- EU 프로경쟁 규제안은 구글 검색 및 안드로이드 생태계의 외부 개방을 요구하며, 이는 DMA(Digital Markets Act, 디지털 시장법) 이행의 후속 조치로 분석된다.
- 구글 보안팀 수장은 제3자 검색 제공업체가 사용자 검색 데이터를 안전하게 처리하기 어려우며, 엔드투엔드 암호화 경로가 약화될 수 있다고 주장한다.
- 안드로이드 운영체제 레벨에서 검색 모듈이 분리될 경우 권한 상승 취약점 및 SQL 인젝션 등 공격 표면이 확대되어 검색 질의 데이터 유출 위험이 높아질 수 있다고 우려된다.
규제의 당위성과 보안 리스크 사이에서 플랫폼 아키텍처의 재설계가 요구되는 시점이다.
2026년 6월 29일자 Wired 보도에 따르면, 구글 보안팀 수장급 인사들이 유럽연합(EU)이 추진 중인 프로경쟁 규제안에 대해 강한 우려를 표명했다. 이 논쟁은 단순한 기업 반발이 아니라, 플랫폼 개방이 디지털 보안 구조 자체를 어떻게 변형하는지를 보여주는 사례로 부상하고 있다.
글로벌 빅테크 규제의 새로운 격전지, EU와 구글
DMA 이후 강화되는 유럽의 프로경쟁 정책 방향
EU 집행위는 2022년 도입한 DMA(Digital Markets Act, 디지털 시장법, 게이트키퍼 규제)를 통해 특정 대형 플랫폼을 게이트키퍼로 지정하고 상호운용성 및 데이터 접근 의무를 부과해 왔다. 최근 논의 중인 프로경쟁 입법 제안은 이러한 의무를 한 단계 더 강화해, 검색 엔진과 모바일 운영체제 영역에서 외부 사업자가 핵심 모듈에 접근할 수 있도록 강제하는 내용을 포함하는 것으로 분석된다.
구글 검색과 안드로이드를 둘러싼 핵심 쟁점
분쟁의 초점은 두 가지다. 첫째, 구글 검색의 랭킹 알고리즘과 질의 처리 파이프라인을 제3자 검색 제공업체가 호출할 수 있도록 허용해야 하는지 여부다. 둘째, 안드로이드 운영체제 수준에서 기본 검색 모듈이 분리되어 OEM(Original Equipment Manufacturer, 단말 제조사)이나 대체 앱 스토어에 노출될 수 있도록 해야 하는지 여부다. 이 두 요구는 사용자가 검색을 수행하는 경로 자체를 다층화시키기 때문에 보안 경계선의 재정의가 요구되는 것으로 평가된다.
구글 보안팀의 경고, 기술적 리스크 분석
검색 데이터 해킹 가능성 시나리오
구글 측의 핵심 주장은 검색 데이터의 신뢰 경계가 외부 사업자 영역으로 확장됨에 따라 엔드투엔드 암호화(End-to-End Encryption) 경로가 약화될 수 있다는 것이다. 현재 구글은 자사 인프라 내에서 사용자 질의, 클릭 로그, 세션 토큰을 통합적으로 보호하고 있다. 그러나 제3자 모듈이 중간에 개입하는 순간, 인증 토큰의 재사용, 세션 하이재킹, 로그 무결성 훼손 등 신규 공격 벡터가 등장할 가능성에 무게를 두고 있다.
