[DT] 026호 : UID2로 엿보는 쿠키 이후의 시대

Digital Media Trend #026호 (2022. 7. 14)

UID2로 엿보는 쿠키 이후의 시대

안녕하세요,

CJ ENM 미디어솔루션)디지털상품팀 입니다.

그동안 우리가 인터넷을 사용하면서 남기는 여러 흔적들은,

디지털광고에서 맞춤형 타겟팅을 가능케하는 재료가 되어 왔습니다.

그러나 개인정보 강화 흐름에 따라 쿠키 사용이 점차 어려워질 걸로 예상되어,

애드테크(Ad-tech) 업체들은 새로운 표준을 만들고자 노력하는 모습입니다.

지난 뉴스레터에서 예고한 바 있는 Unified ID 2.0 (UID2)에 대해 알아보면서,

쿠키 이후의 시대는 어떠한 모습인지 살짝 엿보는 시간을 가지려 합니다.

기술적인 개념이라서 당연히 어렵고 와닿지 않는 내용일 수 있으나,

언젠가 실무에서 마주칠 수 있으므로 일독을 권합니다.

감사합니다.

🔔 정기구독 신청은 여기를, 💬 지난 호를 다시 보려면 여기를 클릭해주세요.

# 쿠키의 종말이 가져올 애드테크(Ad-Tech) 시장의 패러다임 전환

광고주들은 전통적으로 '쿠키(cookie)'라고 불리는 3rd-Party** 데이터와,
디바이스마다 존재하는 비식별화 데이터인 'ADID(Advertising ID)'를 활용하여,
특정한 잠재구매고객을 대상으로 맞춤형 타겟팅 광고를 해왔다.

광고주 데이터와 제휴 데이터만으로는 한계가 있던 잠재고객의 범위를 넓히고,
맞춤 타겟팅에 활용할 수 있는 다양한 관심사별 분류(Target Segment)까지 제공하여,
쉽고 효과적으로 타겟팅을 하는데 쿠키와 ADID가 큰 역할을 했다는 뜻이다.

**1st, 2nd, 3rd Party 데이터 개념을 더 알고 싶다면, 기존 뉴스레터를 참고해보자.

<020호 : 디지털 광고에서의 써드파티(3rd-Party)란? (2022. 4. 15.)>

그러나, 구글이 크롬 브라우저에서 쿠키를 퇴출시키기로 결정하면서,
이러한 사용자 데이터를 기반으로 성장한 비즈니스들은 큰 위기를 맞았다.
구글이 그나마 2023년 말까지로 유예기간을 두기는 했지만,
기간 연장이 근본적인 위기의 해결책이 될 수는 없다.

<출처 : Illustration by Tam Nguyen / Ad Age>

# 타겟팅의 지속가능성을 확보하기 위한 움직임

광고에 노출되는 사용자마다 제각각일 관심사에 따라 다른 광고를 보여준다는 것,
즉 '타겟팅된 광고(Targeting)'는 그간 디지털광고만의 가장 큰 장점이자 차별점이었다.

그렇다면 쿠키가 없어지더라도 기존처럼 타겟팅을 지속할 수 있을까?

개인정보 보호의 흐름에 동참하면서도 쿠키와 비식별키에 대한 의존도를 줄이기 위해,
높은 투명성과 신뢰도를 가진 잠재구매고객 분류와 맞춤형 타겟팅을 모색중이다.

글로벌 최대 DSP 중 하나인 TTD (The Trade Desk)에서 2021년 출시한,
Unified ID Solution 2.0 (이하 'UID2'로 통칭)도 그 중 하나이다.
UID2는 오픈소스 재단을 통해 운영되어 누구나 접근할 수 있는 에코시스템을 지향한다.
각 플레이어(광고주/대행사/플랫폼/퍼블리셔)는 쿠키와 ADID 없이도,
개인 맞춤형 광고나 리타겟팅 광고를 지속할 수 있도록 지원한다.

