음소거를 눌러도 꺼지지 않는 소리가 이어폰을 붙잡았다

브라우저는 탭마다 소리를 끄는 버튼을 달아 두었다. 어느 페이지가 사용자 동의 없이 소리를 내더라도 그 자리에서 끌 수 있게 하려는 장치다. 내 기기에서 나는 소리만큼은 내가 통제한다는 약속에 가까웠다. 그런데 그 버튼을 눌러도 멈추지 않고 귀에 들리지도 않는 소리가 최근 확인됐다.

블루투스 이어폰에는 멀티포인트라는 기능이 있다. PC와 스마트폰에 동시에 연결해 두고 소리가 나는 쪽으로 전환되는 방식이다. PC가 조용하면 스마트폰 음악이 이어폰으로 넘어온다. 그런데 알리익스프레스 첫 화면을 열어 두면 그 전환이 멈춘다. 스마트폰 음악이 끊긴다. 탭을 닫으면 곧바로 돌아온다. 화면 어디에도 재생 중인 영상이나 음악은 없었다.

브라우저의 음소거는 영상이나 음성 파일을 재생하는 요소를 전제로 만들어졌다. 끌 대상이 화면 안에 있어야 끄는 셈이다. 문제의 소리는 그 외부 웹오디오라 부르는 연산 장치에서 나왔다. 소리가 어떻게 변형되는지 측정하려고 만든 장치다. 들려주는 요소로 치지 않으니 통제 대상에 아예 없었다.

원리는 단순하다. 정해진 파형을 하나 만들어 브라우저와 운영체제와 오디오 장치를 통과시킨다. 되돌아온 파형을 측정한다. 같은 신호라도 브라우저 버전과 운영체제와 하드웨어에 따라 결과가 미세하게 달라진다. 그 차이가 기기를 식별하는 표식이 된다. 볼륨은 0으로 맞춰 두어 사람 귀에는 아무것도 들리지 않는다. 다만 이 회로가 시스템의 오디오 출력단까지 연결돼 있어야 브라우저가 실제로 구동한다. 첫 화면을 열어 두면 이런 회로가 두 개 만들어졌고 둘 다 알리바바의 보안 스크립트가 실행한 것이었다. 측정값은 그래픽과 하드웨어와 동작 정보까지 묶여 암호화된 뒤 서버로 전송됐다.

물론 이런 측정에 이유가 없지는 않다. 계정 탈취와 자동 구매와 쿠폰 남용을 차단하려면 쿠키만으로는 부족한데 쿠키는 지우거나 복사하면 그만이기 때문이다. 다만 이 장치는 상품을 둘러보기만 하는 첫 화면에서 이미 작동한다. 로그인도 결제도 하기 전이다. 게다가 화면 안에서만 이뤄지던 측정이 이어폰이라는 외부 하드웨어의 동작까지 바꿔 놓았다. 사용자가 쥔 버튼이 어디까지 미치는지 브라우저가 다시 선을 그어야 할 때다.