앱·광고 위치자료로 기기를 추적하는 Webloc, 미국·영국 등 기관에 제공
블룸버그는 Penlink의 Webloc이 ICE·미군 부대·미국 경찰과 런던경찰청 등 해외 기관에 제공됐다고 보도했습니다. Webloc은 앱·디지털 광고에서 구매한 위치자료로 특정 시간과 장소에 있던 기기를 찾으며, 공개 웹 자료를 다루는 Tangles의 추가 제품이지만 별도 라이선스가 필요합니다. GPS 위치를 얻지 못하면 IP 주소로 도시 수준의 대략적인 위치를 추정하는 등 결과의 정밀도는 자료 수집 경로에 따라 달라집니다.
블룸버그는 2026년 11월 5일 Penlink의 위치정보 감시 도구 Webloc이 미국 이민세관단속국(ICE)과 미군 부대, 미국 내 여러 경찰기관에 제공됐으며 런던경찰청과 다른 해외 기관도 사용한다고 보도했습니다. 블룸버그의 Ryan Gallagher 기자는 Penlink과 Cobwebs Technologies의 전·현직 직원 7명 인터뷰, 회사 교육자료와 판매기록 등을 바탕으로 고객과 도구의 작동 방식을 조사했습니다. 토론토대 연구기관 Citizen Lab은 11월 12일 블룸버그가 추가 고객을 확인했다고 소개하며, 보도 내용이 4월 보고서에서 파악한 잠재 고객과 맞닿아 있다고 설명했습니다. 또 그 뒤 오스트리아 내무부도 고객으로 확인됐다고 밝혔습니다.
Webloc은 원래 Cobwebs Technologies가 개발했고 현재 Penlink이 판매합니다. Citizen Lab에 따르면 Webloc은 공개 웹과 소셜미디어 자료를 분석하는 Tangles의 추가 제품이지만 별도 라이선스가 필요합니다. Tangles가 공개된 온라인 자료를 다루는 동안 Webloc은 모바일 앱과 디지털 광고 목적으로 수집된 위치자료를 구매해 검색에 씁니다. 두 제품은 한 제품군에 속하지만 데이터 출처와 역할이 다릅니다.
블룸버그가 확인한 Webloc 회사 자료에는 지난 12개월의 휴대전화 위치 이력을 시간 단위로 갱신하고, 지도에서 장소와 시각을 지정해 해당 위치에 있던 기기를 찾는다고 적혀 있습니다. Citizen Lab이 인용한 ICE 구매 관련 문서에는 하루 수십억 건의 위치 신호와 수억 대의 모바일 기기가 언급됩니다. 신호 수와 기기 수는 서로 다른 집계 단위이며, 신호 수가 추적된 사람 수를 뜻하지는 않습니다.
위치 기록은 앱과 광고에서 수집된 자료를 바탕으로 만들어집니다. Citizen Lab은 광고가 표시되는 앱이나 웹사이트를 이용할 때 광고를 고르는 실시간 입찰이 이뤄지고, 그 과정에서 이용자 정보가 여러 광고업체로 전달된다고 설명합니다. 또 앱에 삽입된 제3자 추적 소프트웨어(SDK)가 자료를 모을 수 있습니다. 데이터 중개업체가 이런 자료를 사거나 수집해 감시업체에 전달하기도 합니다. Webloc은 기기 식별자와 시각, 위치를 연결해 특정 장소와 시간에 관측된 기기를 검색합니다.
광고 식별자는 기기를 구별하는 값입니다. Citizen Lab은 기업들이 이 식별자를 이름, 주소, 전화번호 같은 다른 정보와 연결하는 사례가 있다고 설명합니다. 위치 기록이 다른 정보와 결합되면 기기별 움직임을 개인과 연결해 분석할 여지가 생깁니다.
위치자료의 정밀도는 수집 경로에 따라 달라집니다. Citizen Lab에 따르면 어떤 정보를 얻는지는 설치된 앱과 앱의 접근 권한에 달려 있습니다. GPS 위치를 얻지 못하면 IP 주소로 도시 수준의 대략적인 위치를 추정할 수 있고, SDK 자료에는 주변 Wi-Fi 정보를 바탕으로 추정한 위치가 담길 수도 있습니다. 광고 목적으로 수집·거래되는 위치정보는 부정확한 경우가 많다고 Citizen Lab은 지적합니다. 보고서는 표적의 기기 식별자가 자료에 포함되면 전체 자료에 오류가 많더라도 표적 검색에 쓸모가 남을 수 있다고 설명합니다.
고객 범위는 확인 근거에 따라 다릅니다. Citizen Lab은 4월 보고서에서 공개 조달 기록 등 자료를 분석해 미국 기관과 엘살바도르 경찰이 고객이라고 확인하고, 헝가리 국내 정보기관의 사용은 헝가리 기자와 협력해 확인했다고 밝혔습니다. 유럽 14개국과 6개 EU 기관에 정보공개 요청 96건을 보냈지만 상당수는 거부되거나 답변을 받지 못했다고 보고했습니다. 블룸버그는 판매기록과 회사 운영에 정통한 인물들의 설명을 토대로 런던경찰청, 독일·네덜란드·멕시코·싱가포르·사우디아라비아·아랍에미리트·이스라엘 기관들을 추가로 보도했습니다. 고객 확인에 쓰인 자료는 기관별로 공개 조달 기록, 판매기록 등 서로 다릅니다.
블룸버그는 AccuWeather, 기도 앱 Muslim Pro, 게임 Multi Maze 3D의 위치정보가 과거 Webloc에 수집됐다는 회사 자료도 확인했습니다. AccuWeather는 Penlink과 어떤 관계도 없다고 했습니다. Muslim Pro 운영사 Bitsmedia는 Penlink과 상업적 관계가 없고 이용자 위치정보도 제공하지 않았다고 밝혔으며, Multi Maze 3D 제작사 CrazyLabs는 자사 SDK 제공업체가 Penlink과 거래했거나 게임 자료를 제공했는지 알지 못한다고 했습니다. 앱에 추적 소프트웨어가 있다는 사실과 앱 운영자가 감시업체에 직접 정보를 제공했다는 주장은 별개입니다. Penlink은 데이터 파트너가 자체 SDK 관계를 통해 자료를 얻고 앱 파트너로부터 동의를 받는다고 설명했지만, 파트너들이 전체 앱 목록을 제공하지는 않는다고 했습니다.
Citizen Lab은 미국과 유럽에서 광고 데이터를 이용한 정부 감시의 적법성과 앱·광고업체에서 데이터 중개업체, 감시업체로 이어지는 공급망의 정보 공유가 논란이 되고 있다고 설명합니다.