서드파티 쿠키란 무엇인가요? 추적이 작동하는 방식 (그리고 자신을 보호하는 방법)

쿠키는 웹사이트가 브라우저를 통해 컴퓨터에 저장하는 작은 텍스트 파일입니다. 그게 전부입니다. 쿠키에는 신비롭거나 본질적으로 위험한 점이 없습니다. 웹에서 가장 오래된 기술 중 하나로, 1994년까지 거슬러 올라갑니다.

웹사이트를 방문하면 서버는 쿠키라는 작은 데이터 조각을 보내고, 브라우저는 이를 저장합니다. 같은 사이트를 다시 방문하면 브라우저가 그 쿠키를 다시 보냅니다. 덕분에 웹사이트는 방문 사이사이에 당신에 관한 정보를 기억할 수 있습니다.

쿠키는 합법적이고 필수적인 여러 용도로 쓰입니다. 웹사이트에 로그인하면 쿠키가 로그인 상태를 기억해 매 페이지마다 비밀번호를 다시 입력하지 않아도 됩니다. 온라인 장바구니에 상품을 담으면 쿠키가 그 내용을 추적합니다. 웹사이트를 다크 모드로 설정하거나 언어를 선택하면 쿠키가 그 선택을 기억합니다. 쿠키가 없다면 모든 페이지 로드는 늘 처음부터 시작하는 셈입니다. 로그인 세션도, 환경 설정도, 장바구니도 없습니다.

쿠키는 이름과 값으로 이루어진 단순한 키-값 쌍입니다. 예를 들면 "session_id=abc123" 또는 "language=en" 같은 형태입니다. 여기에 메타데이터도 포함됩니다. 어떤 도메인이 설정했는지, 언제 만료되는지, 암호화된 연결에서만 전송해야 하는지도 들어갑니다. 쿠키는 코드를 실행하거나, 파일에 접근하거나, 소프트웨어를 설치할 수 없습니다. 프로그램이 아니라 수동적인 데이터입니다.

개인정보 문제는 기술 자체가 아니라 그것이 어떻게 쓰이느냐에서 생깁니다. 특히, 실제로 방문한 사이트가 아닌 다른 도메인이 쿠키를 설정할 때 문제가 됩니다. 이렇게 퍼스트파티 쿠키와 서드파티 쿠키를 구분하는 것이 현대 웹 추적의 기반입니다. 이를 이해하는 것은 광고 업계가 인터넷 전반에서 당신을 어떻게 따라다니는지, 그리고 브라우저 제작자들이 왜 이를 막으려 오랫동안 애써 왔는지 이해하는 데 꼭 필요합니다.

퍼스트파티 쿠키와 서드파티 쿠키의 구분은 단순하지만, 개인정보 측면에서는 매우 큰 의미를 가집니다.

퍼스트파티 쿠키는 방문 중인 웹사이트가 설정합니다. example.com에 들어갔을 때 example.com이 쿠키를 저장하면 그것이 퍼스트파티 쿠키입니다. 이 쿠키는 example.com만 읽을 수 있습니다. 보통 로그인 상태 유지, 환경 설정 기억, 장바구니 유지 같은 필수 기능을 담당합니다. 퍼스트파티 쿠키는 대체로 해롭지 않으며 웹사이트가 제대로 작동하는 데 필요합니다.

서드파티 쿠키는 방문 중인 사이트가 아닌 다른 도메인이 설정합니다. example.com을 방문했는데, example.com이 그 도메인의 광고나 추적 스크립트를 삽입해 두었고 그 때문에 ads.tracker.com이 쿠키를 설정했다면, 그것이 서드파티 쿠키입니다. 핵심 차이는 ads.tracker.com이 그 추적 스크립트를 포함한 모든 웹사이트에서 이 같은 쿠키를 설정하고 읽을 수 있다는 점입니다.

