[논문 리뷰] Stop the Open Data Bus, We Want to Get Off

Chris Culnane, Ariel Rubinstein외 1명|arXiv (Cornell University)|2019. 08. 14.

Privacy-Preserving Technologies in Data참고 문헌 10인용 수 10

한 줄 요약

이 논문은 2018 멜버른 데이터톤 동안 공개된 Myki 대중교통 데이터셋이 쉽게 재식별 가능했음을 입증한다. 연구자들은 타임스탬프가 포함된 1~3건의 이동 이벤트만으로도 자신과 동행자, 그리고 낯선 사람들을 재식별할 수 있었다. 이 연구는 개방형 데이터 배포에서의 익명화가 효과적이지 않으며, 특히 취약한 개인에게 심각한 개인정보 유출 위험을 초래할 수 있음을 보여준다.

ABSTRACT

The subject of this report is the re-identification of individuals in the Myki public transport dataset released as part of the Melbourne Datathon 2018. We demonstrate the ease with which we were able to re-identify ourselves, our co-travellers, and complete strangers; our analysis raises concerns about the nature and granularity of the data released, in particular the ability to identify vulnerable or sensitive groups.

연구 동기 및 목표

• 2018 멜버른 데이터톤 기간 동안 공개된 Myki 대중교통 데이터셋 내 개인의 재식별 가능성에 대해 조사한다.
• 대규모 대중교통 데이터에 적용된 익명화 기법의 효과성을 평가한다.
• 특히 외부 정보가 최소한일 때도 재식별 가능한 데이터 공유의 위험을 부각한다.
• 개인정보 보호법에 따라 데이터 공유 시 더 강력한 기술적 및 절차적 보호 조치가 필요하다고 주장한다.
• 현재 익명화 관행의 한계와 개인의 사생활에 대한 실제 영향을 인식시키기 위해 경각심을 일깨운다.

제안 방법

• 정확한 타임스탬프와 위치 데이터를 활용해 연구자 자신의 Myki 카드 이벤트를 통해 자신을 재식별한다.
• 공통된 이동 시간과 정류장을 기반으로 연구자의 이동 이벤트와 다른 사람의 이동 이벤트를 연결하여 동행자 재식별을 수행한다.
• 오직 세 개의 시간-위치 포인트만으로도 낯선 사람을 재식별함으로써 이동 패턴의 높은 고유성을 입증한다.
• 공개된 소셜 미디어 데이터(예: 트윗)를 Myki 이벤트와 연결하여 외부 메타데이터를 통해 개인을 재식별한다.
• cardId 필드의 분포와 구조를 분석하여 원래 Myki 카드 번호로의 비밀번호가 아닌 단순한 가림막이 아닌 의미 있는 익명화가 이루어졌는지 평가한다.
• 전 세계적 유일성 분석을 수행하여 이동 패턴으로부터 고유하게 식별 가능한 개인의 비율을 정량화한다.

실험 결과

연구 질문

• RQ1 몇 개의 이동 이벤트만으로도 공개된 대중교통 데이터셋에서 개인을 얼마나 재식별할 수 있는가?
• RQ2 Myki 데이터셋에 적용된 익명화 과정이 재식별을 방지하는 데 얼마나 효과적인가?
• RQ3 직접 데이터에 접근하지 않더라도 공통 이동 이벤트를 통해 다른 승객의 신원을 유추할 수 있는가?
• RQ4 공개된 소셜 미디어 정보와 대중교통 데이터를 결합할 경우 재식별 위험은 얼마나 되는가?
• RQ5 호주에서의 현재 데이터 공유 법적 프레임워크는 데이터가 잘못 익명화된 것으로 표기되었을 때 개인을 보호하지 못하는가?

주요 결과

• 연구자들은 정확한 타임스탬프가 포함된 단일 이동 이벤트만으로도 자신을 재식별하는 데 성공했으며, 이는 최소한의 데이터로도 전체 신원 재구성이 가능함을 보여준다.
• 연구자와 함께 이동한 사람들의 이벤트를 통해 추가 개인의 신원을 재식별할 수 있었으며, 이는 공통 이동 패턴이 다른 사람의 신원을 드러낼 수 있음을 시사한다.
• 단 한 명의 개인도 데이터셋 내 세 개의 시간-위치 포인트만으로도 재식별 가능했으며, 이는 이동 패턴의 높은 고유성을 의미한다.
• cardId 필드는 안전한 익명화가 되어 있지 않았으며, 낮은 숫자 범위와 분포가 원래 Myki 카드 번호로의 비밀번호가 아닌, 반전 가능한 매핑을 시사한다.
• 이 데이터셋은 1,500만 명 이상의 카드를 기반으로 약 20억 건의 터치온 및 터치오프 이벤트를 포함하고 있었지만, 익명화된 것으로 주장함에도 불구하고 의미 있는 개인정보 보호 조치가 없었다.
• 이 연구는 많은 익명화 데이터셋, 특히 개인정보 보호법에 따라 공유된 데이터셋이 실제로는 재식별 가능하다는 점을 확인하며, 데이터 공유 관행에 대한 신뢰를 훼손한다.