오픈넷, 시티즌랩과 함께 KT와 LGU+ 스마트폰 감시 앱의 취약점 밝혀

– 4차에 걸친 청소년 스마트폰 감시 앱 보안감사 보고서를 통해 총 5개 감시 앱의 취약점 공개

– 청소년 보호를 위한 수단이 오히려 청소년을 위험에 처하게 함이 드러나

한국 시간으로 11월 27일 저녁, 사단법인 오픈넷은 캐나다 토론토 대학교 시티즌랩과 함께 KT와 LGU+의 스마트폰 감시 앱인 ‘KT 자녀폰 안심’과 ‘U+ 자녀폰 지킴이’에 대한 보안감사 보고서를 발표했다. 한국의 청소년 스마트폰 감시 앱에 대한 4차 보고서인 이번 보고서에서는 앞서 세 건의 보고서와 마찬가지로 감시 앱들이 보안에 매우 취약함을 밝혀냈다.

2015년 4월 16일부터 시행된 개정 전기통신사업법 제32조의7 및 전기통신사업법 시행령 제37조의8은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 유해정보에 대한 차단수단을 제공할 것을 강제하고 있다. 일명 ‘청소년스마트폰 감시법’에 의하면 이통사는 청소년의 스마트폰에 유해매체물 차단 앱을 설치해야 하며, 설치 후에는 앱이 삭제되지 않도록 지속적으로 모니터링을 해야 한다. 이렇게 부모의 동의도 필요 없이 감시 앱의 설치를 강제하는 법은 세계 최초이다. 오픈넷은 스마트폰 감시법의 청소년 프라이버시와 부모 교육권 침해 문제를 지속적으로 지적해왔으며 작년 8월에는 스마트폰 감시법에 대해 헌법소원을 청구한 바 있다.

오픈넷, 시티즌랩, 독일의 보안감사 전문회사 큐어53(Cure53)이 공동 작업한 이번 보고서는 우리나라 주요 이통사인 KT와 LGU+의 감시 앱인 U+ 자녀폰 지킴이와 KT 자녀폰 안심을 대상으로 했다. 두 앱 모두 플랜티넷이라는 유해콘텐츠 차단서비스 전문 회사가 개발했는데, 코드가 거의 동일하며 둘 다 이용자의 개인정보가 저장된 서버에 무단 접근을 가능하게 하는 치명적인 보안 결점이 있었다.

보안감사를 주도한 큐어53의 Fabian Faessler 연구원은 “우리가 발견한 취약점에 의해 개인정보가 유출되는 건 시간문제일 뿐이다. 앱에 저장된 개인정보를 포함한 내부 데이터에의 접근을 가능하게 하기 때문이다”라고 말했다.

연구진은 취약점을 발견한 후 각 회사에 보안감사 결과를 고지하려 했으나, 회사들이 감사 결과를 인정하고 취약점을 수정하게 만드는 데 큰 어려움을 겪었다. 아무런 회신을 주지 않은 LGU+를 상대로는 한국인터넷진흥원(KISA)의 S/W 신규 취약점 신고 제도를 활용하는 등 1년 넘게 다각도로 노력한 끝에 두 앱의 취약점이 수정되어 마침내 본 보고서를 발표할 수 있게 되었다.*

시티즌랩의 Masashi Crete-Nishihata 연구팀장은 “플랜티넷, LGU+, 그리고 KT에게 취약점을 알리는 과정에서의 실망스러운 경험은 회사들이 이용자 보호에 더 적극적이고 책임감있게 나서야 함을 명백히 보여준다”고 설명했다.

이로써 4차에 걸친 보안감사 보고서를 통해 연구진은 스마트보안관, 사이버안심존, 스마트안심드림, KT 자녀폰 안심, U+ 자녀폰 지킴이 총 5개의 청소년 스마트폰 감시 앱을 분석했고 모든 앱에서 치명적인 보안 문제들을 발견했다. 이는 애초에 감시 앱들이 보안이나 프라이버시를 전혀 염두에 두지 않고 설계되었으며, 단순히 한 개발자나 판매자에 국한되는 문제가 아니라 한국의 감시 앱 산업 전반에 구조적인 보안 문제가 있음을 보여주는 것이다.

청소년들을 온라인에서 범람하는 유해매체물과 음란물로부터 보호해야 한다는 점에 대해서는 논란의 여지가 없으나, 국가가 청소년처럼 사회의 취약한 집단에게 특정의 보호조치를 강제하고자 할 때에는 그러한 보호조치가 진정으로 필요한 것인지 내지 안전한지에 대한 철저한 검증이 있어야 할 것이다. 그런 점에서 청소년 스마트폰 감시법은 처음부터 잘못 끼운 단추이다.

