오픈넷, 시티즌랩과 함께 KT와 LGU+ 스마트폰 감시 앱의 취약점 밝혀

– 4차에 걸친 청소년 스마트폰 감시 앱 보안감사 보고서를 통해 총 5개 감시 앱의 취약점 공개

– 청소년 보호를 위한 수단이 오히려 청소년을 위험에 처하게 함이 드러나

한국 시간으로 11월 27일 저녁, 사단법인 오픈넷은 캐나다 토론토 대학교 시티즌랩과 함께 KT와 LGU+의 스마트폰 감시 앱인 ‘KT 자녀폰 안심’과 ‘U+ 자녀폰 지킴이’에 대한 보안감사 보고서를 발표했다. 한국의 청소년 스마트폰 감시 앱에 대한 4차 보고서인 이번 보고서에서는 앞서 세 건의 보고서와 마찬가지로 감시 앱들이 보안에 매우 취약함을 밝혀냈다.

2015년 4월 16일부터 시행된 개정 전기통신사업법 제32조의7 및 전기통신사업법 시행령 제37조의8은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 유해정보에 대한 차단수단을 제공할 것을 강제하고 있다. 일명 ‘청소년스마트폰 감시법’에 의하면 이통사는 청소년의 스마트폰에 유해매체물 차단 앱을 설치해야 하며, 설치 후에는 앱이 삭제되지 않도록 지속적으로 모니터링을 해야 한다. 이렇게 부모의 동의도 필요 없이 감시 앱의 설치를 강제하는 법은 세계 최초이다. 오픈넷은 스마트폰 감시법의 청소년 프라이버시와 부모 교육권 침해 문제를 지속적으로 지적해왔으며 작년 8월에는 스마트폰 감시법에 대해 헌법소원을 청구한 바 있다.

오픈넷, 시티즌랩, 독일의 보안감사 전문회사 큐어53(Cure53)이 공동 작업한 이번 보고서는 우리나라 주요 이통사인 KT와 LGU+의 감시 앱인 U+ 자녀폰 지킴이와 KT 자녀폰 안심을 대상으로 했다. 두 앱 모두 플랜티넷이라는 유해콘텐츠 차단서비스 전문 회사가 개발했는데, 코드가 거의 동일하며 둘 다 이용자의 개인정보가 저장된 서버에 무단 접근을 가능하게 하는 치명적인 보안 결점이 있었다.

보안감사를 주도한 큐어53의 Fabian Faessler 연구원은 “우리가 발견한 취약점에 의해 개인정보가 유출되는 건 시간문제일 뿐이다. 앱에 저장된 개인정보를 포함한 내부 데이터에의 접근을 가능하게 하기 때문이다”라고 말했다.

연구진은 취약점을 발견한 후 각 회사에 보안감사 결과를 고지하려 했으나, 회사들이 감사 결과를 인정하고 취약점을 수정하게 만드는 데 큰 어려움을 겪었다. 아무런 회신을 주지 않은 LGU+를 상대로는 한국인터넷진흥원(KISA)의 S/W 신규 취약점 신고 제도를 활용하는 등 1년 넘게 다각도로 노력한 끝에 두 앱의 취약점이 수정되어 마침내 본 보고서를 발표할 수 있게 되었다.*

시티즌랩의 Masashi Crete-Nishihata 연구팀장은 “플랜티넷, LGU+, 그리고 KT에게 취약점을 알리는 과정에서의 실망스러운 경험은 회사들이 이용자 보호에 더 적극적이고 책임감있게 나서야 함을 명백히 보여준다”고 설명했다.

이로써 4차에 걸친 보안감사 보고서를 통해 연구진은 스마트보안관, 사이버안심존, 스마트안심드림, KT 자녀폰 안심, U+ 자녀폰 지킴이 총 5개의 청소년 스마트폰 감시 앱을 분석했고 모든 앱에서 치명적인 보안 문제들을 발견했다. 이는 애초에 감시 앱들이 보안이나 프라이버시를 전혀 염두에 두지 않고 설계되었으며, 단순히 한 개발자나 판매자에 국한되는 문제가 아니라 한국의 감시 앱 산업 전반에 구조적인 보안 문제가 있음을 보여주는 것이다.

