예요. 계정을 여러 개 만들어 써도, 같은 컴퓨터에서 접속했다면 같은 기기 ID가 찍히니까 결국 “이거 다 한 사람이네”가 드러나죠.

이게 왜 중요한 문제인가

여기서 오해하면 안 되는 게 있어요. 대부분의 평범한 사용자한테는 이게 당장 문제가 되진 않아요. 마이크로소프트가 아무한테나 이 정보를 넘기는 게 아니라, 법적 절차(영장이나 정식 수사 요청)를 거쳐야만 제공하거든요. 나쁜 짓을 안 하면 걱정할 일이 별로 없다는 얘기죠.

하지만 프라이버시 관점에서 보면 시사하는 바가 커요. “내가 산 컴퓨터가 나도 모르는 사이에 나를 식별하는 고유 번호를 계속 흘리고 있다”는 사실 자체가 불편하잖아요. 특히 익명성이 생명인 사람들(내부고발자, 언론인, 반체제 인사 등)에게는 심각한 문제가 될 수 있어요. VPN을 쓰고, 가명 계정을 쓰고, 별별 노력을 다 해도 기기 자체가 나를 배신할 수 있으니까요.

업계 맥락 — 이게 마이크로소프트만의 일일까

사실 이런 “기기 식별” 자체는 마이크로소프트만 하는 게 아니에요. 애플도 기기별 식별자가 있고, 구글도 안드로이드 기기와 계정을 연결하죠. 광고 업계에서는 오래전부터 “기기 지문(fingerprinting)”이라고 해서, 브라우저 설정·화면 해상도·설치된 폰트 같은 미세한 특징들을 조합해 사용자를 특정하는 기술을 써왔어요. 요점은, 우리가 쓰는 거의 모든 디지털 기기가 어떤 형태로든 고유하게 식별되고 있다는 거예요.

다만 이번 사건이 특별한 건, 그게 “이론”이 아니라 실제 수사에서 사람을 특정하는 데 쓰였다는 게 구체적으로 드러났다는 점이에요. 막연히 “그럴 수 있대”가 아니라 “실제로 이렇게 잡혔다”가 확인된 거죠.

한국 개발자에게

우리가 서비스를 만들 때도 이 이야기는 남 일이 아니에요. 사용자를 식별하기 위해 기기 정보를 수집하는 코드는 흔하잖아요. 광고 식별자, 디바이스 핑거프린트, 하드웨어 정보 같은 것들이요. 이번 사례는 “이런 데이터가 쌓이면 결국 개인을 특정할 수 있다”는 걸 보여주는 실제 증거예요.

그래서 개발자로서 두 가지를 생각해볼 만해요. 첫째, 내가 만드는 서비스가 필요 이상으로 기기 식별 정보를 모으고 있진 않은지. 개인정보보호법 관점에서도 최소 수집 원칙은 점점 중요해지고 있거든요. 둘째, 사용자 입장에서 내 프라이버시를 지키려면 어떤 설정을 꺼야 하는지 알아두는 것. 윈도우의 진단 데이터 전송 설정이나 광고 ID 설정을 점검하는 습관 정도는 들여두면 좋아요.