2026-07-25

PDF에 워터마크를 넣어 유출을 추적하고 막는 법, 아무것도 업로드하지 않고

"PDF 워터마크"를 검색하는 사람들 대부분은 보고서에 로고를 박아 브랜딩하려는 게 아닙니다. 이미 문서를 보낸 뒤 — 계약서 초안, 가격표, 투자 제안서, 아직 완성되지 않은 보고서 초안 — 그게 원래 보낸 곳에 계속 머물러 있을지 불안해지는, 그 구체적이고 불편한 순간을 떠올리고 있는 경우가 많습니다. 그 불안은 과민 반응이 아닙니다. Ponemon Institute의 2026년 "Cost of Insider Risks" 보고서는 여기에 숫자를 붙입니다: 조직 하나가 내부자 관련 사고를 처리하는 데 쓰는 비용이 연평균 1,950만 달러로, 전년보다 또 늘었고, 북미 기업은 평균 2,400만 달러를 씁니다. 이 숫자들 뒤에 있는 사고 대부분은 해커의 침입이 아닙니다 — 53%는 부주의한 내부자(훔친 게 아니라 파일을 잘못 다룬 사람)로 인한 것이고, 27%는 악의적인 내부자, 나머지 20%는 자격 증명 도용입니다. 부주의로 인한 사고 하나의 평균 비용은 747,107달러이고, 악의적인 사고는 평균 470만 달러입니다. 다시 말해 유출은 대부분 스파이 영화 같은 사건이 아니라 평범한 부주의의 문제입니다 — 그리고 이건 실제로 무엇이 도움이 되는지를 바꿔놓는 중요한 차이입니다.

워터마크가 할 수 있는 것과 할 수 없는 것

워터마크는 유출을 막지 못합니다. PDF 파일에 무엇을 심어 넣든, 받은 사람이 그걸 다른 곳으로 전달하거나 스크린샷을 찍거나 인쇄하는 걸 강제로 막을 수는 없습니다. 워터마크가 실제로 하는 일은 유인과 사후 처리를 바꾸는 것입니다: 누구와 공유됐는지가 눈에 보이는 문서는 아무 생각 없이 전달하기가 꺼려지고, 만약 그래도 전달됐다면 그 눈에 보이는 텍스트가 출처를 알려주는 증거가 됩니다. 예방이 아니라 억제와 사후 추적이라는 이 구분이 워터마크를 대하는 정직한 방식이고, 이건 단순한 워터마크뿐 아니라 모든 워터마킹 방식에 다 해당합니다. 스트리밍 플랫폼이 유출된 영상을 특정 계정까지 추적하는 데 쓰는 정교한 포렌식 워터마킹조차 한계가 문서로 남아 있습니다: NeurIPS 2024년 논문 "Invisible Image Watermarks Are Provably Removable Using Generative AI"는 워터마크를 지우고 싶어하는 의도적인 공격자가 그걸 벗겨낼 수 있는 재생성 공격(regeneration attack)을 실제로 증명했습니다. 기업들이 적지 않은 돈을 내고 쓰는 워터마킹조차 완벽하지 않다면, PDF에 붙이는 무료 텍스트 스탬프는 당연히 더 그렇습니다 — 하지만 앞서 나온 53%라는 숫자를 기억할 필요가 있습니다. 대부분의 유출은 누군가가 작정하고 워터마크를 무력화한 결과가 아니라, 별생각 없이 파일 하나를 전달한 결과입니다. 눈에 보이는 경고 문구는 정확히 그 다수의 경우를 겨냥한 것입니다.

