국민의 세금으로 운영되는 국가기관인 국가정보원이 스파이웨어를 구매하여 민간인을 사찰했다는 의혹이 해소되지 않고 있습니다.
이에 이탈리아 해킹팀 자료 유출로 드러난 국정원의 해킹식 감시·감청에 대한 전반적인 법률문제와 해결 방안, 해외 민간인 사찰 사례 소개, RCS의 민간인 사찰 악용사례, 이에 대한 외국(유럽연합)의 대응 등을 살펴보고자 합니다.
또한 국정원이 배포한 스파이웨어에 감염된 불특정 다수의 국민들은 국정원이나 해킹팀이 아니더라도 제3자에게 사이버 공격을 당할 위험에 놓이게 됩니다. 이에 시민들이 자발적으로 참여한 ‘국민 백신 프로젝트’를 통해 개발된 백신 프로그램의 베타버전을 공개하고 향후 계획을 발표합니다.
순서
[제1 세션] 국가기관의 해킹툴 사용의 위법성과 해결 방안
[제2 세션] 오픈 백신 프로그램 베타버전 발표
[제3 세션] 이탈리아 해킹팀의 스파이웨어를 이용한 민간인 사찰 해외 사례 및 국제사회의 대응
※ 제3세션은 참여자 섭외 결과에 따라 변동될 수 있습니다.
문의: 오픈넷 사무국 02-581-1643, [email protected]
테러방지법(이철우 의원 대표발의 및 주호영 의원 수정안)은 “UN이 지정한 테러단체”의 조직원 또는 “테러예비·음모·선전·선동을 하였거나 하였다고 의심할 상당한 이유가 있는 자”(이하 “테러위험인물”)에 대한 처벌과 원활한 조사를 위한 법이다. 한편 이 법에 따르면 “테러”는 ’정부, 지자체, 외국정부, 국제기구
모든 민주주의 국가에서는 국민은 재판을 통해 죄가 입증되기 전까지는 무죄추정의 원칙으로 보호를 받되, 범죄연루의 개연성을 수사진행에 이해관계를 가지지 않은 공직자, 즉 판사가 서면으로 확인한 경우(영장)에만 감청, 압수수색 등 국민의 프라이버시를 침해하는 조사를 할 수 있도록 되어 있다. 그러나 테러방지법 하에서는 판사의 영장을 통하지 않고 그런 조사를 받을 위험이 존재한다.
테러방지법 제9조 제3항에서는 “국가정보원장은 테러위험인물에 대한 개인정보(…‘민감정보’ 포함…)와 위치정보를…‘개인정보처리자’와…‘위치정보사업자’에게 요구할 수 있다”라고 되어 있는데 영장 등 아무런 절차적 제한이 없다. 특히 여기서 개인정보나 위치정보의 범위에 아무런 제한이 없어 통신의 내용, 비밀리에 보관된 정보도 모두 포함되는 것으로 보인다.
“사업자에게. . .요구할 수 있다”라고만 되어 있을 뿐 사업자들이 정보를 “제공해야 한다”라고 되어 있지 않아 일견 강제성이 없다는 이유로 방만하게 조문화된 것으로 보인다. 그러나 형사소송법 제199조제2항(“. . .요구할 수 있다”)와 전기통신사업법 제83조제3항(“. . .제공할 수 있다”)도 제9조제3항과 비슷하게 조문화되어 있지만, 관련 정보처리자들은 수사기관이 요구한 정보를 거의 100% 제공하고 있어 강제적인 조항이 있는 것과 결과적으로 다를 바가 없다. 이동통신사들이 의무조항이 아닌데도 매년 1천만 건 이상의 통신자료를 수사기관 등에 대부분 제공하고 있는 상황을 보면 (최원식 의원 2015년 8월27일 보도자료, “2012~2014년 한해 평균 1천14만568건) 국정원의 요청 역시 기계적으로 모두 응할 가능성이 높고, 이때 범죄와 무관한 사람들의 정보가 무차별적으로 수사기관에 넘겨지게 될 것이다.
