Notion의 공개 페이지에서 해당 문서를 편집한 사람들의 이메일 주소가 노출된다는 제보가 나왔습니다. 공개 링크만 있으면 편집자 목록을 통해 이메일을 확인할 수 있다는 주장입니다.1 사실이라면 단순 UI 버그가 아니라, "문서를 공개한다"는 행위가 어디까지 메타데이터 공개를 포함하는지에 대한 설계 실패에 가깝습니다.
왜 지금 중요하냐면, Notion은 더 이상 개인 메모 앱이 아니라 외부 문서, 고객용 자료, 채용 정보, 제품 문서, 심지어 AI 에이전트의 데이터 원본으로도 쓰이기 때문입니다. 최근 Notion은 공개 사이트, 외부 공유, AI 커넥터, 에이전트 기능을 빠르게 넓히고 있습니다.2 이럴수록 "콘텐츠만 공개된다"는 사용자의 기대와 실제 노출 범위가 어긋나면 피해가 커집니다.
공개 페이지는 원래 편했지만, 그래서 더 위험해졌다
Notion의 공개 페이지는 진입 장벽이 낮습니다. 링크만 있으면 계정 없이 볼 수 있고, 문서를 웹페이지처럼 바로 배포할 수 있습니다.3 이 편의성 덕분에 팀 소개서, 문서 센터, 포트폴리오, 클라이언트 자료 공유에 널리 쓰였습니다.
문제는 사용자가 공개한다고 생각하는 대상과, 시스템이 실제로 함께 노출하는 정보가 다를 수 있다는 점입니다. 많은 사람은 "페이지 내용"만 공개된다고 이해합니다. 하지만 협업 도구는 보통 작성자, 편집자, 활동 이력 같은 메타데이터를 내부적으로 강하게 연결합니다. 이 경계가 퍼블릭 페이지에서도 그대로 남아 있다면, 문서 본문보다 계정 정보가 더 민감한 누출 지점이 됩니다.
특히 이메일 주소는 가볍게 볼 정보가 아닙니다. 실명 추정, 조직 구조 파악, 피싱, 스팸, 타 서비스 계정 상관분석에 바로 쓰일 수 있습니다. 문서 하나가 공개됐을 뿐인데, 협업에 참여한 사람들의 신원 정보가 함께 드러난다면 피해 범위는 문서 소유자를 넘어 편집자 전체로 번집니다.
이번 이슈가 더 불편한 이유: Notion은 원래 공개 페이지 통제가 약한 편이다
이번 건이 더 민감한 이유는, Notion의 외부 공개 모델이 원래도 단순한 편이기 때문입니다. Notion은 2026년 기준으로도 공개 페이지에 대한 네이티브 비밀번호 보호를 제공하지 않습니다. "Share to web"를 켜면 사실상 링크 기반 공개이고, 별도 인증 계층은 없습니다.45
물론 비공개 공유, 게스트 초대, 권한 분리는 가능합니다. 최근에는 데이터베이스 단위에서 더 세밀한 권한과 "Can create pages" 같은 권한도 추가됐습니다.2 하지만 이건 어디까지나 로그인된 사용자와 내부 협업 맥락의 권한 제어에 가깝습니다. 공개 웹 배포 시나리오에서는 여전히 "문서를 인터넷에 올리는 것"과 "누가 그 문서 뒤에 있는가"를 잘 분리해주지 못합니다.
반론도 가능합니다. "공개 페이지라면 편집자 정보 일부가 보일 수도 있는 것 아닌가?"라는 시각입니다. 실제로 협업 도구에서는 작성자 표시가 기능적으로 유용할 수 있습니다. 하지만 이메일은 다릅니다. 표시 이름이나 아바타 수준과, 로그인 식별자인 이메일 주소 노출은 보안 성격이 완전히 다릅니다. 사용자 기대치도 다르고, 악용 난이도도 훨씬 낮습니다.
실무에서는 지금 무엇을 바꿔야 하나
우선 확인해야 할 것은 간단합니다. 외부에 공개된 Notion 페이지가 있다면, 문서 내용만 보지 말고 메타데이터가 어디까지 노출되는지 직접 점검해야 합니다. 특히 채용 페이지, 고객 문서, 제안서, 파트너 문서, 기자용 브리핑 페이지처럼 외부 노출 빈도가 높은 링크가 우선입니다.
실무 대응은 세 가지 레벨로 나뉩니다.
첫째, 민감한 문서는 공개 링크 대신 초대 기반 공유로 돌리는 겁니다. 계정 기반 초대는 번거롭지만, 적어도 무차별 수집 위험은 줄어듭니다.4
둘째, 공개가 꼭 필요하면 Notion 원본 링크 대신 별도 퍼블리싱 레이어를 쓰는 방법이 있습니다. Super, Potion, Bullet 같은 도구는 Notion 내용을 외부 사이트로 렌더링하면서 비밀번호나 이메일 확인 같은 추가 장치를 얹습니다.45 다만 이것도 만능은 아닙니다. 공유 비밀번호는 다시 유출될 수 있고, 원본 메타데이터 차단 범위는 도구마다 다릅니다.
셋째, 조직 차원에서는 "공개 가능한 Notion 페이지"의 기준을 다시 정의해야 합니다. 문서 내용만 검토할 게 아니라, 편집 참여자 계정, 연결된 통합, 외부 노출 시 메타데이터 범위를 체크리스트에 넣어야 합니다. Notion 통합과 에이전트 권한도 최소 권한 원칙으로 다루라는 권고가 이미 나와 있습니다.67
이번 이슈는 Notion 하나의 사고로 끝나지 않을 수도 있습니다. 협업 SaaS가 문서, 퍼블리싱, 자동화, AI 실행 계층을 한 제품 안에 묶을수록 "공개"의 의미는 더 복잡해집니다. 지금 봐야 할 질문은 단순합니다. 우리 팀은 Notion을 문서 편집기로 쓰는가, 아니면 사실상 외부 배포 플랫폼으로 쓰는가. 후자라면, 이제는 기능 편의보다 노출 경계를 먼저 점검해야 합니다.
참고
1Notion leaks email addresses of all editors of any public page
3How to Make a Notion Page Public
4How to Password Protect a Notion Page (What Actually Works)
5How to Password Protect Notion Pages 2026
6How to Grant Notion Integration Permissions Safely (Without Making Someone an Admin)
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.