Q.국정원이 구입, 운용한 해킹팀의 RCS에서 ‘타깃 20개’란 어떤 의미인가? 국정원장은 20명 분의 해킹프로그램이라고 주장한다.

국정원이 이탈리아 해킹팀으로부터 도입해서 운용한 RCS 프로그램의 타깃(target)은 20개다. 이는 동시에 최대한 20개까지 감시가 가능하다는 의미다(해당항목으로 이동).

국정원장의 해명은 해킹을 20명만 할 수 있다는 것처럼 들리지만 실제는 동시에 감시가 가능한 것이 20명이다. 실제 연 감시 대상은 훨씬 많을 수 있다는 것이다.

이탈리아 해킹팀이 나나테크에 보낸 제안서에서 설명하는 타깃에 대한 개념도 그렇다.

예를 들어 모니터링하고 있는 타깃 20개 가운데 더 이상 감시할 필요가 없는 타깃 5개를 삭제하면 새로운 타깃 5개에 추가로 스파이웨어를 설치해 다시 20개까지 모니터링 할 수 있다는 뜻이다. 이렇게 될 경우 국정원이 해킹한 타깃은 모두 25개가 되지만 동시 모니터링 하고 있는 타깃은 20개가 된다.

Q. 동시 감시 대상이 20개라는 것은 예를 들어 국정원이 감시가 필요한 대상 100개를 미리 감염시켜 놓은 뒤에 필요에 따라 감시 대상 20개 안에 넣었다 뺐다 할 수 있다는 것인가?

그렇다고 보기는 힘들다. 국정원 관리자와 해킹팀이 2014년 7월7일 주고받은 메일을 보자. 에이전트는 휴대폰이나 PC 등의 목표물에 설치해 해당 기기에서 정보를 빼내오는 해킹용 스파이웨어를 말한다.

질의 응답은 다음날인 7월8일 이메일로 이어진다.

(※RCS에는 여러 모듈(기능의 작동단위)이 있는데 기능에 따라 CALL 모듈, CHAT 모듈, PHOTO 모듈 등이 있다. CALL 모듈을 작동시키면 CALL을 감시할 수 있고 CHAT 모듈을 작동시키면 CHAT을 가로챌 수 있다.)

간단히 정리하면 예를 들어 타깃 100개를 한꺼번에 해킹해 놓고서 필요한 것들을 골라서 그 때 그 때 20개 안에 넣었다 뺐다 바꿔가면서 감시하는 것은 불가능하다는 말이다.

Q.그렇다면 이미 20개를 가득 채워서 동시에 모니터링을 하고 있는 상태에서 다른 1개의 타깃에 추가로 스파이웨어가 설치된다면 어떤 일이 벌어질까?

실제로 다른 나라의 고객이 해킹딤에 질문했다. 30개 타깃에 대한 라이선스를 갖고 있고 현재 30개를 동시에 감시하고 있는데 만약 3개월 전에 감염파일을 담아 보낸 이메일을 감시 대상이 이제서야 열어서 감염될 경우 어떻게 되냐는 것이다.

이럴 경우 31번째 타깃은 대기열(queue)에 위치하게 된다고 해킹팀은 답한다. 살아만 있을 뿐 자료를 빼오는데는 써먹을 수는 없는 상태라는 것이다. 따라서 라이선스 1개를 추가로 구입하거나 아니면 기존에 감시중인 타깃 하나를 제거해야 31번째 타깃의 에이전트가 활성된다는게 해킹팀의 설명이다.(▷관련 메일)

국정원도 비슷한 상황에 처한 적이 있다. 2013년 7월29일에 오간 이메일들(TICKET ID:!SMZ-100-78952)을 보면 “최근 타깃 3개가 감염된 것을 알게 돼서 기존 타깃 3개를 삭제했다. 그런데도 (감염된 타깃이) 대기열에서 시스템으로 들어오지 않고 대시보드에 추가할 수도 없다”면서 “3개의 공간이 있는데도 감염된 에이전트 2개가 20시간째 대기열에 머물러 있다”고 질문한다.

당시 국정원이 문제를 설명하면서 보낸 RCS 콘솔의 스크린샷이다.

▲ 빨간색 사각형이 국정원 직원이 직접 표시한 부분이다. 20개 타깃 가운데 3개의 여유가 있음을 보여준다.

스크린샷 제일 상단에 있는 RCS:DB 항목에서 상태가 ‘2connections’ 라고 돼 있는 부분이 대기열에 있는 타깃 2개를 말하는 것으로 보인다. 에이전트가 17/20로 3개의 여유분이 있으니 바로 시스템과 동기화돼서 감시 가능 상태에 들어와야 하는데 여전히 대기열에 머물러 있는 상황이다.

이 문제는 결국 국정원이 해킹팀의 조언대로 콜렉터를 다시 부팅하면서 해결이 된다.(▷관련 이메일)

Q.그렇다면 국정원이 천 명, 만 명의 타깃을 감염시켜 대기열에 위치시켜 놓은 뒤에, 20개씩 차례대로 동시 감시 대상으로 올리면 이론적으로는 감염시켜놓은 모든 타깃을 숫자 제한없이 감시할 수 있다는 말 아닌가?

이론적으로는 가능하다. 하지만 실제 해킹팀 RCS 운영 상황으로 볼 때 현실적으는 어렵다. 먼저 앞에서 국정원이 언급했던 대시보드가 무엇인지 보자.

▲ 2012년, 다른 나라의 고객이 해킹팀에 보낸 대시보드 스크린샷. 감염된 PC와 휴대폰별로 작동시킬 수 있는 항목이 한 눈에 보인다.

타깃을 대시보드에 추가한다는 것은 기능별로 타깃을 살펴보겠다는 의미다. 사진 왼쪽에 감염된 기기들이 나오고 각각 제공되는 기능이 일목요연하게 표시된다. 휴대폰의 경우 일정,통화,채팅,메모리,이메일,마이크,위치 등에 대한 기능이 제공됨을 알 수 있다.

대시보드에 감염대상을 추가하고 나면 각종 작업을 수행할 수 있다. 다음은 작업 명령을 내리는 화면이다.

감시 중인 스마트폰의 스크린샷을 찍어 전송받을 수도 있고 마이크를 작동시켜 녹음을 할 수 도 있다.

RCS는 이렇게 필요한 타깃의 기기 특성과 운영체제, 사용프로그램에 맞춰 취약점을 공격하고 일단 스파이웨어를 설치한 뒤에는 타깃의 활동 하나 하나를 면밀히 모니터링하는 시스템이다. 목표물의 음성 통화나 채팅, 사진 등을 감시하다가 필요한 때 자료를 빼오는 시스템이다.