위 현상의 문제점은 반복적으로 지적되어 왔으며, 오픈넷은 정청래 의원과 함께 공공기관이 임의로 개인정보를 수사기관에 제공하는 경우 통지해야 한다는 내용의 개정안을 발의한 바 있다. 또한 통신자료제공에 대해서도 참여연대 공익법센터와 함께 ’이통사에게 물어보기 캠페인‘을 진행해서 수천 건의 통신자료제공 사례를 밝혀낸 바 있으며, 작년 11월 UN인권위원회는 전기통신사업법 조항에 대해서는 폐지를 권고한 바 있다. 특히 이용자 식별정보에만 한정된 통신자료제공과 달리 테러방지법 제9조제3항은 통신의 내용도 포함할 수 있어 더욱 심각하다.
물론 같은 법 제9조 제1항이 ”. . .정보의 수집에 있어서는 「출입국관리법」, 「관세법」, 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」, 「통신비밀보호법」의 절차에 따른다”고 되어 있지만 이는 강제적인 수집을 할 때에 적용되는 것이고 제9조 제3항은 사업자들의 자발적인 협조를 얻어 정보를 수집하는 제2의 통로를 뚫은 것으로 봐야 한다.
또 동 조항의 제4항에서는 국가정보원장이 “대테러 활동에 필요한 정보나 자료를 수집하기 위하여 대테러 조사 및 테러위험인물에 대한 추적을 할 수 있다”라고 적시하고 있다. 이 역시 “추적”의 의미가 매우 불분명하며 기간, 장소, 방법에 아무런 제한이 없어 해킹팀 RCS까지 포함할 것인지 궁금할 정도이다. 제3항과 제4항 모두 그 흔한 대통령령으로의 위임도 없어 구체적으로 절차나 범위가 제한될 가능성도 없다.
물론, 외국의 테러방지법들도 ’테러’라는 범죄에 대해서 일부 영장주의를 완화하기도 한다. 그러나 우리 국정원은 다른 해외정보기관들과 달리 사이버심리전 수행 권한과 정부 전체의 정보보안사무 권한을 가지고 있는데, 이를 바탕으로 2012년 대선 댓글 개입 및 2015년 밝혀진 해킹팀 RCS 이용도 가능하였다. 또 통신내용의 취득이 영장 없이 대규모로 이루어지는 사례를 찾아보기는 힘든데 바로 그런 위험이 있는 것이다. 스노우든이 폭로한 프리즘 수사도 미국법원의 영장에 의해 집행되었다.
우리나라와 같이 국가후견주의가 강한 나라에서는 ”합법적인 요구”와 ”강제적인 요구”가 잘 구분이 되지 않고 있으며, 관의 ”합법적인 요구”는 반드시 따라야 한다는 오해가 지배적이다. 개인정보처리자는 국정원이 제9조제3항을 언급하며 요구하는 정보제공에 대해 별다른 고민 없이 응할 가능성이 높은데, ”합법적인 요구”는 반드시 따를 의무가 없으니 사업자들은 정보제공이 필요한지에 대해 스스로 면밀히 판단하여 고객들의 프라이버시 보호에 만전을 기해야 할 것이다. 영장주의라는 민주사회의 프라이버시 보호체제를 무시하는, 수사기관의 영장 없는 개인정보제공 요구 시 개인정보처리자는 정보제공 판단에 신중을 기해야 할 것이다.
2016년 3월 7일
사단법인 오픈넷
문의: 오픈넷 사무국 02-581-1643, master@
참여연대, 오픈넷 공동주최
위 캠페인이 진행된 이후 이통사들이 정책을 바꿔 응대를 하고 있습니다. 여러분들의 노력이 결실을 맺고 있습니다! 아래에서는 이통사별로 수사기관에 내 통신자료를 제공한 사실이 있는지(!) 확인하는 방법을 안내드립니다.
통신자료 제공내역을 받으시면 저희 오픈넷 사무국 02-581-1643, [email protected] 을 통해 편하신 방법으로 자료를 전달해주세요.
[2016년 3월 최신 업데이트]
1. 홈페이지(www.tworld.co.kr) 로그인을 합니다.
2. 페이지 하단 <이용내역조회> 클릭합니다.
3. 개인정보이용내역조회 클릭합니다.
4. 7.통신자료제공사실열람요청합니다.
5. 본인인증(이동전화 선택이 용이)을 합니다.
6. 개인정보수집동의 및 안내사항 확인후 통신자료제공사실 확인서를 요청합니다.
이렇게 신청하면 신청한 메일 주소로 7일 뒤 결과가 온다고 합니다.