오픈넷이 트위터와 페이스북 등 SNS 사용자를 대상으로 하여 벌인 설문조사 결과에 의하면 청소년 스마트폰 감시 앱에 대해 부모와 자녀 다수가 부정적으로 생각하는 것으로 나타났다. 응답자들은 청소년 관리앱이 청소년의 자율성이나 부모의 선택권을 침해하는 것으로 보았으며, 유해정보 차단 효과도 크지 않다고 대답했다. 이러한 앱을 강제하는 ‘청소년 스마트폰 감시법’에 대해서는 폐지되어야 한다는 의견이 압도적이었다.

정부는 2016년 12월 부모의 거부권(opt-out)을 인정하는 전기통신사업법 개정안을 제출했다. 하지만 이 개정안에는 청소년을 보안 위협에 노출시키는 감시 앱 자체의 위험성은 전혀 반영되어 있지 않다. 전 세계 유일무이 감시 앱 강제법인 청소년 스마트폰 감시법을 폐지하고 부모와 자녀 간의 대화와 이해 그리고 충분한 정보를 바탕으로 이용자들이 자율적으로 감시 앱 설치 여부를 결정할 수 있도록 하는 게 가장 바람직한 개선책일 것이다.

2017년 11월 29일

사단법인 오픈넷

[관련 글]

• 없는 편이 더 안전한 ‘청소년 스마트폰 감시 앱’ (허프포스트코리아 17.9.20.)
• [웹툰 및 권고] 없는 편이 더 안전해!: 한국의 청소년 스마트폰 감시 앱
• [보도자료] 오픈넷, 방송통신위원회의 전기통신사업법 개정안에 대한 반대의견 제출 (2016.12.26.)
• [논평] 오픈넷, 시티즌랩과 함께 청소년 스마트폰 감시 앱에 대한 보안감사 보고서 발표 (2017.9.12.)
• [논평] 부모와 청소년 모두에게 외면받는 ‘청소년 스마트폰 감시법’ (2017.2.2.)
• [논평] 오픈넷, 청소년 스마트폰 감시법에 대해 헌법소원 청구 – 전기통신사업법상 차단수단 설치의무 조항은 청소년과 부모의 기본권 침해 (2016.8.30.)
• [논평] 스마트보안관이여 잘 가시오! 이제는 청소년 스마트폰 감시법의 폐지를 논의할 때! (2015.11.3.)
• [논평] 한국의 청소년들을 위험에 빠뜨리는 스마트보안관 서비스는 즉시 중단되어야 (2015.9.21.)
• [논평] ‘딸통법’ 및 ‘청소년 스마트폰 감시법’ 시행 주의보 (2015.4.15.)
•  스마트보안관은 사라졌지만 감시는 계속된다 (슬로우뉴스 2015.11.16.)

윤영석 의원의 모바일 정보격차 해소법을 환영한다

정보접근성 강화하는 국가정보화 기본법 개정안 발의에 부쳐

지난 4월 5일 자유한국당 윤영석 의원은 국가정보화 기본법 개정안을 발의했다. 주요 내용은 장애인·고령자 등의 정보격차를 해소하기 위해 규정한 ‘웹 접근성’을 웹사이트뿐만 아니라 모바일 응용 소프트웨어를 포함하는 ‘정보접근성’으로 확대하고 정보접근성 품질인증 제도를 도입하는 것이다. 스마트폰 시대에 모바일 애플리케이션 접근성이 웹 접근성 이상으로 중요해지고 있기에 사단법인 오픈넷은 정보소외계층의 모바일 접근성을 강화하는 해당 개정안을 적극 지지한다.

‘웹 접근성(web accessibility)’이란 장애인, 고령자뿐만 아니라 “어떠한 사용자가 어떠한 기술환경에서도 전문적인 능력 없이 웹사이트에서 제공하는 모든 정보에 접근할 수 있도록 보장하는 것”이다. 현 국가정보화 기본법은 제32조 제1항에서 “국가기관등은 인터넷을 통하여 정보나 서비스를 제공할 때 장애인·고령자 등이 쉽게 웹사이트를 이용할 수 있도록 접근성을 보장하여야 한다”라고 하여 웹 접근성에 대해 규정하고 있다. 또한 장애인차별금지 및 권리구제 등에 관한 법률(이하 “장애인차별금지법”)에서는 공공기관, 교육기관 등의 웹사이트에 대한 접근성 보장을 법적 의무로 하고, 악의적 차별행위에 대해서는 형벌을 부과하도록 하고 있다.

