알리익스프레스 음량 0인데 오디오 작동? ‘몰래 녹음’ 아닌 WebAudio 핑거프린팅

지금 확인할 핵심

소리는 안 들렸지만 오디오 처리는 실제로 작동했습니다

알리익스프레스 페이지에서 출력 음량을 0으로 설정한 Web Audio 처리가 실행된 사실은 기술 분석과 Mozilla 기록에서 확인됐습니다.

하지만 마이크로 대화를 몰래 녹음했다는 뜻은 아닙니다

현재까지 공개된 조사에서는 이용자의 마이크를 켜거나 주변 음성을 녹음한 증거가 확인되지 않았습니다. 사이트가 직접 만든 신호를 브라우저에서 처리한 방식입니다.

핵심은 ‘브라우저 핑거프린팅’입니다

오디오뿐 아니라 화면·WebGL·기기 메모리 등 여러 특성을 조합해 브라우저와 기기를 구분하는 방식이 확인됐습니다. 다만 이 정보가 실제로 어떻게 저장·연결됐는지까지는 공개된 브라우저 분석만으로 확정할 수 없습니다.

알리익스프레스 한국 개인정보처리방침 확인하기 →

01 무엇이 실제로 확인됐나

2026년 8월 개발자 Matthew Callaghan은 멀티포인트 블루투스 헤드폰을 PC와 스마트폰에 동시에 연결해 사용하다 이상한 현상을 발견했습니다.

평소 스마트폰에서 음악을 듣다가 PC에서 소리가 발생하면 헤드폰이 PC로 전환됐는데, 알리익스프레스 홈페이지를 열기만 해도 스마트폰 음악이 멈췄습니다.

알리익스프레스 탭에서는 영상이나 음악이 재생되고 있지 않았습니다. 탭이나 Firefox, Windows의 음량을 꺼도 현상이 계속됐고, 알리익스프레스 탭을 닫으면 다시 정상화됐습니다.

조사 과정에서 알리익스프레스 페이지가 생성한 두 개의 Web Audio 처리 경로가 발견됐고, 관련 JavaScript 파일로 collina.js와 fireyejs.js가 지목됐습니다.

주장	확인 결과
들리지 않는 상태에서 Web Audio 처리가 실행됐다	확인됨
최종 출력 음량이 0으로 설정됐다	확인됨
브라우저·기기 특성 측정에 활용됐다	확인됨
사용자의 마이크를 몰래 켰다	현재 공개된 조사에서는 확인되지 않음
주변 대화를 녹음했다	확인된 근거 없음

핵심

이번 사건은 ‘알리익스프레스가 사용자의 말을 몰래 녹음했다’기보다, 사용자에게 보이지 않는 Web Audio 처리를 이용해 브라우저 특성을 측정한 사건으로 이해하는 것이 정확합니다.

02 음량 0인데 왜 작동했나

여기서 가장 헷갈리는 부분이 바로 “음량이 0인데 왜 오디오가 작동했느냐”입니다.

컴퓨터에서 음량을 0으로 만든다고 모든 오디오 계산이 멈추는 것은 아닙니다.

이번에 분석된 구조를 쉽게 줄이면 다음과 같습니다.

처리 과정

정해진 파형 생성 → 브라우저가 파형 처리 → 처리 결과 측정 → 최종 출력 음량은 0

즉 스피커로 나가는 최종 소리만 들리지 않게 만든 것입니다.

브라우저 내부에서는 여전히 오디오 데이터를 계산하고 있었고, 해당 처리 경로가 시스템 오디오 출력과 연결돼 있었습니다.

그래서 일부 환경에서는 PC가 계속 오디오를 사용하고 있는 것처럼 인식됐고, 개발자가 사용하던 멀티포인트 블루투스 헤드폰이 스마트폰으로 정상 전환되지 않았습니다.

Mozilla의 Bugzilla에는 이미 2023년부터 알리익스프레스 페이지에서 실제 들리는 소리가 없는데도 Windows가 오디오 장치 사용 상태를 유지하는 현상이 기록돼 있습니다.

03 WebAudio 핑거프린팅이란

WebAudio 핑거프린팅은 마이크로 사람의 목소리를 듣는 기술과 다릅니다.

사이트가 정해진 계산이나 오디오 신호를 브라우저에 처리하도록 한 뒤, 그 결과값의 미세한 차이를 비교하는 방식입니다.