또 목표물을 해킹하기 위해서는 취약점 공격에 필요한 URL이나 감염파일이 필요한데, 국정원이 직접 만드는 게 아니라 해킹팀에 요청해서 받아야 한다. 뉴스타파가 분석한 결과 지난 2013년 5월부터 2년 동안 국정원이 해킹팀으로 받은 URL이나 감염파일은 모두 320여 개였다. 이것이 모두 성공했다 하더라도 목표물은 2년 동안 320여 개가 되지만 이 가운데는 한 번 실패했다 다시 요청받은 것도 있어 실제 목표물은 320개 보다 적을 것으로 보인다.

또 국정원은 주로 해킹을 위해 문자나 이메일로 스파이웨어가 심어져 있는 URL을 보내는 방식을 사용했는데 이 경우 URL은 한 개의 목표물만 감염시킬 수 있기 때문에 다수의 목표물에 문자나 이메일을 발송해 다수를 한꺼번에 감염시키는 것이 불가능하다.

이런 여러가지 이유로 동시 감시대상이 20개라 하더라도 사실상 무제한으로 감시할 수 있다는 것은 이론적으로는 가능하지만 RCS의 운영특성으로 볼 때 현실적으로는 설득력이 없어 보인다. 물론 이것은 해킹팀 RCS에 한정된 얘기고, 국정원이 다른 해킹 프로그램들을 운용해 더 많은 목표물을 감시하고 있는지 여부는 현재로선 확인된 바가 없다.

‘가자 플랫폼(Gaza Platform)’은 2014년 가자지구에서 이루어진 이스라엘의 군사작전 관련 데이터를 탐색하고 분석하는 기능을 제공한다. 플랫폼 데이터는 향후 수 개월 동안 업데이트될 예정이며, 현재 제공되는 초기 데이터만으로도 이미 이스라엘군이 중대한 조직적 인권침해를 범했음을 보여주는 다수의 공격 패턴을 확인할 수 있다.

필립 루서 국제앰네스티 중동북아프리카 국장은 “’가자 플랫폼’은 현존하는 프로그램 중 2014년 분쟁 당시의 전투 기록을 가장 포괄적으로 제공하고 있다. 2,500건 이상의 공격 사례를 종합해, 지난 여름 50일간 가자지구에서 이스라엘군이 일으킨 파괴의 규모가 얼마나 거대한지 보여줄 수 있다”며 “가자 플랫폼을 통해 각각의 공격 사례를 단순히 나열해 제시하기보다 공격의 패턴을 공개함으로써, 이스라엘군이 가자지구 분쟁 당시 저지른 인권침해행위의 조직적인 특성을 드러내는 것도 가능하다. 이 프로그램이 가자지구 분쟁 당시의 인권침해행위에 대한 처벌을 촉구하는 인권조사자들에게 귀중한 자원이 되는 것이 우리의 목표”라고 말했다.

‘가자 플랫폼(Gaza Platform)’이란?

‘가자 플랫폼’은 각각의 공격이 벌어졌던 시간과 장소를 인터랙티브 지도에 기록하고, 공격의 유형, 폭격 지점, 사상자 수 등의 다양한 기준에 따라 분류해 패턴을 도출한다. 가능할 경우 사진, 영상, 목격자 증언, 위성사진 등의 자료 역시 포함된다. 데이터 시각화 및 디지털 매핑의 신기술을 이용해 사용자들은 이러한 정보를 열람하고 검색해 가자지구 분쟁 중 이스라엘군이 가한 공격의 패턴을 파악할 수 있다. 특정 공격 사례가 전쟁범죄 등 국제인도법 위반에 해당하는지 여부를 분석하는 데 도움이 될 수 있도록 공격 양상을 파악하고 공개하는 것이 이 프로그램의 목적이다.

가자지구 기반 인권단체인 알 메잔(Al Mezan)과 팔레스타인 인권센터(PCHR)와 함께 국제앰네스티가 현지에서 직접 수집한 ‘가자 플랫폼’의 데이터를 분석하고 입력하기 위해 런던과 가자의 조사팀이 수 개월 동안 최선을 다했다.

‘가자 플랫폼’의 발표는 이번 프로젝트의 시작에 불과하다. 가자지구 분쟁과 관련해 더욱 많은 증거를 확보하기 위한 노력은 계속될 것이며, 이에 따라 플랫폼 역시 새로운 정보로 업데이트될 예정이다.

이스라엘군의 인권침해 양상

증언, 사진, 영상, 위성사진 등 방대한 양의 멀티미디어 정보는 여전히 분석 중인 반면, 가자 플랫폼은 현재 2014년 분쟁 당시 이스라엘군이 포탄을 이용해 270건 이상의 공격을 가했고, 민간인 320명 이상이 숨졌음을 보여주고 있다. 표적 없는 폭발무기인 포탄을 인구가 밀집한 민간 지역에 반복적으로 이용한 것은 무차별 공격에 해당하며, 이는 전쟁범죄로 조사되어야 한다.

가자 플랫폼은 또한 이스라엘군이 1,200건 이상 민간 주택을 표적으로 공격해 민간인 1,100명 이상을 숨지게 하는 등 충격적인 공격 패턴을 나타냈음을 명백히 보여준다. 적군에 직접적으로 관여하지 않은 민간인과 민간 대상을 직접 공격하는 것은 국제인도법 또는 “전쟁법”상 금지하고 있다. 국제앰네스티와 유엔 조사위원회 및 그 외의 분쟁감시기구들은 이러한 민간 대상 공격이 2014년 분쟁 중 높은 빈도로 나타난 것에 대해 경고한 바 있다.

이외에도 이스라엘군이 긴급 구조원, 의료 종사자 및 시설을 우선적으로 공격하거나, 드론으로 미사일을 발사한 후 곧 더 큰 폭격을 가하는 “지붕 노크” 공격 경고를 광범위하게 사용하는 등의 걱정스러운 공격 양상을 보였다는 점 역시 파악할 수 있다.

인권조사를 위한 혁신적인 도구

이얄 바이츠만(Eyal Weizman) 포렌식 아키텍처 국장은 “분쟁이 시작된 지 1년이 지난 후인 오늘 ‘가자 플랫폼’을 발표하게 된 것은, 지난해 가자지구 분쟁 중 이루어진 인권침해를 전면 기록하는 과정에 있어 중요한 진전이다. 또한 개인과 단체들이 분쟁 중 직접 경험하거나 기록한 공격 사례에 대해 사진, 증언 등 더 많은 증거를 보내줄 것을 촉구하는 것이기도 하다”고 말했다.