메일로 전송된 PDF파일을 클릭하고, 비밀번호(생년월일 6자리)를 입력하면 확인해볼 수 있습니다.
1. 홈페이지(https://help.olleh.com/custom/custom.do) 들어가서 로그인을 합니다.
2. 홈페이지 하단에 <주요안내란>을 클릭합니다.
3. 통신자료 제공내역을 클릭합니다. (화살표를 클릭해 우측으로 이동해야 이 메뉴가 보입니다)
4. 본인인증을 받습니다.
5. 정보 수정(통신자료 제공내역 열람신청)을 합니다.
그로부터 1~2일 뒤, 신청한 이메일로 내역 발송 회신 옵니다.
1. 홈페이지(LGU+ http://www.uplus.co.kr/) 접속해서 로그인합니다.
2. 하단에 ‘개인정보이용내역’을 클릭합니다.
3. 통신자료 제공사실 열람 신청을 합니다.
4. 인증절차를 기입합니다.
5. 개인정보를 입력합니다.
6. 신청 완료하면 일주일 뒤에 회신이 옵니다.
===============================================
* 아래는 구 버전(2015.02.27.)입니다. 위의 최신 업데이트 방법으로 통신자료제공내역을 확인해주세요.
- SKT의 경우(전화신청 및 1회방문):
1. 본인 휴대폰으로 114에 전화해 상담사 연결해서 ‘통신자료 제공내역 확인’ 요청하면 본인확인 후 구두로 ‘통신자료 제공내역 확인’ 신청할 수 있음.
*영업일 3일 후에 특정 지점에 내방하라고 안내받음. 여기서 “지점”은 전국에 40여개밖에 없는 것으로 400여개가 있는 “직영점”과 다름.
2. 신분증 지참 후 114에서 안내받은 점포로 안내된 시간(영업일 3일)이 지난 후 방문하여 통신자료 제공내역 수령함 (지점에서 수령 직전에 기록보관용을 확인요청서 작성을 요청해올 수 있는데 응해줘도 될 듯)
3. 통신자료 제공내역을 오픈넷에 전달 → 오픈넷에서 검토 후 개별 연락
*실제 제공 내역이 없어도 알려주시면 감사하겠습니다.
※ ‘지점’ 찾기: http://www.tworld.co.kr/normal.do?serviceId=S_CMIS0001&viewId=V_CENT0099#sthash.75peCkaz.dpuf
- KT의 경우(2회 방문 필요):
1. 휴대폰으로 114에 전화해 상담사 연결해서 ‘통신자료 제공내역 확인’이 가능한 올레플라자 지점 안내 요청
2. 가까운 올레플라자 지점 방문해 “통신자료 제공내역 확인신청서” 작성해서 제출(처리기간 3~4일 정도 소요), 담당자 이름과 연락처 알아두기
3. 신청서 제출 후, 올레플라자에서 연락이 오면 신분증 지참 후 통신자료 제공내역 수령
4. 통신자료 제공내역을 오픈넷에 전달 → 오픈넷에서 검토 후 개별 연락
5. 올레플라자에서 연락이 오지 않을 경우, 담당자에게 독촉하여 통신자료 제공내역 받기
※ ‘올레플라자’ 찾기: http://help.olleh.com/plaza/KtStoreSearch.do#sthash.75peCkaz.dpuf
- LGU+의 경우(2회 방문 필요):
1. 휴대폰으로 114에 전화해 상담사 연결해서 ‘통신자료 제공내역 확인’이 가능한 LGU+ 직영점 안내 요청
2. 가까운 직영점 방문해 “통신자료 제공내역 확인 신청서” 작성해서 제출(처리기간 3~4일 정도 소요), 담당자 이름과 연락처 알아두기
3. 신청서 제출 후, LGU+ 직영점에서 연락이 오면 신분증 지참 후 통신자료 제공내역 수령
4. 통신자료 제공내역을 오픈넷에 전달 → 오픈넷에서 검토 후 개별 연락
5. LGU+ 직영점에서 연락이 오지 않을 경우, 담당자에게 독촉하여 통신자료 제공내역 받기
※ 직영점 찾기: LGU+고객센터(114)로 문의
- 공통유의사항
*’통신자료제공 확인 요청을 할 때 ‘통신자료제공이 된 적이 있다면 통신자료제공 요청을 한 수사기관의 담당부서, 담당수사관, 자료제공요청서 번호도 포함하여 알려달라’고 요청해둘 것. 실제로 통신자료제공이 있었다고 결과가 나오면 이 정보를 이용해서 수사기관에 전화해서 왜 해당 수사기관이 내 신원정보를 가져갔는지 물어볼 수 있음.