예를 들어 같은 수학 문제를 여러 종류의 계산기에 풀게 한다고 생각하면 이해하기 쉽습니다.

정답은 거의 같더라도 기기나 계산 방식에 따라 소수점 아래 아주 작은 차이가 나타날 수 있습니다. 이런 미세한 특징을 다른 정보와 함께 모으면 브라우저의 ‘디지털 지문’처럼 활용할 수 있습니다.

쉽게 구분하면

마이크 녹음 = 주변에서 발생한 소리를 사이트가 입력받는 것
WebAudio 핑거프린팅 = 사이트가 만든 신호를 내 브라우저가 어떻게 처리하는지 측정하는 것

따라서 ‘오디오’라는 단어가 들어간다고 해서 곧바로 도청이나 음성 녹음을 의미하지는 않습니다.

04 어떤 정보가 함께 측정됐나

이번 분석에서 더 중요한 부분은 오디오 값 하나만 사용한 것이 아니라는 점입니다.

원 개발자의 코드 분석과 후속 보도에서는 다음과 같은 브라우저·기기 특성을 확인하거나 측정하는 기능이 함께 발견됐습니다.

Canvas 그래픽 렌더링 특성
WebGL 그래픽 정보와 렌더링 특성
화면 및 브라우저 창 크기
device pixel ratio
CPU 논리 코어 관련 정보
기기 메모리 정보
브라우저 플러그인 및 지원 포맷
WebRTC 동작 특성
브라우저 성능 측정값
마우스·터치·스크롤 등의 상호작용 정보

각각의 정보 하나만으로 특정 개인을 바로 알아내는 것은 아닙니다.

하지만 여러 값을 조합하면 “이전에 방문했던 것과 비슷한 브라우저·기기인가”를 구분하는 데 사용할 수 있습니다.

구분해서 봐야 합니다

공개된 브라우저 코드 분석으로는 이런 측정값이 수집·전송되는 동작을 확인할 수 있지만, 서버에서 해당 값을 얼마나 오래 보관했는지, 특정 계정이나 개인과 어떻게 연결했는지까지는 확인할 수 없습니다.

05 마이크 녹음은 있었나

현재까지 확인된 자료 중에서는 알리익스프레스가 이번 기능을 통해 사용자의 마이크를 켜고 주변 대화를 녹음했다는 증거는 없습니다.

2026년 8월 24일 알리익스프레스 홈페이지를 별도로 검사한 DataAudit 역시 Web Audio 핑거프린팅 동작은 재확인했지만, 실제 마이크 접근이나 오디오 도청은 확인하지 못했다고 밝혔습니다.

검사에서는 마이크 접근에 사용되는 브라우저 기능인 getUserMedia 호출 여부와 AudioContext 동작을 구분해 확인했습니다.

Malwarebytes의 분석 역시 이번 동작은 사람의 목소리를 녹음한 것이 아니라 사이트에서 생성한 들리지 않는 신호를 분석한 것이라고 설명했습니다.

팩트체크

“알리가 내 주변 대화를 몰래 들었다” → 확인된 근거 없음
“사용자가 듣지 못하는 Web Audio 처리가 브라우저에서 실행됐다” → 확인됨

06 추적 효과는 얼마나 큰가

WebAudio 핑거프린팅이라는 기술 자체는 실제 존재합니다.

다만 이번에 발견된 특정 오디오 측정 방식이 최신 브라우저에서 과거만큼 강력한 식별 정보를 제공한다고 보기는 어렵습니다.

Ars Technica 보도에 따르면 Firefox는 2023년 출시된 Firefox 118부터 운영체제마다 달라질 수 있던 오디오 연산 차이를 줄이는 방향으로 변경했습니다.

Google 역시 해당 보도에서 이 특정 방식이 Chrome에서는 효과적인 지문 식별 수단이 아니라고 설명했습니다.

따라서 “무음 오디오 하나만으로 특정 개인을 정확하게 식별한다”고 설명하는 것은 과장입니다.

하지만 오디오 값 외에도 화면, 그래픽, CPU, 메모리, WebRTC, 사용자 행동 등 여러 값이 함께 측정될 수 있기 때문에 브라우저 핑거프린팅 전체 문제와는 구분할 필요가 있습니다.

07 한국 개인정보처리방침

알리익스프레스가 한국 이용자에게 공개한 개인정보처리방침은 2026년 8월 3일 개정됐으며 8월 9일부터 시행되고 있습니다.

