쿠키리스(Cookie-less) 쇼크의 실체: 웹 브라우저의 제3자 쿠키(3rd Party Cookie) 지원 중단이 디지털 타겟팅 광고에 미치는 치명적 영향 분석

2020년 구글은 크롬에서 제3자 쿠키를 단계적으로 폐지하겠다고 예고하며 업계 전체를 '쿠키리스 준비'로 몰아넣었습니다. 그런데 2024년 7월 22일, 구글은 이 계획을 공식적으로 철회했습니다(Privacy Sandbox 공식 블로그). 즉 크롬은 제3자 쿠키를 계속 지원합니다. 대신 이용자에게 쿠키 사용 여부를 고수준으로 선택하게 하는 '프라이버시 선택' 프롬프트 방향으로 정책을 바꿨습니다. 이건 강제 삭제가 아니라 선택권 확대에 가깝습니다.

제3자 쿠키를 대체하기 위해 구글이 수년간 개발하던 Attribution Reporting, Topics, Protected Audience 등 Privacy Sandbox API 10종은 2025년 10월 17일 종료됐습니다. 크롬 144(2026년 1월)부터 단계적으로 걷어내는 절차가 시작됐고, 크롬 150(2026년 7월) 시점 완전 제거가 목표로 알려져 있습니다. 정리하면 구글은 '제3자 쿠키 폐지'도, 그 '대체 기술'도 둘 다 접었습니다 — 크롬은 원래 하던 방식(제3자 쿠키 기반 타겟팅)을 그대로 유지하는 쪽으로 회귀한 셈입니다.

문제는 브라우저가 크롬 하나가 아니라는 점입니다. 애플 사파리는 WebKit ITP(Intelligent Tracking Prevention)로, 모질라 파이어폭스는 ETP(Enhanced Tracking Protection)로 이미 수년째 기본값으로 제3자 추적 쿠키를 차단해왔습니다. iOS 사용자 비중이 높은 국내 모바일 트래픽 구조를 고려하면, 크롬의 정책 철회와 무관하게 상당한 비중의 유저 트래픽에서는 쿠키 기반 리타게팅·어트리뷰션이 이미 정상 작동하지 않고 있었다는 뜻입니다. 이 부분을 크롬 뉴스에 가려 놓치면, 실제로는 진작 손상돼 있던 성과 데이터를 계속 신뢰하는 사고로 이어집니다.

크롬이 제3자 쿠키를 유지하기로 했다고 해서 방향을 되돌릴 이유는 없습니다. 첫째, 사파리·파이어폭스발 손실은 여전하고 오히려 구조적입니다. 둘째, 브라우저 정책과 별개로 PIPA·GDPR·CCPA 같은 개인정보 규제가 매체 간 데이터 제공 동의 요건을 계속 강화하고 있습니다(다음 편에서 다룹니다). 셋째, 구글이 다시 정책을 바꿀 가능성도 배제할 수 없습니다 — 실제로 한 번 번복한 전례가 있는 만큼, 특정 브라우저 정책에만 의존하는 타겟팅 구조는 그 자체로 리스크입니다.

가장 흔한 오독은 "쿠키리스 위기가 해제됐다"는 결론입니다. 정확히는 '크롬발 강제 폐지'라는 한 가지 시나리오만 사라졌을 뿐, 멀티 브라우저 환경의 구조적 손실과 규제발 압박은 그대로 남아 있습니다. 실무에서는 크롬 트래픽 비중, 사파리·iOS 앱 트래픽 비중을 채널별로 나눠 확인하고, 후자의 비중이 큰 채널부터 퍼스트파티 데이터·해시 매칭 리타게팅으로 전환 우선순위를 잡는 것이 합리적입니다.

브라우저별 대응 우선순위를 정하려면 감으로 판단하지 말고 숫자로 확인해야 합니다. GA4나 광고 플랫폼 리포트에서 브라우저·OS 세그먼트별 전환 추적 성공률을 비교해보면, 크롬 대비 사파리 세그먼트의 전환 기여도가 유독 낮게 잡히는 경우가 많습니다. 이건 실제로 전환이 적어서가 아니라, ITP가 쿠키 수명을 짧게 제한하면서 어트리뷰션 신호 자체가 유실됐기 때문인 경우가 상당합니다. 이 왜곡을 인지하지 못하면 사파리·iOS 유입 채널의 실제 기여도를 과소평가해 예산을 잘못 배분하는 결과로 이어집니다. 캠페인 성과를 브라우저 단위로 쪼개보는 습관 자체가, 쿠키리스 대응의 첫 단추입니다.