<그림 출처 : The Trade Desk>

# UID2 작동 원리와 안전 장치

UID2는 기본적으로 이메일 주소 제공을 '동의'한 사용자를 전제로 한다.
이 때 '사용자가 동의'했다는 사실이 중요한데,

그동안 쿠키와 ADID 수집은 사용자의 사전 동의 기반이 아니었기 때문이다.

UID2에서 각 플레이어(광고주/대행사/플랫폼/퍼블리셔)가 보유한 회원들의 이메일 주소는,
32, 40 또는 60자의 문자로 된 코드로 변환(암호화)하게 된다.
이 때, 암호화는 UID2가 제공한 SDK를 이용하게 되는데,
동일한 이메일 주소라면 양사간 매핑이 가능한 형태다.

<설명> 사이트 방문이력과 같이 동의를 받지 않은 3rd-party 데이터는 더이상 사용할 수 없으므로,

앞으로는 사용자의 동의를 받은 '이메일주소'나 '전화번호'를 활용해야 한다.

(그림 출처 : adtechexplained.com)

= = = = = = = = = = = = = = = = = = = = = = = = = = = = = =

쿠키 종말이 개인정보 보호와 연계되어 있기도 하지만,
UID2 자체가 개인정보를 다루는 솔루션이므로 '안전성'은 매우 중요한 기준이다.
따라서, 암호화 각 단계마다 개인정보가 유출(해석)되지 않도록 안전장치를 두고 있다.

[1] 1차 정보(이메일 주소)는 어떻게 암호화되는가?

1-1. 단방향 암호화기술인 해시(HASH) 사용
UID2가 사용하는 해시는 복호화(암호화해제)를 불가능하게 만드는 방식이다.
암호화된 코드값이 외부에 유출되어도 이를 다시 이메일 주소로 변환할 방법이 없어,
개인정보가 유출될 염려가 없다는 것이 해쉬 기술의 핵심이다.
때문에 페이스북에서도 ADID와 같은 외부데이터로 오디언스 타겟팅을 하고자 할 때,
광고시스템에서 사용할 정도로 널리 알려진 기술이기도 하다.

<그림> 일반적인 해시(Hash) 프로세스 개요

(출처 : medium.com/@songjaeyoung92)

1-2. 솔트(Salt)를 이용한 이중장치
다만, 해시처리방식이 100% 안전한 방식은 아니다.
만약 원본 이메일주소를 추론할 수 있다면 추론한 이메일을 같은 방법으로 암호화한 후,
두 값을 비교하여 일치하는 경우 원본 이메일 주소를 알아낼 수 있다는 취약점이 있다.
확률적으로 수십억~수조개의 이메일 주소를 임의로 생성할 수 있는 경우이긴 하나,
항상 초대형 보안사고는 사소한 취약점을 간과해서 발생했다는 것을 잊지 말자.

그래서 UID2는 해시처리 전 원본 이메일 주소에 랜덤 데이터를 추가로 입력하여,
변형된 원본 이메일 주소를 해시처리하게 된다. (아래 그림 참고)

<그림> 해시처리 전에 Salt를 가미하여 추적을 어렵게 만드는 과정.

암호화 과정에서 살짝 소금을 친다고 생각하면 이해가 쉽다.

= = = = = = = = = = = = = = = = = = = = = = = = = = = = = =

[2] 네트워크 상에서 오가는 암호화된 데이터의 안정성은?

2-1. 일회용 토큰 발행
솔트처리한 데이터를 해시해도 이 값이 네트워크 상에서 그대로 돌아다닐 때,
패킷을 훔치거나 디바이스가 해킹되는 경우 취약점은 여전히 존재한다.
이를 위해 UID2는 별도의 운영서버를 통해 일회용 토큰을 발행/관리하고,
실제 광고거래시에는 이 토큰을 이용하도록 한다.

2-2. 옵트아웃(Opt-out) 권한
자신의 이메일 정보(또는 전화번호)를 광고목적으로 활용할 수 있도록,
사전에 동의(Opt-in)한 사용자여도 제거/철회(Opt-out)을 원할 경우가 있다.
이 때는 UID2 서버에 토큰을 초기화 혹은 삭제를 요청하여,
간편하게 Opt-out을 할 수 있도록 지원하고 있다.