이것이 사이트를 넘나드는 추적을 가능하게 하는 방식입니다. tracker.com의 스크립트가 수천 개의 웹사이트에 삽입되어 있다면, 뉴스 사이트, 쇼핑 사이트, 소셜 미디어 플랫폼, 블로그 전반에서 tracker.com은 자신의 쿠키를 통해 당신의 활동을 볼 수 있습니다. 뉴스 사이트에서 러닝화를 다룬 글을 읽고, 이어서 신발 가게 웹사이트를 방문하고, 그다음 리뷰 사이트를 확인했다는 사실을 같은 쿠키로 알 수 있습니다.

퍼스트파티 쿠키는 한 웹사이트 안에 머뭅니다. 서드파티 쿠키는 웹 전반을 따라다닙니다. 이것이 근본적인 차이이며, 서드파티 쿠키가 브라우저 개인정보 보호 조치의 주요 표적이 되어 온 이유입니다.

다만 퍼스트파티와 서드파티의 경계가 항상 분명한 것은 아닙니다. CNAME cloaking 같은 기법은 추적 회사가 방문 중인 사이트의 서브도메인을 이용해 쿠키를 퍼스트파티처럼 위장하게 합니다. 추적 도메인이 tracker.com 대신 analytics.example.com처럼 보일 수 있어 기술적으로는 퍼스트파티 쿠키가 됩니다. Safari는 이 기법에 대한 대응책을 도입했지만, 추적 업계가 개인정보 보호를 우회하려고 끊임없이 적응한다는 점을 보여줍니다.

사이트 간 추적의 작동 원리를 이해하면, 왜 서드파티 쿠키가 광고 업계에는 그토록 가치 있었고, 개인정보에는 그토록 해로웠는지 알 수 있습니다.

실제 작동 방식은 이렇습니다. AdTrack이라고 부르자면, 한 광고 네트워크가 수천 개 웹사이트에 광고 스크립트를 제공합니다. 뉴스 웹사이트인 Site A를 방문하면 브라우저가 페이지 콘텐츠와 함께 AdTrack의 스크립트를 불러옵니다. AdTrack는 "user_id=x7f9k2" 같은 고유 식별자가 담긴 쿠키를 설정합니다. 이 쿠키는 컴퓨터에 저장되고 AdTrack의 도메인과 연결됩니다.

이제 같은 AdTrack를 사용하는 온라인 의류 쇼핑몰 Site B를 방문합니다. 브라우저는 AdTrack의 스크립트를 다시 불러오고, 이전에 설정된 쿠키도 함께 보냅니다. 그러면 AdTrack는 Site A를 방문한 사람이 Site B도 방문했다는 사실을 알게 됩니다. 이 내용을 기록합니다. 며칠, 몇 주가 지나면서 AdTrack는 프로필을 쌓아갑니다. 기술과 요리 관련 글을 읽고, 러닝화를 사고 책을 고르며, 금요일 저녁에는 여행 사이트를 방문한다는 식입니다. AdTrack가 반드시 이름까지 아는 것은 아니지만, 브라우징 패턴은 놀라울 만큼 자세히 알고 있습니다.

이 프로필은 이후 타기팅 광고에 사용됩니다. Site C를 방문하면 AdTrack는 쿠키를 알아보고, Site B에서 봤던 러닝화 광고를 보여줍니다. 그래서 광고가 인터넷을 따라다니는 것처럼 느껴지는 것입니다. 실제로 그렇습니다.

규모는 압도적입니다. Google과 Meta가 운영하는 것과 같은 주요 광고 네트워크는 추적 스크립트를 수백만 개 웹사이트에 심어두고 있습니다. Google의 각종 추적 서비스, Google Analytics, Google Ads, Google Tag Manager, DoubleClick은 상위 백만 개 웹사이트의 약 85퍼센트에서 발견됩니다. 즉, Google은 웹 대부분에서 사용자의 활동을 관찰할 수 있다는 뜻입니다.