약 10년 전 웹 접근성 보장 제도를 도입하고 관련 부처가 노력을 기울인 결과 웹 접근성 수준은 전반적으로 향상되어 왔다. 하지만 공공기관에 비해 민간 기관·기업의 웹 접근성 수준은 여전히 낮은 편이다. 2012년 시각장애인들은 대한항공의 홈페이지가 웹 접근성 지침을 준수하지 않아 장애인차별금지법을 위반했다며 손해배상 청구소송을 제기하기도 했다. 또한 웹 접근성 품질인증 제도가 있음에도 품질인증을 획득한 웹사이트나 모바일 애플리케이션은 극소수에 불과하다. (오픈넷이 반대해왔던 정보보호관리체계(Information Security Management System, ISMS) 인증 등의 강제적인 인증과 달리 웹 접근성이나 정보접근성 품질인증 제도는 전적으로 자율적인 인증이며 사전 규제에 해당하지 않으므로 긍정적인 제도로 평가할 수 있다.)

인터넷 이용 환경이 웹에서 모바일로 빠르게 전환되는 상황에서 모바일 접근성의 수준은 계속 낮은 것으로 나타나고 있다. 이번 개정안을 통해 접근성의 대상을 확대한다고 해도 하루아침에 모바일 정보격차가 해소되지는 않을 것이다. 정보접근성이 완전하게 보장되는 날이 올 때까지 정부, 공공기관, 사업자, 시민사회 등 각계 각층의 지속적인 관심과 노력이 필요하다. 또한 국회입법조사처가 제시한 바 있듯이 정부는 실제 이용자인 장애인, 고령자 등의 의견을 수렴하여 정책 수립과 평가에 반영해야 할 것이며 정보접근성을 최우선 과제로 삼아 예산을 투자해야 할 것이다.

신체적인 제약이 정보 접근에 어떠한 장애도 되지 않는 온라인 세상을 만들어나가는 한 걸음이 될 모바일 정보격차 해소법의 조속한 입법을 기대한다.

2017년 4월 18일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

방송통신심의위원회 통신심의, 이대로 괜찮은가?

전문성과 소양을 의심케 하는 위원들의 말말말

2018년 1월 30일 출범한 4기 방송통신심의위원회(이하 방심위, 위원장: 강상현)은 작년 6월 이후 반년간 구성이 지연되면서 그간 중단된 심의안건과 신규 심의안건을 처리하고 있다. 통신소위원회(이하 통신소위)는 인터넷을 통해 유통되는 정보를 크게 불법행위와 관련된 불법정보와 기타 유해정보로 나누어 심의하며, 소위원회 의결에 따라 해당 정보로의 접속을 차단(접속차단), 해당 정보의 삭제(URL 단위), 해당 도메인이나 계정 이용의 제한/삭제(이용정지 및 이용해지) 등의 시정요구를 내린다. 방심위 통신소위가 의결하는 시정요구는 그 자체로 법적 강제력을 갖지 않고, ‘요구’로써 인터넷 망 사업자, 포털서비스, 기타 서비스사업자에게 전달되는데, 이 시정요구의 준수율은 98%에 달하고 있어 사실상 강제력을 가진 검열제도로 볼 수 있다.

1. 방심위 통신소위의 막중한 책임에 걸맞지 않게 지난 두 달간 통신소위에서 나온 심의위원들의 발언은 관련 분야 전문성을 심히 결여하고 있는 것으로 보인다.

첫째, 심의 범위 및 권한 범주에 대한 이해 부족이 심각하다. 특히, 시정요구 종류 및 시정요구의 법적 성격에 대한 이해가 부족했다. 통신소위 초기, 대부분의 위원들은 위원회가 내릴 수 있는 시정요구의 종류나 성격을 숙지하지 않고 심의에 참여하여 사무처에 질문을 반복하는 모습을 보였다. 아무리 초기라고 해도 국민의 표현물에 대한 일종의 검열 처분을 내리는 권한을 가진 위원들이 그 권한에 대한 이해도 없이 업무에 임하는 것은 매우 부적절해 보인다. 나아가 이러한 기본적인 이해도 없는 상황에서, 본인들의 권한 밖인 정보통신서비스제공자 등에 대한 ‘징계, 처벌’과 같은 강력한 인적 제재권한을 찾는 모습도 보였다. “게시판 관리자를 징계할 방법이 없는가?”(3차 허미숙), “게시자 가중처벌 사례가 있는가?”(2차 허미숙)

둘째, 통신소위의 심의대상인 인터넷 정보의 특수성에 대한 사전이해가 일부 심의위원들에게 충분히 있는지 의심된다. 인터넷 정보는 특정 플랫폼 사업자(예: 네이버 등)가 모든 정보를 통제하는 것이 아니라, 여러 사용자(예: 네이버 지식인 답변)가 정보를 기여하는 과정을 통해 형성된다. 전문가들도 이용자 권리 보호와 ICT 산업 발전을 위해 플랫폼에 대한 규제는 적절치 않다고 입을 모은다(국회의원 박주선 외 주최, “정보매개자 책임의 국제적 흐름” 국제세미나, 2015.). 이를 고려해 통신소위도 플랫폼 단위 심의가 아니라 URL 단위(개별 정보) 원칙으로 한다.

