토스증권 북마크 오류 해명 “캐싱 탓”…취재하니 자사 og:image 규격 관리 부실

토스증권 PC 홈페이지를 구글 크롬 브라우저에서 북마크 등록 시 이재명 대통령 합성사진이 미리보기 이미지로 노출되는 현상이 27일 오후 발생해 파문이 일었다.

토스증권은 원인을 “크롬 브라우저의 캐싱 정책”으로 돌렸으나, 취재 과정에서 확인된 정황들은 이 설명만으로는 사태의 기술적 배경을 충분히 설명하기 어렵다는 점을 보여준다.

28일 금융투자업계에 따르면 전날 크롬 브라우저에서 토스증권 홈페이지를 북마크로 추가할 경우, 공식 로고 대신 불길을 배경으로 한 이재명 대통령의 합성 이미지가 미리보기로 노출되는 오류가 발생했다.

해당 이미지는 이미지 사이트 ‘tener’에 ‘이재명 찢재명’이라는 이름으로 등록된 것으로 전해졌다. 27일 오후 5시 32분 기준으로 북마크 추가 시 팝업창의 명칭은 ‘토스증권’으로 정상 표시됐으나, 대표 이미지 영역에서는 토스증권 로고와 해당 합성 사진이 번갈아 나타나는 현상이 확인됐다.

■ 공식 해명 “크롬이 커뮤니티 이미지 가져간 것”…og:image 설정 정상이었다면 불가능한 일

토스증권은 사태 발생 후 공식 안내문을 통해 “크롬 브라우저는 북마크 미리보기 이미지 생성 시 회사가 별도로 지정한 이미지 대신 웹페이지 내 이미지를 크롤링해 자동 반영할 수 있으며, 이번 현상은 이 과정에서 토스증권 PC 홈화면에 노출된 커뮤니티 서비스에 사용자가 게시한 이미지를 참조한 것”이라고 밝혔다. 아울러 “다른 웹서비스 환경에서도 유사하게 발생할 수 있는 현상”이라고 덧붙였다.

그러나 이 해명은 웹 표준과 정면으로 충돌한다. 오픈그래프(Open Graph) 프로토콜에 따르면 사이트 운영자가 og:image 메타태그로 대표 이미지를 지정하면, 크롬을 포함한 주요 브라우저는 북마크 미리보기 생성 시 이 값을 절대 우선으로 참조한다. 크롬이 이를 건너뛰고 커뮤니티 게시물 이미지를 채택하는 상황은 og:image가 없거나, 사이즈 규격에 미달하거나, 설정에 오류가 있을 때에만 발생한다. 공식 해명대로 “크롬이 커뮤니티 이미지를 가져갔다”는 설명 자체가, 이미 토스증권 내부의 og:image 설정이 정상적으로 작동하지 않았음을 전제한다.

■ 토스증권 “권장 사이즈 못 맞춰”…수습 조치가 관리 부실 자인

본지와의 통화에서 토스증권 측은 보다 직접적인 원인을 시인했다.

“크롬에서 사이트 대표 이미지를 찾을 때 특정 사이즈의 권장 이미지를 찾는데, 그게 만족하지 못하니까 다른 걸 찾은 거예요. 로고로 했던 것보다 월등하게 큰 이미지가 있었다거나, 약간 그런 거죠.”
— 토스증권 홍보 담당자, 본지 통화 중

이 발언은 og:image로 지정한 공식 로고가 크롬의 권장 사이즈 기준을 충족하지 못했고, 그 결과 크롬이 다음 탐색 단계에서 커뮤니티에 게시된 합성사진을 채택했음을 의미한다.

여기서 ‘캐싱’의 역할은 두 가지 경우로 나뉜다.

첫째, og:image 설정 자체가 미비한 상태에서 크롬이 커뮤니티 이미지를 탐색·채택한 뒤 이를 브라우저에 캐싱한 경우다.

둘째, og:image가 설정은 돼 있었으나 정작 그 태그가 외부 이미지 사이트에 올라간 해당 합성사진의 URL을 직접 가리키고 있었을 가능성이다. 이 경우 크롬은 og:image 지시에 따라 충실히 그 이미지를 내려받아 캐싱한 것이 된다. 어느 경우든 문제의 본질은 캐싱 정책 자체가 아니라, og:image가 무엇을 가리키고 있었느냐이며 이는 사이트 운영자인 토스증권의 관리 영역 안에 있다.

수습 조치도 이를 방증한다. 토스증권은 사태 직후 “페이지 내 이미지 크기 설정을 조정하고, 브라우저가 공식 로고를 우선 인식하도록 관련 설정을 개선했다”고 밝혔다. 사후에 설정을 ‘개선’했다는 것은, 사전에 해당 설정이 기준에 미치지 못했다는 사실의 직접적인 방증이다.

결국 이번 사태는 크롬의 정책 문제가 아니라, og:image 규격 관리 공백과 커뮤니티 게시물 필터링 부재라는 두 가지 운영상 허점이 맞물린 결과다. 대형 금융 플랫폼으로서 기본 규격조차 충족하지 못한 채 서비스를 운영했다는 점은, 이번 사태가 단순한 해프닝 이상의 신뢰도 문제를 드러낸다는 지적을 피하기 어렵게 됐다.

한편, 토스증권 관계자는 “이번 건은 외부 침입이나 해킹과 전혀 무관하며, 고객의 자산과 개인정보에는 어떠한 영향도 없다”고 강조했다.