디지털 시대로 지난해 가자 분쟁과 같은 인권위기 상황에서 입수하는 정보의 속도와 입수 수단이 급격히 증가하게 되었다. 다양한 매체로 남은 증거들이 사후에 어떤 일이 벌어졌는지를 확인하는 데 중요한 역할을 수행하는 경우도 많다. 가자 플랫폼은 다양한 형태의 정보를 분석하고 상호 참조하는 데 효율적이고 새로운 방식을 제공하고 있다.

포렌식 아키텍처의 조사원이자 가자플랫품 프로젝트 담당자인 프란세스코 세브레곤디(Francesco Sebregondi)는 “가자 플랫폼은 최근의 가자지구 분쟁과 같이 복잡한 사건을 해결할 수 있는 새로운 디지털 도구의 힘을 보여준다. 사용자는 이를 통해 각각의 사건들 사이의 연관성을 밝혀냄으로써, 규모를 넘나들며 각 사례별 자세한 세부사항부터 분쟁의 전체적인 상황까지 파악할 수 있다”며 “이번 프로젝트는 현지 증인과 단체, 전세계 사람들 간의 정보 공유를 가능하게 하는 공동 플랫폼을 통해 더욱 효과적으로 분쟁 감시를 수행하기 위한 첫걸음을 내디딘 것”이라고 말했다.

포렌식 아키텍처 직원들이 가자 플랫폼을 테스트하고 있다 © Amnesty International (Photo: Richard Burton)

배경정보

포렌식 아키텍처는 런던대학교 골드스미스대학 기반의 연구프로젝트 및 자문단체다.

가자 플랫폼은 무장분쟁과 인권침해에 관한 조사를 돕고자 새로운 매핑 및 데이터 시각화 도구를 개발하는 시범 프로젝트다. 포렌식 아키텍처가 개발해 PATTRN이라고 이름붙여진 이 도구는 팔레스타인 인권단체 알 메산, PCHR과 제휴한 국제앰네스티에 의해 처음으로 사용되었다. 인권조사자들과 기자, 시민들이 정보를 공유하고 분쟁과 위기를 공동으로 감시할 수 있도록 더욱 널리 이용할 수 있는 도구를 개발하는 것이 장기적인 목표다.

영어전문 보기

Launch of innovative digital tool to help expose patterns of Israeli violations in Gaza

An investigative online tool mapping Israeli attacks in Gaza during the conflict of July and August 2014 has been unveiled by Amnesty International and Forensic Architecture today. Its purpose is to help push for accountability for war crimes and other violations of international humanitarian law.

The Gaza Platform enables the user to explore and analyse data about Israel’s 2014 military operation in Gaza. The preliminary data currently plotted on the Platform, which will be updated over the coming months, already highlights a number of patterns in the attacks by Israeli forces that indicate that grave and systemic violations were committed.

“The Gaza Platform is the most comprehensive record of attacks during the 2014 conflict to date. It allows us to piece together more than 2,500 individual attacks, illustrating the vast scale of destruction caused by Israel’s military operations in Gaza during the 50-day war last summer,” said Philip Luther, Director of Amnesty International’s Middle East and North Africa Programme.

“By revealing patterns rather than just presenting a series of individual attacks, the Gaza Platform has the potential to expose the systematic nature of Israeli violations committed during the conflict. Our aim is for it to become an invaluable resource for human rights investigators pushing for accountability for violations committed during the conflict.”

How the Gaza Platform works

The Platform records the time and location of each attack on an interactive map and classifies it according to numerous criteria including type of attack, site struck and number of casualties to highlight patterns. Photos, videos, eyewitness testimony and satellite imagery for attacks are also included where available. With the help of new data visualization and digital mapping technology, users can view and search this information to detect patterns in the Israeli forces’ conduct during the conflict. The aim is to identify and publicize patterns which can help in the analysis of whether particular attacks constitute violations of international humanitarian law, including war crimes.

A team of researchers in London and Gaza has been working over several months to collate and input onto the Platform data collected on the ground by the Gaza-based human rights organizations Al Mezan and the Palestinian Center for Human Rights (PCHR), as well as information gathered by Amnesty International.

The launch of the Platform is just the start of the project – it will be updated with new information as work to gather further evidence relating to the conflict continues.

Patterns of Israeli violations

While a vast amount of multimedia information, including testimony, photos, videos and satellite imagery, is still being processed, the Gaza Platform currently shows that more than 270 Israeli attacks were carried out using artillery fire during the 2014 conflict, killing more than 320 civilians. The repeated use of artillery, an imprecise explosive weapon, in densely populated civilian areas constitutes indiscriminate attacks that should be investigated as war crimes.

The Platform also clearly illustrates an overwhelming pattern of targeting residential homes, with more than 1,200 Israeli attacks on houses resulting in more than 1,100 civilian deaths. Direct attacks on civilians not directly participating in hostilities and on civilian objects are prohibited under international humanitarian law, or “the laws of war”. Amnesty International, the UN Commission of Inquiry and other conflict monitoring organizations have raised the alarm about the high number of such attacks during the 2014 conflict.

Users can also note other disturbing patterns, such as Israeli attacks striking first responders, medical workers and facilities, as well as the extensive use of “knock on the roof” warning attacks, where a missile fired from a drone is followed shortly afterwards by a larger bomb. Amnesty International does not consider that such strikes constitute an effective warning, nor do they absolve Israel from the clear obligation not to direct attacks at civilians or civilian property.

Innovative tool for human rights research

“The launch of the Gaza Platform today, a year after the start of the conflict, is a significant step in the process of documenting the full scale of violations that took place in Gaza last year. It is also a call for individuals and other organizations to send more photographs, testimonies and other forms of evidence about attacks they have experienced or documented during the conflict,” said Eyal Weizman, Director of Forensic Architecture.

The digital age has rapidly increased the pace and means of information gathering during a human rights crisis such as last year’s conflict in Gaza. Multimedia evidence can often play an instrumental role in confirming what took place after the fact. The Platform offers an efficient new method of processing and cross-referencing different types of information.

“The Gaza Platform exploits the power of new digital tools to shed light on complex events such as the latest war in Gaza. It enables users to move across scales, from the granular details of each incident to the big picture of the overall conflict, by revealing connections between scattered events,” said Francesco Sebregondi, Research Fellow at Forensic Architecture and Coordinator of the Gaza Platform project.

“We see this project as a first step towards more effective conflict monitoring efforts, supported by collaborative platforms that facilitate the sharing of data between witnesses on the ground, organizations, and citizens worldwide.”

Background

Forensic Architecture is a research project and consultancy based at Goldsmiths, University of London.

