[지디넷코리아]스파이웨어 방지 프로그램 업체들이 이번에는 다른 방법으로 스파이웨어에 대응하고 있다. 바로 소비자 단체들의 도움을 받아 새로운 정의를 마련한다는 계획이다.

가칭 스파이웨어 방지 연합(Anti-Spyware Coalition)이라는 단체는 올 여름에 출범을 앞두고 스파이웨어에 대한 정의 및 지침을 내놓을 계획이라고 이 단체 관계자들은 밝혔다. 스파이웨어는 데스크톱 소프트웨어 개발의 '결정판'인 동시에 이제는 일상용어로도 널리 사용되고 있는 단어다.

스파이웨어 및 애드웨어 업체들은 자신들의 프로그램들이 합법적인 마케팅 도구라는 주장하고 있지만 공방은 수년 동안 계속되고 있다. 특히 용어가 분명치 않다보니 정보를 빼내거나 무료로 배포되는 소프트웨어에 함께 설치되는 광고 프로그램 모두 스파이웨어 혹은 애드웨어라는 용어로 혼동돼 사용되고 있다.

새로 구성될 연합체와 동맹 관계를 맺고 있는 캐나다의 소비자 단체인 CIPPIC(Canadiac Internet Policy and Public Interest Clinic)의 데이빗 퓨어는 "스파이웨어와 애드웨어의 구분이 확실해지면 소비자들에게도 이득이고 해당 프로그램 제작 업체들도 자신들의 상황에 대해 명확히 할 수 있어 도움이 될 것"이라고 말했다.

누가 참여하나?
스파이웨어 방지 연합체 회원사들은 소프트웨어 제조업체, 온라인 기업들, 보안 서비스 제공자들이다. 감시 단체도 참여하고 있으나 실질적 회원사라기보다는 제휴 관계라고 할 수 있다.

회원사 목록
Aluria Software
America Online
Computer Associates International (PestPatrol)
EarthLink
Hewlett-Packard
Lavasoft (Ad-Aware)
McAfee
Microsoft
Safer Networking (Spybot)
Symantec
Tenebril
Trend Micro
Webroot Software
Yahoo
Business Software Alliance
Cyber Security Industry Alliance

이 밖의 제휴 단체
National Consumer Law Center
Canadian Internet Policy and Public Interest Clinic
Berkeley Center for Law &Technology
Consumers Union
Center for Democracy &Technology

<출처: CNET News.com>

스파이웨어와 애드웨어 모두 PC 성능에 영향을 미치는 것은 마찬가지다. 이런 소프트웨어들은 컴퓨터에 몰래 설치되어 사용자에 관한 정보를 수집하는데, 이렇게 수집된 정보는 보통 광고에 이용되거나 관심을 보이는 제3자에게 넘어가기도 한다. 이에따라 이런 원치 않는 소프트웨어를 제거하려는 도구에 대한 수요도 급격히 성장하고 있는 실정이다.

위의 연합체가 성공적으로 구성될 경우 스파이웨어와 애드웨어에 대한 모호한 경계가 사라지고 소비자들도 PC를 깔끔하게 유지하는 데도 도움이 될 것이다. 또한 그동안 애드웨어나 스파이웨어를 만들어온 업체들이나 합법적으로 광고하는 프로그램을 만들어온 광고주들도 자사 소프트웨어를 개선하는 데에도 영향을 미칠 것이다.

애드웨어와 스파이웨어의 합법성을 따지는 것은 어렵지 않지만 그 둘 사이의 확실한 경계를 찾는 것은 어렵다고 인식돼 왔다. 퓨어는 "이런 문제들을 해결하려면 업계가 받아들일 수 있는 것과 그렇지 못한 것에 대해 업계 전반의 동의를 얻어내는 것이 중요하다"고 말했다.