수집되는 데이터는 방문한 사이트를 훨씬 넘어섭니다. 추적 스크립트는 페이지에 머문 시간, 클릭한 항목, 스크롤한 거리, 검색한 내용, 장바구니에 담은 것, 최종 구매한 항목까지 기록할 수 있습니다. 이 데이터는 집계되고 분석되어 광고주에게 판매되며, 상세한 행동 프로필을 만드는 데 쓰입니다. 이런 광고 네트워크의 고객은 당신이 아닙니다. 당신은 상품입니다. 고객은 웹사이트이며, 판매되는 것은 당신의 주의와 데이터입니다.

서드파티 쿠키의 시대는 끝나가고 있습니다. Safari와 Firefox는 몇 년째 기본적으로 이를 차단해 왔습니다. 마지막까지 버티던 Google Chrome도 제한을 향해 움직여 왔지만, Google은 쿠키가 가능하게 하는 추적 인프라에 광고 사업이 의존하고 있기 때문에 완전한 폐기를 여러 차례 미뤄 왔습니다.

하지만 서드파티 쿠키의 종말이 추적의 종말을 뜻하는 것은 아닙니다. 광고 업계는 쿠키에 전혀 의존하지 않는 대체 추적 방법을 수년간 개발해 왔습니다. 이 방법들은 이미 널리 쓰이고 있으므로, 이해해 둘 필요가 있습니다.

가장 우려되는 대체 수단은 브라우저 핑거프린팅입니다. 컴퓨터에 식별자를 저장하는 대신, 핑거프린팅은 브라우저와 기기에 대한 수십 가지 기술 정보를 모아 사용자를 식별합니다. 화면 해상도, 설치된 글꼴, 그래픽 카드 성능, 시간대, 언어 설정, 운영체제 버전, 브라우저 플러그인 등이 여기에 포함됩니다. 각각은 그 자체로는 고유하지 않습니다. 하지만 결합하면 매우 뚜렷한 지문이 됩니다. 연구에 따르면 브라우저 속성의 조합은 90퍼센트가 넘는 사용자에게서 고유한 것으로 나타났습니다. 쿠키는 필요 없습니다.

핑거프린팅은 컴퓨터에 아무것도 저장하지 않기 때문에 쿠키보다 차단하기 어렵습니다. 지울 것도 없고, 표시할 배너도 없고, 끌 설정도 없습니다. 브라우저가 표준화되거나 무작위화된 정보를 웹사이트에 제공하도록 적극적으로 대응해야만 이를 막을 수 있습니다.

서버 사이드 추적도 빠르게 늘고 있는 방식입니다. 자바스크립트를 통해 브라우저에서 추적이 일어나는 대신, 웹사이트 서버에서 일어납니다. 페이지를 방문하면 서버가 사용자의 활동을 기록하고, 서버에서 서버로 추적 서비스에 직접 보냅니다. 브라우저는 추적 요청 자체를 보지 못하므로, 브라우저 기반 차단 도구로는 막을 수 없습니다.

Google의 Topics API는 Privacy Sandbox 이니셔티브의 일부로, 개인별 추적을 관심사 기반 카테고리로 대체하자는 제안입니다. 사용자의 정확한 브라우징 기록을 추적하는 대신, Chrome이 관심사를 큰 범주로 분류해 광고주와 공유하는 방식입니다. 비판론자들은 이것 역시 프로파일링을 가능하게 하며, 브라우저와 광고 플랫폼을 모두 Google이 통제하는 구조는 반경쟁적 상황을 만든다고 지적합니다.

쿠키 이후의 시대가 기본적으로 더 프라이버시 친화적인 것은 아닙니다. 쿠키를 대체하는 추적 방식은 대개 더 탐지하기 어렵고, 차단하기 어렵고, 투명성도 떨어집니다. 쿠키 배너는 추적이 일어나고 있다는 점을 눈에 보이게, 비록 거슬리긴 해도, 알려주었습니다. 하지만 핑거프린팅과 서버 사이드 추적은 보이지 않게 일어납니다.