The Gaza Platform is a pilot project of a new mapping and data visualization tool to support research around armed conflicts and human rights violations. Entitled PATTRN, the tool has been developed by Forensic Architecture and first put into practice by Amnesty International in partnership with Palestinian human rights organizations Al Mezan and PCHR. The long-term goal is to create a tool that can be used more widely by human rights researchers, investigators, journalists, and citizens to enable them to share information and to monitor conflicts and crises collaboratively.

▲ 이탈리아 업체 ‘해킹팀’의 원격감시프로그램 RCS 설치용 CD

Q.국정원이 사용하는 해킹솔루션인 RCS(Remote Control System)은 불특정 다수의 PC나 휴대폰을 무차별적으로 해킹하나?

그렇지 않다. 많은 사람들이 오해하는 부분인데 국정원이 사용하는 RCS라는 해킹프로그램은 원하는 목표물만 대상으로 한다. 도감청 대상자(target)가 사용하는 PC나 스마트폰에 문자나 메일을 보내 감염시킨 뒤에 에이전트(원격으로 작동하는 작은 스파이웨어)를 설치해 단말기 내 자료를 해킹하거나 통화내용을 빼가는 방식이다. 스팸메일이나 보이스피싱처럼 악성코드를 무차별적으로 살포해 불특정 다수를 목표로 하는 방식과는 다르다.

Q.그렇다면 국정원은 몇 명이나 도감청할 수 있나?

국정원이 감시할 수 있는 대상(target)은 동시에 최대 20개까지 가능하다. 도감청 목표물의 수는 이탈리아 해킹팀과의 계약에 따라 늘어날 수도 있고 줄어들 수도 있다. 국정원은 2012년 초 첫 계약 때 10개를 계약했고, 그해 7월에 목표물 10개를 더 감시할 수 있는 시스템을 추가로 계약해 현재 20개를 커버할 수 있는 것으로 확인됐다. 즉 현재 운용하는 시스템은 최대 20개의 목표물을 동시에 해킹하거나 도감청할 수 있는데 목적을 달성한 목표물은 빼고, 그만큼의 목표물을 추가할 수 있다. 물론 돈을 더 많이 지불하면 더 많은 목표물을 감시할 수 있지만 그럴 경우 국정원의 관리인력과 장비도 그만큼 보강해야 한다.

▲ 2013년 7월, 국정원이 사용하고 있는 RCS에 표시된 목표물 감시 현황이다. 에이전트. 20개 가운데 17개가 가동되고 있는 것으로 보인다.

Q.아이폰은 해킹이 불가능하다던데?

이탈리아 해킹팀의 RCS 제품은 아이폰도 해킹할 수 있다. 단 현재는 이른바 ‘탈옥폰’의 경우만 가능하다. 탈옥폰은 제조사인 애플이 여러가지 기능을 제한하기 위해 걸어놓은 잠금장치를 해제시킨 휴대폰을 말한다. 탈옥폰은 사용자 환경을 마음대로 바꿀 수 있고 유료 앱을 무료로 쓸 수 있게 해주지만 보안에 치명적인 약점을 가지게 된다. 탈옥시키지 않은 정상적인 폰의 경우에는 아직까지 RCS의 침투가 불가능하다. 그러나 유출된 자료를 보면 해킹팀은 탈옥하지 않은 아이폰도 해킹이 가능하도록 연구 중이며 이미 데모 버전도 만들어 놓은 것으로 알려졌다. 또 현재의 RCS 버전 9.6 이후에 나올 버전 10.0부터는 아이폰에 대해서도 RCS가 작동하도록 할 계획이었던 것으로 알려졌다.

Q. 안드로이드폰의 경우는 어떤가?

운영체제 버전에 따라 다르다. 해킹팀의 RCS는 안드로이드 4.4(킷캣)까지만 지원하고 안드로이드 5.0(롤리팝)은 아직 지원하지 않는다.

Q.국정원의 해킹 프로그램이 뚫고 들어갈 수 있는 스마트폰은 어떤 게 있나?

운영체제와 단말기에 따라 다르다. 앞서 말한대로 아이폰의 경우는 탈옥폰의 경우에만 가능하고 안드로이드폰의 경우는 운영체제와 제품에 따라 침투되는 것도 있고 아닌 것도 있다. 해킹팀은 블랙베리도 뚫을 수 있다고 설명한다.

RCS를 작동하려면 우선 해당 기종의 보안 취약점을 공격해야 하는데 새로 출시되는 휴대폰 단말기 종류와 운영체제가 워낙 다양해 해킹팀이 이를 바로 따라잡지는 못하고 있다. 즉 개발까지는 일정한 시차가 있기 때문에 최신 휴대폰일수록 안되는 경우가 많다고 보면 된다. 국내에서 많이 사용되는 삼성 단말기의 경우 갤럭시 시리즈는 S, S2, S3, S4, S5까지 침투가 가능하고 노트의 경우는 노트3까지 해킹이 가능하다. 갤럭시 S6와 S6에지는 아직 불가능하다.

Q.파일을 빼가는 것은 물론 통화녹음도 할 수 있다는데?

물론이다. 에이전트를 심어놓은 PC나 스마트폰은 국정원이 원격으로 자기 마음대로 조정할 수 있다고 보면 된다. 통화도 녹음할 수 있고 단말기에 내장된 마이크를 통해 감시 대상자가 있는 현장의 소리를 녹음할 수 있다. 내장 카메라를 통해 사용자 몰래 사진을 찍어 저장해 놓은 뒤 이를 전송할 수도 있다.

해킹팀이 고객들의 문의에 답한 내용을 보면 감시 대상자의 스마트폰 내부에 저장공간이 부족해 녹음파일을 저장할 수 없는 경우에는 통화 녹음이 불가능하다고 돼 있다.

Q.스마트폰 메신저 앱을 통한 대화도 가로채 갈 수 있나?

그렇다. 하지만 이 기능은 2015년 6월 현재 안드로이드폰의 경우 ‘루팅’된 폰에서만 가능한 것으로 돼 있다. 루팅폰은 탈옥폰과 마찬가지로 제조사의 기능제한 장치를 풀어버린 폰이다.

루팅이 돼 있을 경우는 스카이프, 왓츠앱, 바이버, 라인, 페이스북, 행아웃, 텔레그램 등에서 이뤄지는 문자 대화 내용을 모두 빼낼 수 있다. 스카이프와 바이버의 경우에는 앱을 통한 음성통화까지 가로채는 게 가능하다.

Q.국정원은 누구를 대상으로 해킹프로그램을 사용했나?