애드웨어와 스파이웨어를 구분 짓는 표준적 정의가 왜 필요한지를 보여주는 예를 하나 살펴보자. CA(Computer Associates)는 올해 초 일시적으로 자사의 페스트페트롤(PestPatrol) 프로그램에서 게이터(Gator) 애드웨어 프로그램을 스파이웨어로 탐지하지 않도록 했다. 물론 이후 CA의 스파이웨어 목록은 수정됐지만 이 사건으로 CA는 스파이웨어 업체들의 항의에 대처하는 방식을 바꾸게 됐다.

CDT(Center for Democracy and Technology)의 아리 슈와츠는 새로운 연합체가 제시할 현재 애드웨어와 스파이웨어의 지침에 대한 초안 작성은 끝난 상태며 이후 의견 수렴을 위해 외부에 공개될 예정이라고 밝혔다.

슈와츠는 지난 주 CDT 사무실에서 관련 단체가 참석한 가운데 열린 연합체 최초 회의에서 스파이웨어 방지 연합은 현재 형성 단계이고 연합체 구성에 대한 동의만 했을 뿐 단체이름은 아직 공식적으로 발표되지 않았다고 말했다. 워싱턴에 위치한 CDT는 공공 대변 단체로 이번 연합체의 핵심 단체 중 하나다.

퓨어에 따르면 궁극적으로 스파이웨어 판단 기준은 고지, 승낙, 관리의 세 가지 요건을 만족해야 한다. 우선 애플리케이션이 설치되는 동안 사용자에게 해당 도구가 무엇인지 명확히 알려야 하고, 사용자의 필요에 따라 소프트웨어의 설치하는 권한이 주어져야하며 삭제도 마찬가지다. 하지만 스파이웨어와 애드웨어는 이런 기본 규칙에 충족되지 않는 경우가 대부분이라고 퓨어는 말했다.

스파이웨어 방지 도구, 서로 '잡아먹기'
지금까지는 스파이웨어와 애드웨어에 대한 정확한 정의를 하려는 공동의 노력이 없었기 때문에 스파이웨어 방지 도구들은 이들 프로그램을 서로 다르게 인식해왔다. 어떤 스파이웨어 방지 도구는 스파이웨어나 애드웨어를 제대로 식별하지만 어떤 것은 그렇지 못한 경우도 있다.

CA의 보안 관리 책임자인 토리 케이스는 "어떤 것이 스파이웨어인지 아닌지를 구분하는 것은 매우 모호하다. 명확한 정의가 없다는 것이 문제"라고 말했다.

케이스는 "또한 사용자에 따라 스파이웨어 혹은 애드웨어로 다르게 인식하기도 하고 자신의 PC가 감시당하고 있다며 심각하게 생각하기도 하지만 반면 대수롭지 않게 여기는 이들도 있다. 이런 혼란들은 지금도 계속되고 있다"며 "이 연합체의 목표대로만 된다면 제대로 된 스파이웨어 방지 제품을 만들어 사용자들에게 피해를 주는 프로그램들을 방지하는 데 집중할 수 있게 될 것"이라고 말했다.

한편 애드웨어나 스파이웨어 제작 업체들은 스파이웨어 방지 업체들에게 자사 제품을 유해프로그램으로 간주한 것에 대해 소송하겠다며 으름장을 놓기도 했다. 새로운 구성될 연합체의 회원사이자 스파이웨어 방지 도구를 내놓고 있는 MS는 그런 소송을 방지하도록 스파이웨어 방지 법안을 다시 만들어달라고 지난 주 미국 상원에 요청했다.

연합체 회원사에는 주요 스파이웨어 방지 프로그램 업체를 비롯해 업계의 관련 단체 몇 군데도 참여하고 있다. 슈와츠는 미국 소비자 연맹(Consumers Union)도 그 중하나라고 밝혔다.

슈와츠는 "소비자들이 스파이웨어와 애드웨어로부터 자기 자신을 보호하기 위해 무엇을 할 수 있을 것인가를 확실히 인지하게끔 하는 것이 이번 연합체를 구성하게 된 목적"이라고 말했다.

