콜롬비아, 추적 앱을 만드는 대신 모바일 광고 ID로 코로나 접촉자를 추적하다

2020년, 보고타와 콜롬비아 안티오키아 주는 코로나19 접촉자를 추적해야 했지만, 전 세계의 전용 접촉자 추적 앱들은 낮은 다운로드율과 동의율로 어려움을 겪으며 적용 범위가 줄어들고 있었다. 두 정부는 현지 기업 세르빈포르마시온과 계약했고, 이 회사는 새 앱을 아예 건너뛰고 대부분의 휴대폰에서 이미 작동 중인 모바일 광고 인프라를 대신 활용하자고 제안했다.

모든 휴대폰에는 구글 또는 애플이 부여한 광고 ID가 있어 광고 네트워크가 앱 전반에서 사용자를 타깃팅하는 데 쓴다. 세르빈포르마시온은 이 ID 체계를 확진 환자와 대조했다. 매주 당국이 환자 주소를 보내면, 회사는 그곳에서 정기적으로 밤을 보내는 ID가 무엇인지 찾아낸 뒤, 그 기기들과 10미터 이내에서 30분 이상 머문 다른 ID가 무엇인지 확인했다. 앱을 만드는 대신, 이미 해당 휴대폰에 도달하는 네트워크를 통해 지역 타깃 광고와 SMS 대량 발송을 구매해 노출 가능성을 경고하고 증상 확인 양식으로 연결했다.

이 시스템은 다운로드도, 설치도, 능동적 동의 절차도 필요하지 않았다. 표준 광고 ID가 이미 있는 휴대폰이라면 누구에게나 작동했으며, 이는 스마트폰을 가진 거의 모든 사람에 해당했다. 안티오키아 보건 당국은 또한 집계된 위치 데이터를 활용해 노출된 ID가 몰려 있는 특정 도시 블록으로 역학조사팀을 보냈고, 광범위한 검사 대신 이렇게 했다.

사람들이 설치해야 하는 앱을 만드는 대신 모든 휴대폰에 이미 있는 광고 기술 ID를 재사용했다

광고 ID에 편승한 덕분에 도입 마찰이 전혀 없었다. 내려받을 앱이 없었으므로 적용 범위는 이미 광고 지원 앱을 실행하는 휴대폰 수만큼이었고, 이는 거의 전부에 해당했다.

10미터, 30분 근접 매칭은 새로운 위치 추적 소프트웨어를 구축하고 배포할 필요 없이 기존 광고 기술 타깃팅 기본 요소를 재사용했다.

결과를 기존 광고 네트워크와 SMS 게이트웨이를 통해 다시 전달했기 때문에, 접촉 채널은 이미 구축되어 있었고 이미 대상 휴대폰에 도달하고 있었다.

노출된 ID를 도시 블록별로 집계해 보건 당국이 가능한 모든 접촉자를 개별적으로 식별하고 검사해야 하는 더 어려운 문제 대신 검사팀을 지리적으로 타깃팅할 수 있었다.

도입률이 병목이라면, 필요한 인프라가 이미 다른 목적으로 대상 기기에 설치되어 있는지 확인하라. 아무도 동의할 필요가 없다는 점에서 전용 앱보다 낫다.

레스트 오브 월드가 이 사안을 보도할 무렵, 안티오키아 당국은 2020년 4월 이후 41만 1천 건 이상의 광고와 문자 메시지를 보냈고, 이로 인해 보건 서비스에 1,600건 이상의 전화가 발생했다고 밝혔다. 이는 0.4%의 응답률로, 디지털 마케팅 캠페인의 벤치마크인 0.5~0.7%에 약간 못 미치는 수치다. 카리스마 재단과 전자 프런티어 재단의 프라이버시 연구자들은 같은 ID 매칭 기법이 감시로도 악용될 수 있다고 경고했다. 환자의 집 주소를 알면 어떤 광고 ID가 그 환자의 것인지 추론하기 쉽기 때문이다.