그동안 해킹프로그램과 관련해 어떤 정보도 확인해 줄 수 없다던 국정원은 첫 보도 6일만인 14일에야 대북정보전을 위한 연구개발을 위해 해킹프로그램을 사용했다고 국회 정보위에서 해명했다. 국내 민간인을 대상으로 사용한 적은 없다는 것이다. 정보기관의 특성상 자세한 내용을 밝힐 순 없지만 일부 테스트용으로 사용한 것도 북한공작원을 상대로 한 것이라고 주장했다. 카카오톡에 대한 해킹 문의를 한 것도 북한 공작원이 카카오톡을 사용하는 경우가 있기 때문이라는 것이다. 유출자료를 보면 해킹을 시도한 대상이 중국같은 해외에 있는 PC나 휴대폰인 경우도 확인이 된다. 하지만 국내 이동통신사에서 출시한 스마트폰에 대한 해킹을 요청하거나 ‘천안함 문의’라는 한글 이메일을 통해 감시대상 단말기를 감염시키려 한 사례가 발견돼 국내 민간인을 감시한 게 아니냐는 의혹은 가시지 않고 있다.

▲ 국정원이 2013년10월4일 에이전트를 심어 달라고 해킹팀에 보낸 Cheonan-ham(Cheonan ship).docx 파일. 미디어오늘의 ‘조현호’ 기자를 사칭한 것으로 보인다.

Q.이탈리아의 해킹팀은 해킹 조직인가? 소프트웨어 회사인가?

이탈리아 업체 해킹팀은 지하에서 익명으로 활동하는 해커들의 비밀스러운 조직은 아니다. 2004년부터 해킹프로그램을 만들어서 판매하는 인터넷 보안업체다. 본사는 밀라노에 있지만 싱가포르와 미국 애나폴리스에 지부를 두고 있고 해마다 각국에서 열리는 유명 보안 관련 전시회와 컨퍼런스에도 자주 참여해 마케팅 활동을 펼치고 있다. 하지만 ‘시티즌랩’과 ‘국경없는 기자회’ 같은 국제단체들은 해킹팀의 감시프로그램이 독재국가에서 인권탄압 등에 악용되고 있다며 이 업체를 ‘인터넷의 적’이라고 비난해 왔다.
해킹팀은 프로그램 프리젠테이션과 운영에 관한 기술지원, 교육을 위해 지난 2010년 12월 7일 한국을 처음 방문한데 이어 지금까지 모두 5차례 한국에 와 국정원 담당자들을 만났다.

▲ 2013년 4월 런던에서 열린 보안 관련 전시회에 부스를 차린 해킹팀. 출처 : Ryan Gallger 트위터

Q.우리나라 말고 해킹팀의 RCS를 구입해 사용하고 있는 나라는 어디인가?

30여 개 국가에서 70개 이상의 기관이 이 해킹프로그램을 구입해 사용하고 있는 것으로 알려졌다. 대부분 정보기구나 군,경찰 관련 정부기관이다. 해킹팀 전체 고객리스트는 이곳에서 볼수 있다.

Q.이번에 해킹된 해킹팀 내부 자료는 어디에서 볼 수 있나?

2015년 7월 6일 유출된 이후 비트토렌트와 https://ht.transparencytoolkit.org에 데이터가 공개됐다. 비밀정보 폭로사이트인 위키리크스는 7월 9일 해킹팀 특별 페이지를 오픈해 이 자료들을 누구나 검색할 있도록 했다.

7일 통과한 유엔 안전보장이사회 결의안을 통해, 염소 등 화학무기 공격의 책임자를 가려낼 독립적 전문가 집단을 구성할 수 있게 되면서 시리아에서 벌어지는 전쟁범죄에 대해 책임을 물을 수 있는 희망이 생겨났다고 국제앰네스티가 밝혔다.

사이드 부메두하(Said Boumedouha) 국제앰네스티 중동-북아프리카 국장대행은 “염소가스 등의 화학무기 공격은 시리아 민간인들에게 죽음과 고통, 공포를 안겼다. 이번 결의안으로 시리아 분쟁이라는 어둠 속에 그토록 갈망하던 한 줄기 희망의 빛이 나타나게 되었다. 이번 결의안이 적절히 시행된다면, 시리아에서 매일같이 자행되는 수많은 전쟁범죄에 대한 불처벌의 악순환을 깰 기회가 될 것”이라고 말했다.

시리아 사태가 발발한 이후 4년이 넘는 시간 동안 화학무기 공격으로 민간인 수백여 명이 목숨을 잃었다. 화학무기 사용은 국제인도법상 금지되어 있다.

이번 결의안은 이러한 화학무기 공격의 책임자를 가려낼 합동조사기구를 설립하기 위해 필요한 조치를 상술하고 있다. 또한 분쟁의 모든 당사자들은 공격 장소 및 관련자, 관련 정보에 대해 전면적인 접근 권한을 부여하는 등 합동조사기구의 활동에 전적으로 협조해야 할 의무가 있다고 명시했다.

러시아를 비롯해 시리아 분쟁의 책임성 강화를 촉구하는 이전 결의안에 거부권을 행사했던 회원국들도 의견을 함께했다는 사실은 국제사회가 시리아의 참상 속에서 고통받는 민간인들을 구하기 위해 힘을 합칠 수 있다는 것, 또한 그래야만 한다는 것을 보여주고 있다.

그러나 책임자 개개인에 대해 어떻게 처벌이 이루어질 것인지, 결의안 내용에 불응할 경우 어떻게 적용될 것인지에 대해서는 구체적인 사항을 명시하지 않고 있다. 국제앰네스티는 시리아 상황을 국제형사재판소에 회부하는 것으로 결의안을 보완할 것을 유엔 안보리에 촉구한다.

화학무기 공격으로 인한 사상자는 2011년 3월 이후 시리아 전역에서 발생한 사상자 수의 극히 일부분에 불과하다.

사이드 부메두하 국장대행은 “이번 결의안은 시리아에서 벌어지고 있는 끔찍한 범죄 중 단 한 가지 종류에만 범위를 한정한다. 그러나 시리아에서는 화학무기 공격 이외에도 전쟁범죄와 반인도적 범죄로 매일 수천여 명 이상이 계속해서 고통에 시달리고 있다”고 말했다.

영어전문 보기

Syria: UN resolution on chemical weapons a vital step towards justice for war crimes

A UN Security Council resolution passed today, paving the way for establishing an independent team of experts to identify the perpetrators of chlorine and other chemical weapon attacks, offers hope for accountability for war crimes in Syria, said Amnesty International.