정적 워터마크 vs. SaaS 도구들이 파는 "동적" 워터마크

문서 공유 플랫폼들은 똑같이 "워터마크"라고 불리는 두 가지를 구분해서 씁니다. 이 차이를 아는 것이 어떤 도구에서 무엇을 기대할 수 있는지를 결정합니다. 정적(static) 워터마크는 파일을 내보내는 바로 그 순간에 고정된 텍스트나 이미지를 파일 자체에 새겨 넣는 것입니다 — 로고, "CONFIDENTIAL" 배너, "DRAFT" 도장 같은 것으로, 일부러 각 수신자마다 다르게 내보내지 않는 한 모든 페이지, 모든 수신자에게 동일합니다. 동적(dynamic) 워터마크는 서버가 보는 시점에 그때그때 생성합니다: 누군가 링크를 열 때마다 그 사람의 이메일 주소, IP, 접속 시각을 페이지 위에 렌더링해서 찍어 넣기 때문에, 유출된 스크린샷 하나만으로도 미리 계획할 필요 없이 유출자의 신원이 자동으로 함께 찍혀 나옵니다. 동적 워터마킹은 일단 설정만 해두면 확실히 더 편리하지만, 이름 그대로의 대가가 따릅니다: 문서가 남의 서버에 올라가 있고, 그쪽의 뷰어를 통해 열람되어야 누가 언제 열었는지를 그쪽에서 기록할 수 있습니다.

NearPDF의 워터마크 기능은 의도적으로 정적입니다. 텍스트 한 줄을 입력하면 PDF의 모든 페이지에 대각선으로 찍히고 — 반투명해서 아래 원본 텍스트는 그대로 읽을 수 있습니다 — 기능은 그게 전부입니다. 나중에 누가 링크를 여는지 추적하는 계정 시스템 같은 건 없습니다. 애초에 링크 자체가 없기 때문입니다: 파일은 처음부터 기기 밖으로 나가지 않으며, 이는 NearPDF의 모든 도구에 깔린 동일한 zero-upload 구조입니다. 이건 숨겨진 결함이 아니라 실제 트레이드오프입니다 — "누가 유출했는지 나중에 자동으로 알게 되는" 호스팅 뷰어의 편리함은 포기하지만, 애초에 남의 서버가 그 파일을 볼 기회 자체가 없는 문서를 얻게 됩니다. 임대 계약서, 서명 전 계약서 초안, 진료 기록, 아직 공개되지 않은 가격표처럼 사람들이 실제로 워터마크를 찍는 문서들 다수에게는, 누구에게 보여줄지조차 아직 다 정하지 않은 시점에 남의 서버에 파일을 올려두지 않는 것 자체가 더 보호적인 선택인 경우가 많습니다.

서버 없이도 "동적" 기능의 상당 부분을 얻는 수동 방법

정적 워터마크라고 해서 반드시 "모든 사본에 같은 워터마크"를 의미하지는 않습니다. 문서 보안 플랫폼들이 프리미엄 "수신자별" 기능으로 파는 것과 같은 기법을, 평범한 정적 워터마크 도구로도 손으로 직접 할 수 있습니다: 똑같은 "CONFIDENTIAL"을 하나 찍어서 모두에게 동일한 PDF를 보내는 대신, 수신자별로 따로 내보내되 각 사본에 이름, 이니셜+날짜 코드, 짧은 참조 번호처럼 짧고 구분되는 워터마크 텍스트를 넣고, 어떤 코드가 누구에게 갔는지 매핑한 개인 메모를(PDF 안이 아니라 본인 파일에만) 따로 보관하는 것입니다. 그 사본 중 하나가 있어서는 안 될 곳에서 나타나면, 페이지의 워터마크가 어떤 사본인지 알려주고, 개인 매핑 노트가 그 사본이 누구에게 갔는지 알려줍니다. 이건 가상의 편법이 아닙니다 — gotchamark라는 작은 오픈소스 도구가 정확히 이 패턴을 자동화하기 위해 만들어졌고, 스스로를 "수신자별로 PDF에 워터마크를 찍어 유출을 원본까지 추적하도록 돕는" 도구라고 담백하게 설명합니다. 투자자 다섯 명, 내부 급여 시트를 보는 입사 후보 세 명, 제안서의 서로 다른 버전을 보는 벤더 두 곳처럼 수신자가 몇 명 안 되는 상황에서 NearPDF로 이걸 수동으로 하는 건 원클릭 SaaS 기능보다 몇 분 더 걸릴 뿐이고 비용은 전혀 들지 않으며, 그 과정 내내 파일은 브라우저 밖으로 단 한 번도 나가지 않습니다.

