좀비 쿠키가 삭제 뒤에도 사용자 식별자를 복원하는 방식
좀비 쿠키의 다중 저장소 복원 구조와 Evercookie, ETag 추적, 대응 수단 및 개인정보 보호 쟁점을 정리한다.
2026-08-14 · 최초 발행 2025-06-15
쿠키 삭제만으로 식별이 끝나지 않는 이유
좀비 쿠키는 사용자가 삭제한 뒤에도 자동으로 되살아나는 형태의 쿠키다. 일반 HTTP 쿠키와 달리 브라우저 바깥의 여러 저장소를 함께 이용하므로, 한 곳의 데이터를 비워도 식별 정보를 복원할 수 있다.
이 방식은 광고 기술이 고도화되는 과정에서 등장한 대표적인 지속 추적 기법이다. 사용자 추적의 필요성과 개인정보 보호 요구가 직접 충돌하는 지점이기도 하다.
여러 저장소에 남긴 식별자를 다시 꺼내는 구조
최초 방문 시 웹사이트는 같은 식별 정보를 브라우저 쿠키뿐 아니라 여러 저장 위치에 분산해 둔다. 활용될 수 있는 저장 메커니즘에는 Flash 로컬 저장소(Flash Local Storage), HTML5 로컬 저장소(Local Storage), 브라우저 캐시(Browser Cache), ETags, 웹 히스토리(Web History), IndexedDB, 웹 비콘(Web Beacons)이 있다.
사용자가 쿠키를 삭제하면 JavaScript가 다른 저장소를 조회한다. 쿠키가 비어 있는 상태라면 남아 있던 백업 식별자를 이용해 다시 쿠키를 만들고, 사용자가 웹사이트에 재방문했을 때 그 식별자를 바탕으로 추적을 이어 간다.
저장 매체에 따라 달라지는 구현 방식
Evercookie
Evercookie는 보안 연구자 Samy Kamkar가 2010년에 개발한 JavaScript 기반 좀비 쿠키다. 최대 13개의 서로 다른 저장 메커니즘에 쿠키 데이터를 유지하도록 설계됐다. 기술 시연을 목적으로 만들어졌지만, 지속 추적에 악용될 수 있다는 우려를 낳았다.
Flash 쿠키와 로컬 공유 객체
Flash 쿠키는 Adobe Flash의 로컬 공유 객체(Local Shared Objects)를 사용한다. 브라우저 쿠키와 별도로 관리되므로 브라우저 쿠키를 지워도 함께 제거되지 않는다. Flash 지원이 중단되면서 사용은 감소했지만, 비슷한 역할을 하는 기술은 계속 등장하고 있다.
ETag를 식별자로 쓰는 경우
HTTP 응답 헤더의 ETag도 추적에 이용될 수 있다. 브라우저 캐시 메커니즘에 식별 정보를 남겨 사용자 정보를 유지하는 방식이다. 표준 HTTP 프로토콜을 활용하므로 탐지와 차단이 더 어려울 수 있다.
Application Cache를 이용한 지속성
HTML5의 Application Cache API는 오프라인 웹 애플리케이션 지원을 위해 마련된 기능이다. 이를 추적에 전용하면 좀비 쿠키와 유사한 효과를 낼 수 있다. 브라우저 업데이트로 일부 제한됐지만 변형 기술은 존재한다.
추적과 방어에 쓰이는 자리
디지털 광고 네트워크는 사용자 행동을 추적하고 프로필을 구축하며, 광고 효율성 측정과 전환율 분석을 위해 지속적인 식별 정보를 활용할 수 있다. 크로스 디바이스 추적을 통해 통합 사용자 프로필을 구축하는 용도도 가능하다.
금융 기관에서는 계정 침해 탐지를 위한 디바이스 지문(fingerprinting)으로 활용될 수 있다. 사용자 인증을 보강하고 의심스러운 로그인 패턴을 찾아내거나, 서비스 남용과 봇을 차단하는 기술적 수단이 될 수 있다.