“Chlorine and other chemical weapon attacks have brought death, anguish and terror to the civilian population in Syria. This resolution offers a much needed ray of hope in the darkness that presides over this conflict. If properly implemented, it could offer an opportunity to break the cycle of impunity for the countless war crimes being committed on a daily basis there,” said Said Boumedouha, Acting Director of Amnesty International’s Middle East and North Africa Programme.

Hundreds of civilians have been killed in chemical weapons attacks since the crisis in Syria began more than four years ago. The use of chemical weapons is prohibited by international humanitarian law.

The resolution details steps needed to create a Joint Investigative Mechanism to identify perpetrators of such attacks. It stipulates that all parties to the conflict would have an obligation to cooperate with it fully, including by granting full access to locations, individuals and relevant materials.

The fact that UN Security Council member states, including Russia which has blocked previous resolutions pushing for accountability in Syria, came together demonstrates how they can and should unite to help end the suffering of civilians in the Syrian catastrophe.

However, the resolution stops short of specifying how individuals should be held to account or how the terms of the resolution would be enforced in the event of non-compliance. Amnesty International is calling on the UN Security Council to expand on this resolution by referring the situation in Syria to the Prosecutor of the International Criminal Court.

Those killed and injured in chemical weapons attacks in Syria represent just a fraction of the casualties across the country since March 2011.

“The narrow scope of this resolution focuses only on one category of horrific crimes being committed in Syria, when thousands more continue to suffer on a daily basis as a result of other abuses including war crimes and crimes against humanity,” said Said Boumedouha.

코웰지 외곽 말로(Malo)호수에서 여성들이 채굴한 광물을 씻고 있다. ⓒAmnesty International and Afrewatch

스마트폰, 차량용 배터리 속에 숨은 아동노동 실태

애플(Apple)과 삼성(Samsung), 소니(Sony) 등 대형 전자기업이 자사 제품에 사용되는 코발트가 아동노동 착취의 산물은 아닌지에 대한 기본적인 점검조차 하지 않고 있다고 국제앰네스티와 아프리워치(Afrewatch)가 19일 공동 발표한 보고서를 통해 밝혔다.

보고서 <목숨을 건 코발트 채굴: 콩고민주공화국의 코발트 교역 과정에서 발생하는 인권침해>(영문 보고서/국문 요약보고서)는 리튬이온배터리의 원재료로 이용되는 코발트가, 성인부터 7세의 어린 아이까지 위험한 환경에서 노동하고 있는 광산으로부터 유통되는 과정을 추적했다.

마크 더멧(Mark Dummett) 국제앰네스티 기업과 인권 조사관은 “매장을 화려하게 전시하고 최첨단 기술을 홍보하는 것과, 돌더미를 지고 다니는 어린이들, 직접 판 탄광에서 장기적인 폐질환을 감수하며 일하는 광부들의 모습은 극명한 대조를 이룬다”며 “수백만 명이 최신 기술의 혜택을 누리고 있지만 그 제조 과정을 궁금해하는 사람은 거의 없다. 지금이 바로 대기업들이 수익성 높은 제품들의 원자재 채굴 과정에 대해 책임을 져야 할 때”라고 말했다.

이 보고서는 아동노동이 만연한 지역에서 코발트를 구입한 유통업자들이 중국계 대형 광산기업 저장화유코발트주식회사(Chinese mineral giant Zhejiang Huayou Cobalt Ltd)의 완전자회사인 콩고동방광업(Congo Dongfang Mining, CDM)에 판매하는 과정을 기록했다.

국제앰네스티의 투자문서 조사 결과 화유코발트와 자회사 CDM은 코발트 원석을 가공해 중국과 한국의 배터리 부품업체 3곳에 납품하고 있었다. 이 업체들이 이후 배터리 제조사로 부품을 판매하고, 이렇게 생산된 배터리가 애플, 마이크로소프트(Microsoft), 삼성, 소니, 다임러(Daimler), 폭스바겐(Volkswagen) 등의 기술 및 자동차기업에 공급된다.

국제앰네스티는 화유코발트가 가공한 코발트를 사용하는 배터리 제조사로부터 부품을 구매하는 것으로 알려진 16개 다국적기업과 접촉했다. 이 중 한 곳은 관련성을 인정했지만, 4개 기업은 콩고민주공화국이나 화유코발트로부터 코발트를 공급받았는지에 대해 확실한 답변을 내놓지 못했다. 6개 기업은 이러한 주장에 대해 조사 중이라고 밝혔고, 5개 기업은 배터리 제조업체의 관련 문서에 납품처로 기록되어 있었음에도 화유코발트로부터 코발트를 공급받지 않고 있다고 부인했다. 2개 기업은 콩고민주공화국산 코발트를 사용하지 않는다고 밝혔다.

그러나 결정적으로, 어떤 기업도 자사 제품에 사용된 코발트의 생산지를 독립적으로 확인할만한 구체적인 내용은 제공하지 못했다.

“세계에서 가장 부유하고 혁신적이라 꼽히는 기업들이 부품 자재의 원산지를 공개하지도 않고 최첨단 장치를 판매할 수 있다는 것은 디지털 시대의 커다란 모순”
– 엠마누엘 움풀라, 아프리워치(아프리카 자원 감시단) 국장

엠마누엘 움풀라(Emmaunel Umpula) 아프리워치(Afrewatch, 아프리카 자원 감시단) 국장은 “세계에서 가장 부유하고 혁신적이라 꼽히는 기업들이 부품 자재의 원산지를 공개하지도 않고 최첨단 장치를 판매할 수 있다는 것은 디지털 시대의 커다란 모순”이라며 “광산에서의 인권침해가 무관심 속에 잊혀지고 있는 것은 오늘날의 세계 시장 소비자들이 광산과 공장, 생산 라인의 환경에 대해 전혀 알지 못하기 때문이다. 조사 결과 유통업자들도 원산지와 채굴 방법에 대해서는 전혀 묻지 않은 채 코발트를 매입하고 있었다”고 말했다.

위험한 광산과 아동노동

콩고민주공화국은 세계 코발트 생산량의 최소 50% 이상을 차지하고 있다. 이곳에서 주로 광물을 제련하는 업체는 화유코발트의 자회사 CDM으로, 화유코발트는 자사 코발트의 40% 이상을 콩고민주공화국에서 조달한다.

CDM이 코발트를 매입하는 지역의 광부들은 장기적인 건강피해와 치명적인 사고가 발생할 매우 높은 위험을 감수하고 있다. 2014년 9월부터 2015년 12월 사이에만 콩고민주공화국 남부 지역의 최소 80명이 넘는 영세 광부들이 지하 탄광에서 목숨을 잃었다. 대부분의 사고가 알려지지 않은 채 무마되고, 시신은 무너진 잔해 속에 방치되기 때문에 실제 사망자 수는 알 수 없다.