해당 방침에는 플랫폼 방문 과정에서 다음과 같은 정보를 자동으로 수집할 수 있다고 명시돼 있습니다.

IP 주소
기기 유형
기기의 고유 식별번호
브라우저 유형
국가 또는 도시 수준의 대략적인 위치
검색·탐색 패턴
플랫폼과의 상호작용 방식
브라우저 소프트웨어
운영체제
소프트웨어·하드웨어 속성
페이지 조회 및 세션 관련 정보

반면 현재 공개된 한국 개인정보처리방침 본문에서 WebAudio, 오디오 핑거프린팅 또는 fingerprint라는 방법을 구체적으로 설명한 표현은 확인되지 않습니다.

즉 ‘기기와 브라우저의 다양한 속성을 수집한다’는 범주는 공개돼 있지만, 이번에 논란이 된 WebAudio 측정 방법 자체가 별도로 상세 설명돼 있는 것은 아닙니다.

08 한국 이용자가 알아둘 점

알리익스프레스의 개인정보 관련 논란은 이번 WebAudio 사건만 있었던 것은 아닙니다.

개인정보보호위원회는 2024년 7월 알리익스프레스의 개인정보보호법 위반에 대해 19억 7,800만 원의 과징금과 780만 원의 과태료를 부과하고 시정명령과 개선권고를 의결했습니다.

당시 조사에서는 상품 판매 과정에서 한국 이용자의 개인정보를 제공받은 중국 판매자가 약 18만 개에 달한 것으로 확인됐습니다.

이번 사건과는 별개입니다

2024년 개인정보보호위원회 처분은 이번 2026년 WebAudio 핑거프린팅 사건에 대한 제재가 아닙니다. 개인정보 국외 이전과 관련된 별도의 개인정보보호법 위반 사건입니다.

또한 2026년 8월 24일 독립 검사에서는 WebAudio 핑거프린팅이 실제 실행되는 모습이 재확인됐지만, 대형 웹사이트의 스크립트는 지역·브라우저·A/B 테스트·버전 변경 등에 따라 달라질 수 있습니다.

따라서 현재 모든 알리익스프레스 이용자에게 동일한 코드가 항상 실행되고 있다고 단정하는 것도 근거가 부족합니다.

최종 판단

확인된 핵심은 ‘마이크 도청’이 아니라 사용자에게 보이지 않는 WebAudio 처리와 브라우저·기기 핑거프린팅입니다. 확인되지 않은 내용을 ‘대화 녹음’이나 ‘도청’으로 확대해서 해석해서는 안 됩니다.

09 자주 묻는 질문

알리익스프레스가 내 마이크를 몰래 켠 건가요?

현재 공개된 기술 분석에서는 확인되지 않았습니다. 별도 검사에서도 마이크 접근은 발견되지 않았으며, 사이트 자체가 만든 오디오 신호를 브라우저 내부에서 처리하는 WebAudio 방식이 확인됐습니다.

소리가 안 들리는데 왜 오디오 장치가 작동하나요?

최종 출력 음량이 0이어도 브라우저 내부의 오디오 연산은 계속될 수 있습니다. 이번 사례에서는 오디오 처리 경로가 시스템 출력과 연결돼 일부 환경에서 오디오 장치가 사용 중인 것처럼 유지됐습니다.

오디오 핑거프린팅만으로 나를 정확히 알아낼 수 있나요?

이번 특정 WebAudio 값 하나만으로 개인을 정확하게 식별한다고 단정할 수 없습니다. 최신 Firefox와 Chrome에서는 이 방식의 식별력이 크게 낮아진 것으로 알려져 있습니다. 다만 다른 브라우저·기기 정보와 조합될 수 있다는 점은 별개의 문제입니다.

알리익스프레스가 어떤 정보를 자동 수집한다고 밝히고 있나요?

한국 개인정보처리방침에는 IP 주소, 기기 유형, 고유 식별번호, 브라우저 유형, 대략적인 위치, 검색 패턴, 운영체제, 소프트웨어·하드웨어 속성 등의 자동 수집 가능성이 명시돼 있습니다.

현재도 같은 기능이 작동하고 있나요?

2026년 8월 24일 실시된 독립 검사에서는 WebAudio 핑거프린팅 동작이 재확인됐습니다. 다만 이후 사이트 코드가 변경될 수 있고 사용자 환경에 따라 실행 여부가 달라질 수 있으므로 현재 모든 접속에서 동일하게 작동한다고 단정할 수는 없습니다.

공식·주요 확인 출처