웹사이트 분석에서는 사용자 세션을 더 정확히 추적하고, 사용자 경험 개선 연구와 A/B 테스트의 정확성을 높이는 데 쓰일 수 있다. 중단된 세션의 연속성을 유지하거나 사용자 행동 패턴을 연구하는 목적도 있다.
반면 2012년 KISSmetrics의 이용자 추적 논란, 2014년 Verizon의 "supercookie" 사건, 정부 감시 프로그램과 연계된 추적 기술 활용 사례는 이러한 기술의 비윤리적 사용 가능성을 보여준다.
사용자가 줄일 수 있는 노출면
브라우저 차원의 개인정보 보호 기능은 첫 번째 방어선이다. Safari의 지능형 추적 방지(ITP), Firefox의 향상된 추적 방지(ETP), Chrome의 SameSite 쿠키 정책 및 제3자 쿠키 단계적 폐지 계획이 여기에 속한다. 개인정보 보호 모드는 세션이 끝날 때 저장소 데이터를 자동 삭제하고, 분리된 쿠키 컨테이너를 활용하는 데 도움이 된다.
추적 방지 확장 프로그램도 보완 수단이 된다. Privacy Badger는 EFF가 개발한 추적 방지 확장 프로그램이며, uBlock Origin은 광고와 추적을 차단하는 도구다. Cookie AutoDelete는 자동 쿠키 삭제를 지원하고, NoScript는 JavaScript 실행을 제어해 좀비 쿠키 생성을 막는 데 활용할 수 있다.
네트워크 수준에서는 VPN 서비스로 IP 주소를 바꿔 일부 추적을 줄일 수 있다. Pi-hole 등의 DNS 필터링으로 추적 도메인을 차단하거나, 방화벽 규칙으로 추적 서버 연결을 막는 방법도 있다.
데이터 정리는 저장소를 함께 다뤄야 한다. 브라우저 쿠키, 캐시, 로컬 스토리지를 동시에 삭제하고, CCleaner 등의 제3자 청소 도구나 브라우저 초기화 기능을 활용할 수 있다.
개인정보 권리와 데이터 수집의 충돌
좀비 쿠키는 GDPR(유럽 일반 개인정보 보호법)의 명시적 동의 요구사항을 위반할 가능성이 있다. CCPA(캘리포니아 소비자 개인정보 보호법)가 보장하는 "옵트아웃" 권리와도 충돌할 수 있으며, 개인정보 삭제 권리(Right to be forgotten)와는 구조적으로 긴장 관계에 놓인다.
광고 업계에서는 IAB(Interactive Advertising Bureau)의 광고 기술 가이드라인과 NAI(Network Advertising Initiative)의 윤리적 광고 기준이 자율 규제의 기준으로 언급된다. 다만 기업이 좀비 쿠키 사용 중단을 선언하는 것과 실제 이행 사이에는 괴리가 있을 수 있다.
기술적 보호조치와 법적 규제는 서로 보완돼야 한다. 소비자의 인식과 교육, 기술 발전에 맞춘 법적 프레임워크의 지속적 업데이트도 함께 요구된다.
쿠키 이후의 추적 기술
쿠키 규제가 강화되면서 브라우저 지문(Browser Fingerprinting), 머신러닝 기반 사용자 식별, CNAME 클로킹 같은 우회 기술이 발전하고 있다. 개인정보 보호 강화 흐름과 추적 기술은 계속 충돌할 가능성이 있으며, 익명화된 데이터 활용 모델과 Privacy Sandbox 등의 대안적 광고 기술도 발전하고 있다.
보안 연구 관점에서는 좀비 쿠키를 분석하는 일이 웹 보안 향상으로 이어질 수 있다. 기술을 투명하게 공개하고 대응책 개발을 촉진하는 과정에서 정보보안 전문가의 역할도 커진다. 지속 추적 기술의 변화와 그에 대한 방어 수단의 경쟁 관계를 이해하는 일은 선제적 대응의 출발점이다.