또한 국제앰네스티 조사관들은 대다수의 광부들이 폐질환 또는 피부염으로부터 보호할 장갑이나 작업복, 마스크와 같은 가장 기본적인 보호장비조차도 없이 매일 장시간 코발트와 접촉하고 있다는 점도 파악했다.

국제앰네스티와 인터뷰를 나눈 어린이들은 광산에서 하루에 12시간 이상 무거운 돌 더미를 옮기고 일당 1~2달러를 받으며 일하고 있다고 전했다. 유니세프(UNICEF, 유엔아동기금)는 2014년 콩고민주공화국 남부 전역의 어린이 약 4만 명이 광산에서 일을 했고, 그 중 많은 수가 코발트 광산이었다고 발표했다.

14세 폴(Paul)은 12세 때부터 광산에서 일을 시작했다. 폴은 지하에서 오랫동안 일을 한 탓에 계속해서 몸이 아프다고 했다.

“탄광에서 24시간을 보낼 때가 많아요. 아침에 들어와서 다음 날 아침에 나가는 거죠. … 갱도 안에서의 생활에 적응할 수밖에 없었어요. … 양어머니께선 학교에 보내주려고 하셨는데, 양아버지가 반대해 탄광에서 일을 하게 했어요.”

“현실에서 그들은 거의 한 푼도 없이 등골 휘는 절망적인 삶을 살아가고 있다. 대기업은 이러한 현실을 변화시킬 힘이 있다”
– 마크 더멧, 국제앰네스티 기업과 인권 조사관

마크 더멧 조사관은 “탄광 노동은 건강과 안전을 위협하는 환경 때문에 최악의 아동노동 형태로 꼽힌다. 세계적으로 총 1,250억달러의 수익을 올리고 있는 기업들이 자사 제품에 쓰이는 주요 원자재가 어디서 나오는지도 점검하지 못한다고 주장하기엔 신뢰성이 없다”며 “전기자동차나 스마트폰의 배터리에 쓰이는 기본적인 광물을 채광하는 것은 광부들에게 부의 원천이 되어야 하지만, 현실에서 그들은 거의 한 푼도 없이 등골 휘는 절망적인 삶을 살아가고 있다. 대기업은 이러한 현실을 변화시킬 힘이 있다”고 말했다.

공급망 추적 – 부끄러운 기업

국제앰네스티와 아프리워치 조사관들은 2015년 4월과 5월 콩고민주공화국 남부 지역의 5개 광산에서 어린이 17명을 포함한 전, 현직 코발트 광부 87명과 인터뷰를 가졌다. 또한 코발트 유통업자 18명과도 이야기를 나누고, 광부와 업자들의 차량을 따라 광산에서 코발트 광석을 구입해 시장에서 대형 기업에 판매하는 과정을 추적했다. 이렇게 광석을 매입하는 기업 중 가장 규모가 큰 곳은 화유코발트의 콩고계 자회사인 CDM이다.

화유코발트는 중국의 닝보샨샨(Ningbo Shanshan)과 톈진바모(Tianjin Bamo), 한국의 엘엔에프신소재(L&F Materials) 등 3곳의 리튬이온배터리 부품업체에 코발트를 공급하고 있다. 3개 업체는 2013년 화유코발트로부터 최소 미화 9,000만달러 이상 규모의 코발트를 매입했다.

이어 국제앰네스티는 이들 3개 업체로부터 직, 간접적으로 부품을 구매하는 것으로 나타난 다국적 소비재기업 16개곳과 연락을 시도했다. 국제앰네스티의 연락을 받기 이전부터 화유코발트와 연락을 주고받거나 자사 제품에 쓰인 코발트의 원산지를 추적했다고 밝힌 곳은 한 곳도 없었다.

이번 보고서는 코발트 공급망을 이용하는 기업들이 공급망에서 대두되는 인권 위험요소에 대응하지 못하고 있음을 보여주고 있다.

현재 세계 코발트 시장에는 아무런 규제도 존재하지 않는다. 미국의 현행 ‘분쟁 광물’ 규정에 따르면 콩고민주공화국에서 생산되는 금, 탄탈룸, 주석, 텅스텐은 규제 대상이 되지만, 코발트는 포함되지 않는다.

“연락을 시도한 다국적기업 중 다수가 아동노동에 대해서는 무관용 정책으로 임할 것이라고 밝혔다. 그러나 기업이 공급망 조사를 하지 않는다면 이러한 약속은 그저 말뿐으로 아무런 의미가 없다. 이들의 주장은 전혀 신뢰성이 없다”
– 마크 더멧, 국제앰네스티 기업과 인권 조사관

마크 더멧 조사관은 “연락을 시도한 다국적기업 중 다수가 아동노동에 대해서는 무관용 정책으로 임할 것이라고 밝혔다. 그러나 기업이 공급망 조사를 하지 않는다면 이러한 약속은 그저 말뿐으로 아무런 의미가 없다. 이들의 주장은 전혀 신뢰성이 없다”며 “기업이 원자재로 쓰이는 광물의 생산지와 공급자에 대해 점검하고 그 정보를 공개적으로 밝히도록 규정하는 법률이 마련되지 않는다면 이러한 기업들은 계속해서 인권침해로 수익을 창출할 것이다. 각국 정부는 기업이 절망으로 수익을 얻는 투명성 부족을 해결해야 한다”고 말했다.

국제앰네스티와 아프리워치는 자사 제품에 리튬이온배터리를 사용하는 다국적기업에게 인권 주의의무를 수행할 것과, 코발트가 위험한 환경에서 아동노동 착취로 채굴되고 있는지 조사할 것, 자사 공급망을 더욱 투명하게 관리할 것을 촉구한다.

또한 중국 정부에도 해외에서 사업을 진행하는 채광기업에 대해 공급망을 조사하고 기업활동 중 발생하는 인권침해 문제를 해결하도록 의무화할 것을 촉구한다. 화유코발트는 거래하는 코발트의 원산지와 채굴 및 유통 과정 관련자들을 확인하고, 아동노동 착취 또는 위험한 환경에서 채굴된 코발트를 매입해서는 안된다.

“기업은 공급망에서 인권 위험 요소가 확인되었다고 해서 콩고민주공화국산 코발트를 금수 조치하거나 공급자와의 거래를 중단하는 것이 아니라, 인권침해로 피해를 입은 사람들에 대해 구제에 나서야 할 것이다.”
– 마크 더멧, 국제앰네스티 기업과 인권 조사관

마크 더멧 조사관은 “기업은 공급망에서 인권 위험 요소가 확인되었다고 해서 콩고민주공화국산 코발트를 금수 조치하거나 공급자와의 거래를 중단하는 것이 아니라, 인권침해로 피해를 입은 사람들에 대해 구제에 나서야 할 것이다.”라고 말했다.