실제로 이런 상황이 언제 생기나

• 피치덱과 투자 유치 자료. 투자 라운드에서 예비 투자자 서른 명에게 공유되는 덱은, 구조적으로 서른 개의 서로 다른 유출 가능성입니다 — 일반적인 "CONFIDENTIAL" 도장 하나로는 서른 명 중 누구의 스크린샷인지 알 수 없지만, 수신자별로 코드가 다른 워터마크는 알려줍니다.
• 서명 전 계약서 초안. 나중에 조건이 바뀐 초기 초안이 나돌다가 한참 뒤에 마치 최종본인 것처럼 다시 나타나는 것은 실제로 문제를 일으키는 전형적인 케이스입니다. 검토를 위해 보내기 전에 "DRAFT — [날짜], 실행용 아님" 같은 눈에 보이는 워터마크를 찍어두면, 몇 달 뒤에도 이걸 명확하게 만들어주는 저렴한 방법이 됩니다.
• 좁은 범위로만 공유되는 내부 가격표·급여표. "이걸 본 사람이 누구인지"가 짧고 이미 알려진 목록인 문서 — 사본별 워터마크를 관리하기 딱 좋은 상황입니다.
• 프리랜서의 시안·샘플. 최종 결제 전에 워터마크가 들어간 미리보기를 보내는 사진작가, 디자이너, 작가들은 같은 정적 워터마크 아이디어를 다른 목적으로 쓰고 있는 것입니다 — 유출 추적이 아니라, 워터마크 없는 최종 고화질 버전에 돈을 낼 가치를 만드는 목적입니다.

이 사례들을 하나로 묶는 것은 업종이 아니라, 각각의 경우 그 파일을 볼 사람의 수가 적고 미리 알려져 있다는 점입니다. 바로 이런 상황이 하나의 범용 워터마크 대신 N개의 서로 다른 사본을 만드는 게 현실적으로 가능한 상황이고, 서버 기반의 "동적" 워터마킹 구독 서비스가 애초에 있지도 않은 문제를 해결하려 드는 상황이기도 합니다.

실제 작업 흐름 하나

이걸 아무것도 업로드하지 않고 NearPDF의 기존 도구만으로 현실적으로 해보면 이런 순서가 됩니다: 먼저 문서를 완성합니다 — 첨부 자료나 별지를 merge로 하나의 PDF로 합치고, organize나 delete로 이 특정 수신자에게 가면 안 되는 페이지를 빼고, 스캐너에서 옆으로 삐뚤게 나온 페이지가 있으면 rotate로 바로잡습니다 — 그런 다음, 보내기 직전 마지막 단계로 그 수신자 전용으로 완성된 버전을 워터마크 도구에 넣고 그 사람만의 태그를 찍습니다. 워터마크를 마지막에 찍는 게 중요합니다: 워터마크를 먼저 찍고 나서 페이지 순서를 바꾸거나 삭제하면, 남은 모든 페이지에 도장이 여전히 제대로 찍혀 있는지 다시 확인해야 합니다. 문서가 길어서 나중에 "Alex에게 보낸 버전의 4페이지"처럼 명확하게 참조할 필요가 있다면, 같은 단계에서 페이지 번호도 함께 추가해두면 좋습니다 — 어떤 사본이 유출됐는지 알아야 하는 바로 그런 종류의 분쟁에서 유용합니다.

정직하게 다시 말하는 한계

이 중 어느 것도 DRM은 아닙니다. 눈에 보이는 대각선 워터마크는 페이지 이미지 위에 그려진 도장일 뿐, 파일을 잠그는 자물쇠가 아닙니다 — 기본적인 PDF 편집 도구만 있어도 누구나 그걸 잘라내거나, 덧칠하거나, 워터마크가 없는 부분만 스크린샷으로 찍어낼 수 있습니다. 작정하고 지우려는 사람을 막지는 못합니다. 이게 실제로 하는 일은 별생각 없는 부주의한 전달의 비용을 높이고, 그럼에도 전달됐을 때 흔적을 남기는 것입니다 — Ponemon 수치가 설명하는 부주의한 내부자라는 다수를 정확히 겨냥한 것이지, 진짜 공을 들이는 소수의 정교한 사고를 겨냥한 게 아닙니다. 대부분의 사람이 대부분의 문서에 워터마크를 찍는 이유로는 이게 현실적인 위협이고, 수신자별로 찍어서 내 기기 안에만 두는 한 줄짜리 대각선 도장은 그 위협에 대한 실제로 쓸모 있는 답입니다 — 완벽해서가 아니라, 실제로 대부분 벌어지는 일을 정확히 겨냥하고 있기 때문입니다.