안드로이드 운영체제 개방에 따른 공격 표면 확대
보안 엔지니어링 조직의 분석에 따르면, 운영체제 레벨에서 검색 모듈이 분리될 때 다음과 같은 공격 표면이 확대될 수 있다. 아래 표는 주요 위협 유형을 요약한 것이다.
| 위협 유형 | 발생 지점 | 잠재적 영향 |
|---|---|---|
| 권한 상승 취약점 (Privilege Escalation) | 모듈 간 IPC(프로세스 간 통신) 인터페이스 | 권한 없는 앱이 검색 데이터에 접근 |
| SQL 인젝션 (SQL Injection) | 제3자 쿼리 처리 경로 | 검색 로그 데이터베이스의 비인가 조회 및 변조 |
| 중간자 공격 (Man-in-the-Middle) | 외부 검색 제공자 연결 구간 | 사용자 질의의 평문 노출 |
| 악성 OEM 모듈 삽입 | 운영체제 빌드 파이프라인 | 백도어 형태의 데이터 유출 지속 |
이러한 시나리오들은 모두 이론적 가능성이 아니라, 운영체제 모듈 경계가 느슨해지는 환경에서 과거 실제 발생한 사례들을 근거로 제시된 것으로 평가된다.
규제 당국과 빅테크, 신뢰와 보안의 딜레마
EU 집행위의 경쟁 촉진 입장
EU 집행위는 현재의 자가선호(self-preferencing) 구조가 시장 진입을 저해하고 최종적으로 소비자 이익을 침해한다고 본다. EU 집행위 공식 자료에 따르면, 디지털 시장은 네트워크 효과가 강해 단일 사업자가 생태계 전체를 장악하는 경향이 있으며, 이를 교정하기 위한 구조적 개방이 필요하다고 강조한다. 즉, 보안 리스크는 기술적 안전장치의 강화를 통해 해결해야 할 문제라는 입장이다.
산업계와 보안 전문가들의 시각 차이
반면 업계 보안 전문가 일부는 개방 요구가 기술적 복잡성을 가중시킨다고 주장한다. 특히 검색 데이터는 사용자의 의도와 맥락이 집약된 민감 정보로, 데이터 처리 주체가 다수일수록 책임 소재가 모호해지고 감사 추적성이 약화된다는 지적이다. 한편, 시민사회 단체들은 구글이 보안 논리를 전략적으로 활용하여 규제를 회피하려는 것이 아니냐는 견해도 제시하고 있어, 논쟁은 다층적으로 전개되는 양상이다.
글로벌 시장으로 확산되는 규제 파급 효과
한국 및 아시아 시장 규제 환경에의 시사점
EU의 규제 모델은 종종 다른 지역의 표준 형성에 영향을 미친다. 한국 역시 공정거래위원회를 중심으로 모바일 플랫폼의 상호운용성 의무를 점검해 왔으며, 일본과 인도의 규제당국도 유사한 방향의 법안을 검토 중인 것으로 알려진다. 따라서 EU의 최종 결정은 글로벌 플랫폼 거버넌스의 기준선(baseline)을 사실상 설정하는 효과를 가질 가능성이 높다.
향후 플랫폼 거버넌스 재편 전망
단기적으로는 양측 간 합의를 통한 기술적 안전장치 표준화, 즉 보안 인증 요건과 감사 체계의 병행 도입이 현실적 타결점이 될 것으로 보인다. 중장기적으로는 검색 모듈의 보안 등급을 공개적으로 표시하는 라벨링 제도나, 제3자 모듈에 대한 정기 취약점 진단 의무화가 논의될 수 있다. 궁극적으로 이 사례는 규제와 보안이 대립 구도에만 머물지 않고, 새로운 신뢰 프레임워크를 공동 설계하는 계기가 될지가 핵심 변수가 될 것이다.
핵심 정리
- EU의 프로경쟁 규제안은 DMA의 후속 조치로 구글 검색과 안드로이드의 외부 개방을 요구하고 있다.
- 구글 보안팀은 개방 시 엔드투엔드 암호화 약화와 권한 상승, SQL 인젝션 등 공격 표면 확대 가능성을 경고했다.
- EU 집행위는 경쟁 촉진을 우선시하며 보안은 기술적 보완으로 해결해야 한다는 입장이다.
- 결정 결과는 한국을 포함한 글로벌 플랫폼 규제 환경의 기준선 형성에 직접적인 영향을 줄 것으로 전망된다.