그는 어떤 사용자가 자신의 컴퓨터에 설치된 스파이웨어로 의심되는 소프트웨어의 위험성을 묻는다면 제조사에 상관없이 방지 프로그램 모두 동일하게 답변해야 할 것이라며 "회사마다 다른 기준으로 사용자들을 혼란에 빠뜨려서는 안된다"라고 말했다.

COAST의 험난했던 행보

스파이웨어 방지 기술 업체 컨소시엄(COAST)이 해체되었다는 사실은 문제를 해결하기 위한 업계의 노력이 어려움에 부딪쳤음을 보여주고 있다.

2003년: 스파이웨어 방지 소프트웨어 업체들이 모여 비영리 단체인 COAST가 결성됐다. 이 단체는 스파이웨어에 대해 정의를 내리고 소프트웨어 배포에 대한 윤리 규범을 만들기 위해 구성됐다.

2003년 12월: 애드어웨어(Ad-Aware)를 만드는 창립 멤버인 라바소프트(Lavasoft)가 탈퇴했다. 라바소프트는 컨소시엄의 회비를 두고 "단체가 돈벌이에만 급급하다"며 비난했다.

2005년 1월: 업계 전반에서 비난을 받고 있던 광고 소프트웨어 업체인 180솔루션이 COAST에 가입했다. 컨소시엄 측은 이 회사가 애드웨어 개발자들의 행동을 바꾸도록 설득해 회원사 자격을 얻도록 한다는 등의 물밑작업을 통해 180솔루션에게 회원자격을 부여했다.

2005년 2월: 창립 멤버인 웹루트만 남고 앨루리아(Aluria)와 CA가 컨소시엄을 떠났다.

2005년 4월: COAST는 공식적으로 해체됐다.

<출처: CNET News.com>

이번 스파이웨어 방지 연합체 구성은 여러 부분에서 동일한 목적을 갖고 활동해왔던 스파이웨어 방지 기술 업체 컨소시엄(Consortium of Anti-Spyware Techonology vendors; COAST)가 해체되고 난지 두 달만의 일이다. COAST의 경우 애드웨어를 만드는 것으로 의심되는 한 업체의 회원사 가입을 승인하는 바람에 결국 핵심 회원사 몇 군데가 이탈하는 사태가 벌어지게 됐고 이후 공중분해 돼버렸다.

슈와츠는 새로운 연합체의 목표가 COAST와 비슷하지만 활동 내용은 분명 다르다며 "COAST는 무리하게 사업을 확장한 것이 탈이었다. 또한 사업에 대한 당위성도 결여돼 정작 누구를 위한 사업이었는지도 불분명했다"고 말했다.

스파이웨어 방지 연합체의 경우 스파이웨어 방지 프로그램 업체, 소비자 단체, PC 제조업체나 인터넷 사업자처럼 스파이웨어 방지 도구를 배포하는 곳으로 회원사의 자격도 제한될 것이라고 슈와츠는 말했다. 또한 가입을 희망하는 신규 업체의 경우 기존 회원사의 승인을 받아야 한다.

스파이웨어 방지 업체인 웹루트(Webroot)의 부사장인 리차트 스티넌은 소비자가 감시인으로 참여하는 것 또한 예전 COAST와의 차이라고 말했다.

그는 "적어도 새로운 연합체는 포럼이 존재하므로 무턱대고 비난할 수 없는 구조로 돼있다. 특히 소비자 단체들이 연합체와 제휴를 맺고 참여해 다양한 의견 수렴에 도움이 될 것"이라고 말했다.

그러나 이런 연합체의 활동들이 회원사 모두에게 만족스러울 수만은 없다. 웹루트의 스티넌은 스파이웨어와 애드웨어에 대한 새로운 정의가 과연 업계의 전반적인 동의를 신속히 얻어낼 수 있을지에 대해 의구심을 나타냈다.

그는 "스파이웨어에 대해 명확한 정의를 내리고 구분 짓기란 참으로 모호한 일"이라고 회의적인 반응을 보였다. @