청소년들을 온라인에서 범람하는 유해매체물과 음란물로부터 보호해야 한다는 점에 대해서는 논란의 여지가 없으나, 국가가 청소년처럼 사회의 취약한 집단에게 특정의 보호조치를 강제하고자 할 때에는 그러한 보호조치가 진정으로 필요한 것인지 내지 안전한지에 대한 철저한 검증이 있어야 할 것이다. 그런 점에서 청소년 스마트폰 감시법은 처음부터 잘못 끼운 단추이다.

오픈넷이 트위터와 페이스북 등 SNS 사용자를 대상으로 하여 벌인 설문조사 결과에 의하면 청소년 스마트폰 감시 앱에 대해 부모와 자녀 다수가 부정적으로 생각하는 것으로 나타났다. 응답자들은 청소년 관리앱이 청소년의 자율성이나 부모의 선택권을 침해하는 것으로 보았으며, 유해정보 차단 효과도 크지 않다고 대답했다. 이러한 앱을 강제하는 ‘청소년 스마트폰 감시법’에 대해서는 폐지되어야 한다는 의견이 압도적이었다.

정부는 2016년 12월 부모의 거부권(opt-out)을 인정하는 전기통신사업법 개정안을 제출했다. 하지만 이 개정안에는 청소년을 보안 위협에 노출시키는 감시 앱 자체의 위험성은 전혀 반영되어 있지 않다. 전 세계 유일무이 감시 앱 강제법인 청소년 스마트폰 감시법을 폐지하고 부모와 자녀 간의 대화와 이해 그리고 충분한 정보를 바탕으로 이용자들이 자율적으로 감시 앱 설치 여부를 결정할 수 있도록 하는 게 가장 바람직한 개선책일 것이다.

2017년 11월 29일

사단법인 오픈넷

[관련 글]

• 없는 편이 더 안전한 ‘청소년 스마트폰 감시 앱’ (허프포스트코리아 17.9.20.)
• [웹툰 및 권고] 없는 편이 더 안전해!: 한국의 청소년 스마트폰 감시 앱
• [보도자료] 오픈넷, 방송통신위원회의 전기통신사업법 개정안에 대한 반대의견 제출 (2016.12.26.)
• [논평] 오픈넷, 시티즌랩과 함께 청소년 스마트폰 감시 앱에 대한 보안감사 보고서 발표 (2017.9.12.)
• [논평] 부모와 청소년 모두에게 외면받는 ‘청소년 스마트폰 감시법’ (2017.2.2.)
• [논평] 오픈넷, 청소년 스마트폰 감시법에 대해 헌법소원 청구 – 전기통신사업법상 차단수단 설치의무 조항은 청소년과 부모의 기본권 침해 (2016.8.30.)
• [논평] 스마트보안관이여 잘 가시오! 이제는 청소년 스마트폰 감시법의 폐지를 논의할 때! (2015.11.3.)
• [논평] 한국의 청소년들을 위험에 빠뜨리는 스마트보안관 서비스는 즉시 중단되어야 (2015.9.21.)
• [논평] ‘딸통법’ 및 ‘청소년 스마트폰 감시법’ 시행 주의보 (2015.4.15.)
•  스마트보안관은 사라졌지만 감시는 계속된다 (슬로우뉴스 2015.11.16.)

윤영석 의원의 모바일 정보격차 해소법을 환영한다

정보접근성 강화하는 국가정보화 기본법 개정안 발의에 부쳐

지난 4월 5일 자유한국당 윤영석 의원은 국가정보화 기본법 개정안을 발의했다. 주요 내용은 장애인·고령자 등의 정보격차를 해소하기 위해 규정한 ‘웹 접근성’을 웹사이트뿐만 아니라 모바일 응용 소프트웨어를 포함하는 ‘정보접근성’으로 확대하고 정보접근성 품질인증 제도를 도입하는 것이다. 스마트폰 시대에 모바일 애플리케이션 접근성이 웹 접근성 이상으로 중요해지고 있기에 사단법인 오픈넷은 정보소외계층의 모바일 접근성을 강화하는 해당 개정안을 적극 지지한다.

‘웹 접근성(web accessibility)’이란 장애인, 고령자뿐만 아니라 “어떠한 사용자가 어떠한 기술환경에서도 전문적인 능력 없이 웹사이트에서 제공하는 모든 정보에 접근할 수 있도록 보장하는 것”이다. 현 국가정보화 기본법은 제32조 제1항에서 “국가기관등은 인터넷을 통하여 정보나 서비스를 제공할 때 장애인·고령자 등이 쉽게 웹사이트를 이용할 수 있도록 접근성을 보장하여야 한다”라고 하여 웹 접근성에 대해 규정하고 있다. 또한 장애인차별금지 및 권리구제 등에 관한 법률(이하 “장애인차별금지법”)에서는 공공기관, 교육기관 등의 웹사이트에 대한 접근성 보장을 법적 의무로 하고, 악의적 차별행위에 대해서는 형벌을 부과하도록 하고 있다.