영어전문 보기

Exposed: Child labour behind smart phone and electric car batteries

Major electronics brands, including Apple, Samsung and Sony, are failing to do basic checks to ensure that cobalt mined by child labourers has not been used in their products, said Amnesty International and Afrewatch in a report published today.

The report, “This is what we die for: Human rights abuses in the Democratic Republic of the Congo power the global trade in cobalt”, traces the sale of cobalt, used in lithium-ion batteries, from mines where children as young as seven and adults work in perilous conditions.

“The glamourous shop displays and marketing of state of the art technologies are a stark contrast to the children carrying bags of rocks, and miners in narrow manmade tunnels risking permanent lung damage,” said Mark Dummett, Business & Human Rights Researcher at Amnesty International.

“Millions of people enjoy the benefits of new technologies but rarely ask how they are made. It is high time the big brands took some responsibility for the mining of the raw materials that make their lucrative products.”

The report documents how traders buy cobalt from areas where child labour is rife and sell it to Congo Dongfang Mining (CDM), a wholly-owned subsidiary of Chinese mineral giant Zhejiang Huayou Cobalt Ltd (Huayou Cobalt).

Amnesty International’s investigation uses investor documents to show how Huayou Cobalt and its subsidiary CDM process the cobalt before selling it to three battery component manufacturers in China and South Korea. In turn, they sell to battery makers who claim to supply technology and car companies, including Apple, Microsoft, Samsung, Sony, Daimler and Volkswagen.

Amnesty International contacted 16 multinationals who were listed as customers of the battery manufacturers listed as sourcing processed ore from Huayou Cobalt. One company admitted the connection, while four were unable to say for certain whether they were buying cobalt from the DRC or Huayou Cobalt. Six said they were investigating the claims. Five denied sourcing cobalt from via Huayou Cobalt, though they are listed as customers in the company documents of battery manufacturers. Two multinationals denied sourcing cobalt from DRC.

Crucially, none provided enough details to independently verify where the cobalt in their products came from.

“It is a major paradox of the digital era that some of the world’s richest, most innovative companies are able to market incredibly sophisticated devices without being required to show where they source raw materials for their components,” said Emmanuel Umpula, Afrewatch (Africa Resources Watch) Executive Director.

“The abuses in mines remain out of sight and out of mind because in today’s global marketplace consumers have no idea about the conditions at the mine, factory, and assembly line. We found that traders are buying cobalt without asking questions about how and where it was mined.”

Fatal mines and child labour

The DRC produces at least 50% of the world’s cobalt. One of the largest mineral processors in the country is Huayou Cobalt subsidiary CDM. Huayou Cobalt gets more than 40% of its cobalt from DRC.

Miners working in areas from which CDM buys cobalt face the risk of long-term health damage and a high risk of fatal accidents. At least 80 artisanal died underground miners in southern DRC between September 2014 and December 2015 alone. The true figure is unknown as many accidents go unrecorded and bodies are left buried in the rubble.

Amnesty International researchers also found that the vast majority of miners spend long hours every day working with cobalt without the most basic of protective equipment, such as gloves, work clothes or facemasks to protect them from lung or skin disease.

Children told Amnesty International they worked for up to 12 hours a day in the mines, carrying heavy loads to earn between one and two dollars a day. In 2014 approximately 40,000 children worked in mines across southern DRC, many of them mining cobalt, according to UNICEF.

Paul, a 14-year-old orphan, started mining at the age of 12. He told researchers that prolonged time underground made him constantly ill:

“I would spend 24 hours down in the tunnels. I arrived in the morning and would leave the following morning … I had to relieve myself down in the tunnels … My foster mother planned to send me to school, but my foster father was against it, he exploited me by making me work in the mine.”

“The dangers to health and safety make mining one of the worst forms of child labour. Companies whose global profits total $125 billion cannot credibly claim that they are unable to check where key minerals in their productions come from,” said Mark Dummett.

“Mining the basic materials that power an electric car or a smartphone should be a source of prosperity for miners in DRC. The reality is that it is a back-breaking life of misery for almost no money. Big brands have the power to change this.”

Following the supply chain – corporate shame

Amnesty International and Afrewatch researchers spoke to 87 current and former cobalt miners, 17 of them children, from five mine sites in southern DRC in April and May 2015. They also interviewed 18 cobalt traders and followed vehicles of miners and traders as they carried cobalt ore from mines to markets where larger companies buy the ore. The largest of them is Huayou Cobalt’s Congolese subsidiary CDM.

Huayou Cobalt supplies cobalt to three lithium-ion battery component manufacturers Ningbo Shanshan and Tianjin Bamo from China and L&F Materials from South Korea. These three battery component manufacturers bought more than US$90 million worth of cobalt from Huayou Cobalt in 2013.

Amnesty International then contacted 16 multinational consumer brands listed as direct or indirect customers of the three battery component manufacturers. None said they had been in touch with Huayou Cobalt or traced where the cobalt in their products had come from prior to Amnesty International’s contact.

The report shows that companies along the cobalt supply chain are failing to address human rights risks arising in their supply chain.

Today there is no regulation of the global cobalt market. Cobalt does not fall under existing “conflict minerals” rules in the USA, which cover gold, coltan/tantalum, tin and tungsten mined in DRC.

“Many of these multinationals say they have a zero tolerance policy for child labour. But this promise is not worth the paper it is written when the companies are not investigating their suppliers. Their claim is simply not credible,” said Mark Dummett.

“Without laws that require companies to check and publicly disclose information about where they source minerals and their suppliers, companies can continue to benefit from human rights abuses. Governments must put an end to this lack of transparency, which allows companies to profit from misery.”

Amnesty International and Afrewatch are calling on multinational companies who use lithium-ion batteries in their products to conduct human rights due diligence, investigate whether the cobalt is extracted under hazardous conditions or with child labour, and be more transparent about their suppliers.

The organizations are also calling on China to require Chinese extractive companies operating overseas to investigate their supply chains and address human rights abuses in their operations. The organizations say Huayou Cobalt should confirm who is involved in mining and trading its cobalt (and where) and make sure it is not buying cobalt mined by child labour or in dangerous conditions.

“Companies must not simply discontinue a trading relationship with a supplier or embargo DRC cobalt once human rights risks have been identified in the supply chain. They must take remedial action on the harm suffered by people whose human rights were abused,” said Mark Dummett.