*현재 신청일 기준으로 1년이 넘는 통신자료제공 사실은 제공하지 않고 있음. 법해석을 달리해서 그런 것인데 “1년이라는 기간은 정부보고를 위해 대장을 만들어두라는 기간이고 여튼 돈을 내는 고객의 개인정보를 허락없이 외부에 유출했다면 이것은 고객에게 피해를 끼친 기록인데 시간이 지났다고 폐기할 수 있는가”라고 항의해보길 독려함.
- 용어설명
통신자료제공: 수사기관이 수사를 하는 도중 신원미상자가 특정 전화번호를 통해 수사대상 홈페이지에 접속하거나 수사대상자의 전화번호와 교신한 기록이 나왔을 때 그 사람의 신원을 확인하기 위해 해당 전화번호의 가입자정보를 가져가는 것. 결국 수사기관은 통신자료제공요청을 통해 “X라는 사람이 A라는 홈페이지 또는 전화번호와 통화했다”는 사적인 사안을 영장을 통하지 않고 알게되는 것임. 통신사실확인자료는 특정 전화번호가 특정 기간 동안 접속한 홈페이지주소나 전화번호를 법원허가에 따라 모두 가져오는 것이므로 구별되며 감청이나 전기통신압수수색은 통신의 내용을 수사기관이 법원허가나 영장에 따라 받아보는 것이며 3가지 모두 국가가 사후적으로 가입자에게 통지를 하도록 되어 있음. (이 통지를 받은 사람은 오픈넷의 별도 캠페인에 참여할 수 있으므로 역시 연락바람.)
내방하셔서 통신자료 제공내역을 받으시면 저희 오픈넷 사무국 02-581-1643, [email protected] 을 통해 편하신 방법으로 자료를 전달해주세요.
오픈넷이 확인하는 즉시 연락을 드리겠습니다.
바쁜 생활 중에 직영점에 직접 찾아가는 일이 결코 쉽지 않으시겠지만, 여러분의 참여가 고객 정보를 무단으로 제공하는 이통사의 관행을 근절하는 데 큰 도움이 될 것입니다.
번거로우시더라도 시간 나실 때 이통사 지점 방문하셔서 캠페인에 끝까지 동참해주시기 바랍니다.
감사합니다.
오픈넷 사무국 02-581-1643, [email protected]
(사)오픈넷, 진보네트워크센터, P2P재단코리아준비위원회는, 국정원이 이용한 해킹팀(Hacking Team)의 스파이웨어(RCS)에 불특정 다수의 우리 국민들까지 감염되었을 우려에 대응하기 위해 RCS 감염 여부를 포착하고 RCS에 의한 감염을 치유 및 예방하는 프로그램을 개발하는 “국민 백신 프로젝트”를 발족한다. 베타버전은 오는 7월 30일 10시에 공개할 예정이다(국회토론회는 별도의 보도자료 배포).
RCS를 식별할 수 있는 프로그램은 이미 배포되어 있지만, 윈도우 PC용으로 제한되어 있고, 성능 보장도 확실하지 않다. 가령 국제인권단체들이 배포한 ‘디텍터(Detekt)’[1], 외국 보안업체가 만든 레드삭스(Redsocks)의 ‘MTD’ (Malware Threat Defender)[2], 루크 시큐리티(Rook Security)의 ‘밀라노’(Milano)[3] 등은 모두 윈도우 PC용이고, 우리 국민 대다수가 사용하는 모바일에는 적용할 수 없다. “국민 백신 프로젝트”로 개발될 프로그램 “오픈백신”(가칭)은 모바일을 포함한 모든 기기에 적용되도록 할 것이다.