약 10년 전 웹 접근성 보장 제도를 도입하고 관련 부처가 노력을 기울인 결과 웹 접근성 수준은 전반적으로 향상되어 왔다. 하지만 공공기관에 비해 민간 기관·기업의 웹 접근성 수준은 여전히 낮은 편이다. 2012년 시각장애인들은 대한항공의 홈페이지가 웹 접근성 지침을 준수하지 않아 장애인차별금지법을 위반했다며 손해배상 청구소송을 제기하기도 했다. 또한 웹 접근성 품질인증 제도가 있음에도 품질인증을 획득한 웹사이트나 모바일 애플리케이션은 극소수에 불과하다. (오픈넷이 반대해왔던 정보보호관리체계(Information Security Management System, ISMS) 인증 등의 강제적인 인증과 달리 웹 접근성이나 정보접근성 품질인증 제도는 전적으로 자율적인 인증이며 사전 규제에 해당하지 않으므로 긍정적인 제도로 평가할 수 있다.)

인터넷 이용 환경이 웹에서 모바일로 빠르게 전환되는 상황에서 모바일 접근성의 수준은 계속 낮은 것으로 나타나고 있다. 이번 개정안을 통해 접근성의 대상을 확대한다고 해도 하루아침에 모바일 정보격차가 해소되지는 않을 것이다. 정보접근성이 완전하게 보장되는 날이 올 때까지 정부, 공공기관, 사업자, 시민사회 등 각계 각층의 지속적인 관심과 노력이 필요하다. 또한 국회입법조사처가 제시한 바 있듯이 정부는 실제 이용자인 장애인, 고령자 등의 의견을 수렴하여 정책 수립과 평가에 반영해야 할 것이며 정보접근성을 최우선 과제로 삼아 예산을 투자해야 할 것이다.

신체적인 제약이 정보 접근에 어떠한 장애도 되지 않는 온라인 세상을 만들어나가는 한 걸음이 될 모바일 정보격차 해소법의 조속한 입법을 기대한다.

2017년 4월 18일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

우리나라 망중립성의 방향에 대한 정책토론회 개최 안내

– 2017. 9. 7. (목) 오후 2시, 국회 의원회관 제8간담회의실

다시 망중립성이 화두로 떠오르고 있습니다.

미국 트럼프 정부의 망중립성 완화 움직임에 따라 FCC 웹사이트에 망중립성 완화를 반대하는 미국 시민들의 의견 접수가 줄을 이었다는 외신이 화제가 되고 있기도 합니다.

그렇다면 우리나라의 망중립성 정책은 어떤 방향으로 나아가야 할까요?

최근 이동통신사들은 통신비 인하 정책의 반대 급부로 망중립성을 완화해달라는 취지의입장을 표명 중이며, 제로레이팅이 통신비 인하의 훌륭한 대안인 것처럼 주장하고 있습니다. 그러나 과연 우리나라의 망중립성 정책이 지금 망중립성 “완화”를 이야기할 위치에 있기나 한 것일까요? 제로레이팅이 과연 보편적 통신비 인하의 수단이기는 할까요?

과거 이동통신사의 보이스톡 차단으로 촉발된 우리나라 망중립성의 현 주소는 아직 이동통신사가 경제적 이유를 근거로 mVoIP 데이터 송수신을 차단해도 위법이 아니라는 수준에 머물러 있습니다. 최근에는 이른바 ‘플랫폼 중립성’이라는 개념을 들어 이동통신사에 대한 망중립성 규제의 칼끝을 다른 곳으로 돌리려는 시도도 목격되고 있습니다.

사단법인 오픈넷은 망중립성 강화 법안을 19대, 20대에 걸쳐 발의한 국회의원 유승희 의원실과 공동으로 우리나라 망중립성의 방향에 대한 정책토론회를 준비하였습니다. 우리나라 망중립성 정책의 미래에 관심있는 분들의 많은 참여 부탁드립니다.

– 참가신청: https://goo.gl/forms/goXNvfHUH3mHpsGg1

문의: 오픈넷 사무국 02-581-1643, [email protected]