新아웃룩, 사용자 자격 증명을 MS 서버로…

마이크로소프트는 새로운 아웃룩 포 윈도(Outlook for Windows)를 개발했으며 기존 아웃룩과 타사 메일 클라이언트 앱에서 갈아타기를 권장한다. 하지만 이 새로운 아웃룩은 IMAP와 SMTP 자격 증명을 마이크로소프트 서버로 보내는 것으로 나타났다.

마이크로소프트 윈도11을 현재 최신 버전인 23H2로 업그레이드하면 시작 메뉴에 추천 앱으로 새로운 아웃룩이 표시된다. 새로운 아웃룩을 시작할 때 이용 제안되는 테스트 버전은 2024년 윈도 표준 메일 캘린더 앱으로 모든 사용자에게 제공될 예정이다.

이 새로운 아웃룩이 IMAP와 SMTP 자격 증명을 마이크로소프트 서버로 보냈다는 보도가 나왔다. 새로운 아웃룩에서 회사에서 사용하는 자체 메일 서버를 이용하는 메일 계정을 이용하려고 하면 메시지가 표시된다고 한다. 이메일을 마이크로소프트 클라우드에서 동기화하려면 IMAP 계정을 아웃룩에 추가해야 하며 기존 연락처와 이벤트는 저장되지 않지만 아웃룩에서 만든 건 마이크로소프트 클라우드에 저장된다는 것. 또 메시지 하단 링크는 아웃룩에서 마이크로소프트 클라우드에 계정 동기화하는 지원 페이지로 연결된다.

새로운 아웃룩에선 마이크로소프트 클라우드와의 동기화를 윈도 장치 뿐 아니라 안드로이드, iOS, 맥OS 장치에서도 실행한다. 이는 메일 캘린더 연락처가 메일 서비스와 마이크로소프트 데이터센터간 동기화를 의미한다. 아웃룩과 마이크로소프트 서버간 트래픽은 TLS로 보호되지만 데이터 자체는 일반 텍스트로 전송된다. 이를 분석하면 마이크로소프트가 사용자 IMAP와 SMTP 자격 증명을 새 아웃룩에서 마이크로소프트 서버로 보내는지 확인할 수 있다.

이전 아웃룩에서 새 아웃룩으로 전환하면 이에 따라 새 소프트웨어가 설치된다. 이전 아웃룩에서 설정한 IMAP 계정은 자동 전송되지 않지만 윈도에 저장된 계정은 자동 전송되도록 설정되어 있다. 2023년 초에도 마이크로소프트 오피스 업데이트가 맥에 적용되면 아웃룩이 사용자에게 알리지 않고 데이터를 마음대로 마이크로소프트 클라우드 서버로 리디렉션하는 문제가 발생했다. 해결 방법은 IMAP 계정을 한 번 삭제하고 재구성하는 것이지만 이 경우에는 재설정하면 데이터가 더 이상 전송되지 않는다.

독일 데이터 보호 정보 책임자는 마이크로소프트가 아웃룩을 통해 데이터를 수집하고 있다는 보도는 우려해야 한다며 유럽 데이터 보호 감독 당국과 회의에서 이 문제에 대해 법적 책임을 추구하는 아일랜드 데이터 보호 위원에게 보고를 요청할 예정이라고 밝혔다. 관련 내용은 이곳에서 확인할 수 있다.