추적은 쿠키를 훨씬 넘어서는 문제이므로, 효과적인 보호를 위해서는 여러 겹의 접근이 필요합니다. 단 하나의 도구로는 전체 문제를 해결할 수 없지만, 올바른 조합은 노출을 크게 줄여 줍니다.

먼저 브라우저부터 시작하세요. 기본적으로 서드파티 쿠키를 차단하고 핑거프린팅 보호를 포함한 브라우저를 고르세요. Safari와 Firefox는 둘 다 이 부분을 잘합니다. Brave는 더 강한 기본 차단으로 한 걸음 더 나아갑니다. 무엇을 선택하든 개인정보 설정을 확인하세요. 엄격한 추적 보호를 켜고, 브라우저 제작사로의 텔레메트리와 데이터 공유를 끄고, Google 대신 DuckDuckGo 같은 개인정보 중심 검색 엔진을 사용하는 것도 고려해 보세요.

콘텐츠 차단 도구를 설치하세요. uBlock Origin은 브라우저에서 추적 스크립트, 광고, 핑거프린팅 시도를 차단하는 표준입니다. 로딩된 뒤에 무엇을 할 수 있는지 제한하는 것보다, 애초에 추적 스크립트가 로드되지 못하게 막는 방식이라 더 효과적입니다. Safari에서는 uBlock Origin을 사용할 수 없지만, 내장 콘텐츠 차단 기능과 AdGuard 같은 확장 프로그램이 비슷한 보호를 제공합니다.

쿠키를 정기적으로 삭제하세요. 서드파티 쿠키를 차단해도, 퍼스트파티 쿠키는 링크 장식이나 바운스 추적 같은 기법으로 여전히 추적에 쓰일 수 있습니다. 쿠키를 주기적으로 지우거나, 사이트별로 쿠키를 분리하는 Firefox의 Total Cookie Protection 같은 브라우저 기능을 사용하면 이를 줄일 수 있습니다.

신뢰할 수 없는 네트워크에서는 VPN을 사용해 IP 주소가 추적 식별자로 쓰이지 않도록 하세요. IP 주소는 대략적인 위치를 드러낼 수 있으며, 일부 추적 시스템은 이를 이용해 사이트 간 활동을 연결합니다.

하지만 대부분의 가이드가 놓치는 핵심이 있습니다. 쿠키와 브라우저 추적은 전체 수단 중 하나일 뿐입니다. Mac의 앱들은 브라우저 밖에서, 자체 연결을 통해 당신을 추적합니다. Spotify, Zoom, Slack, Adobe, 그리고 그 밖의 수많은 앱이 텔레메트리와 분석 데이터를 추적 서버로 직접 보냅니다. 브라우저의 개인정보 설정으로는 이 문제를 해결할 수 없습니다.

이 간극을 메우는 것이 NetMute 같은 시스템 수준 도구입니다. NetMute는 브라우저뿐 아니라 Mac의 모든 앱에서 나가는 모든 연결을 감시합니다. Tracker Shield는 모든 앱에서 알려진 300개 이상의 추적 도메인으로 향하는 연결을 자동으로 차단합니다. 브라우저가 막아낸 추적기라도, 앱 수준 보호가 없다면 데스크톱 앱을 통해서는 여전히 데이터를 수집할 수 있습니다.

2026년에 추적을 막는 완전한 방법은 웹 추적용 프라이빗 브라우저, 스크립트와 광고용 콘텐츠 차단기, 그리고 나머지 전부를 위한 앱 수준 방화벽을 함께 쓰는 것입니다. 쿠키는 추적 이야기의 시작이었을 뿐입니다. 이제는 그게 전부가 아닙니다. 자신을 보호하려면 브라우저 창 안에서만이 아니라, 컴퓨터 밖으로 데이터가 나가는 모든 경로를 막아야 합니다.