해킹팀의 스파이웨어를 국정원도 사용하고 있다는 의혹이 제기된지는 무려 1년 6개월이 지났다[4]. 하지만 국내 백신업체들은 아무런 대응도 하지 않았다. 특히 지난 7월 6일에는 해킹팀의 내부 자료가 유례없이 방대한 규모로 공개되어, 국정원이 해당 스파이웨어를 구입하여 내국인을 상대로 사용했다고 믿을만한 정황들이 드러난지도 벌써 한 달이 다 되어간다. 하지만 국내 백신업체들은 여전히 아무런 백신도 내놓지 않고 있다. 해킹팀의 스파이웨어는 소스코드가 기트허브(GitHub)에 이미 공개되어 있어서 백신 프로그램을 얼마든지 만들 수 있는데 말이다(https://github.com/0xPoly/
오픈백신은 이처럼 공개된 소소코드드를 기초로, 우리 국민들이 가장 많이 사용하는 안드로이드 모바일, 윈도 PC용 백신 프로그램 개발을 목표로 한다. 초기 개발은 위 3개 단체가 지원하고(이미 RCS 소스 분석은 마쳤다), 이후에는 개방형 개발 방식으로 전환한다. 오픈백신 프로그램 역시 소스코드를 모두 공개하여 기술적 재능이 있는 사람이라면 누구나 익명으로 재능기부를 할 수 있고, 이를 통해 오픈백신을 모든 기기로 확대할 수 있을 것이다. 이러한 개방형 혁신이 백신업체 내부의 개발자들에 의한 폐쇄형 방식보다 성능이나 보안 면에서 더 우수하다는 점은 이미 밝혀졌다. 그리고 국민 감시에 악용되는 스파이웨어에 맞서는 데에는 국민참여형 대응이 가장 훌륭한 방식임을 보여줄 것이다. 그리고 개발된 프로그램은 누가 독점하지도 않고 모두에게 개방될 것이다(이탈리아 해킹팀은 자신의 기술을 이미 국내에 특허출원까지 해 두었다(특허출원번호 제1020137005146호 “네트워크 트래픽을 처리하는 방법 및 장치”).
오픈백신 프로그램을 베타버전에서 완성단계로 발전시키고 다양한 기기나 국내 통신환경에 맞게 개선하고 유지보수하는 데에는 상당한 자원이 소요된다. 이에 따라 진보네트워크센터가 운영해온 소셜펀딩 플랫폼을 이용하여 국민들이 누구나 후원할 수 있도록 할 계획이다.
스파이웨어를 찾아내는 백신 프로그램이 배포되면 국정원의 정상적인 해외 정보 수집이 방해받는다는 우려가 있을 수 있다. 하지만 이미 해킹팀의 스파이웨어는 소스코드가 공개되어 어떻게 작동하는지 누구나 알 수 있는 상태다. 따라서 오픈백신 프로그램 때문에 우리 정보기관의 합법적인 해외 정보 수집이 타격을 받을 가능성은 거의 없다. 가령 북한은 이미 RCS를 통한 감시를 우회하는 기술을 개발하였을지도 모른다. 국민들을 대상으로 한 스파이웨어의 감염 시도가 이루어졌을 것이라는 우려가 높은 상황에서 우리는 실제로 감염되었을지 모를 해킹팀의 악성코드뿐 아니라 누군지 모르는 제3자의 해킹위험에 처해있을 국민들의 정보인권에 우선을 둘 수밖에 없다.
————————————————-
[1] ‘디텍터’는 클라우디오 과르니에르(Claudio Guarnieri)가 시티즌랩(Citizen Lab)의 기술 지원으로 국제 정보인권 단체들, 프라이버시 인터내셔널(Privacy International), 디지탈레 게젤샤프트(Digitale Gesellschaft), 앰네스티 인터내셔널, 전자개척자재단(EFF)과 함께 해킹팀의 스파이웨어를 탐지하는 프로그램으로 2014년 11월 배포되었다. 사용법은 진보네트워크센터에서 우리말로 제공하고 있다. http://act.jinbo.net/drupal/
[2] http://redsocksmtd.blogspot.
[3] https://www.rooksecurity.com/
[4] 이탈리아 해킹팀이 RCS를 각국 정부에 팔았고, RCS가 모로코와 아랍에밀레이트 기자와 인권운동가를 감시하는 데에 사용되었다는 의혹이 제기된 것이 2012년이다. 그리고 시티즌랩(Citizen Lab)이 한국을 포함한 21개국 정부가 RCS를 사용하고 있다고 보인다는 공식 보고서를 발표한 것이 2014년 2월 17일이다. https://citizenlab.org/2014/
2015년 7월 27일
(사)오픈넷
진보네트워크센터
P2P재단코리아준비위원회
시민들의 의견
댓글 달기