반면, 다음 발언들에 나타나듯 심의위원들은 꾸준히 플랫폼 규제에 대한 욕망을 드러내고 있다. “오픈마켓 운영자에게 책임을 어느 정도 물어야 하지 않나. 유통하도록 방치한 책임을 져야 한다. 법적 제재를 강화할 수 있는 방안이 있는지 사무국에서 연구해 보고해주기 바란다.”(2차 전광삼), “게시물을 올릴 수 있도록 서비스를 제공하는 사람에게는 범죄행위에 대한 교사, 방조가 인정되어야 하지 않나”(2차 이상로). 이와 더불어 “텀블러 문제가 많던데 전체 차단해야 하는 거 아닌가?”(4차 이상로), “디씨인사이드 사이트가 문제 아닌가? 사이트를 한 번 폐쇄시켜 보자, 어떻게 되나.”(6차 이상로) 등 인터넷상 표현의 자유를 심각히 위협하는 발언도 함부로 오가고 있다.

셋째, 통신소위는 유관기관이 요청하는 심의안건에 대해 신고 기관의 기준에 의존하는 태도를 보이고 있다. 문제는 일부 심의위원이 지적하듯이 유관기관 신고의 기준이 일반인의 시각보다 더 넓게 문제정보로 보는 경향이 있을 수 있다는 것이다(이소영). 예를 들어 식약처는 “디톡스”, “다이어트”, “비만”, “해독” 등의 용어도 의학 관련 용어로 보고 불법정보로 심의를 요청하고 있다. 또한, 일반인의 상품 후기도 광의의 광고로 보아 심의안건으로 올라오는 경우가 있다.

그럼에도 불구하고 위원회는 유관기관 신고 건에 대해서는 신뢰관계와 전문성을 이유로 대부분 시정요구를 내리고 있는 실정이다. “오랜 신뢰가 있는 유관기관에서 온 건이기 때문에 이 건은 사무처 의견대로 규제하는 게 맞다”(10차 허미숙), “남이 보내준 신고 건이니까 저도 규제에 찬성한다.”(10차 이상로)

2. 심의위원 및 보고자(사무국)의 소양을 의심케 하는 경솔하고 부적절한 발언이 꾸준히 회의석상에 등장하고 있다.이러한 문제적 발언들은 심의의 신뢰를 떨어뜨리고 부당한 피해를 우려하게 한다.

첫째 유형은 여성 혐오를 조장하거나 듣는 이에게 성적 수치심을 줄 수 있는 부적절한 발언이다.

– (11차 음란 등 선정성정보, 연예인 화보촬영 원본이 본인 동의 없이 유출된 사건 심의 중) “여자들이 옷을 벗고 저런 사진을 찍어요? 왜 찍어요?”(이상로), “여성들에게 상당히 금전적인 효과가 있는 것으로 알고 있다.”(사무국)

– (11차 음란 등 선정성정보, 쇼핑몰 속옷광고 비디오 정보 심의 중) “저런 게 티비에 나오나요?”(이상로), “(웃으면서) 몸을 보시면 안 되고 속옷을 보셔야 할 것 같습니다.”(전광삼)

둘째 유형은 근거 없는 선입견에 기반해 정보주체인 인터넷 이용자를 매도하는 듯한 발언이다.

– (음란 등 선정성정보로 심의 중인 인터넷 방송 게시자들이 의견진술을 마치고 퇴장한 후 의견진술자들에 대해) “이런 일을 하는 애고 아니고를 떠나서…”(12차 전광삼)

– (비하 표현 심사 중) “정신적으로 정상적인 사람은 아닌 거죠?”(8차 전광삼)

– “여성들이 신던 스타킹이나 속옷을 매매하는 그런 이상한 사람들도 있습니다.”(7차 사무국)

– (성매매 정보 심사 중 증거불충분 건) “얄밉지만, 소위 괘씸하지만, 증거가 불충분하므로…”(8차 전광삼)

– (과거 시정요구 받은 도메인을 새로 구입해 심의상 문제없는 내용으로 활용하면서 시정요구 철회한 경우에 대해) “저 도메인을 새로 구입하는 사람의 저의가 의심스럽다.”(4차 이상로)

3. 이와 같은 심의위원들의 경솔하고 부적절한 발언은 위원들 스스로의 반성과 함께 방심위 차원의 기강이 바로잡혀야 할 문제다.

｢정보통신에 관한 심의규정｣ 제8조 제3호 바목은 합리적 이유 없이 성별, 종교, 장애, 직업 등을 차별하거나 이에 대한 편견을 조장하여 사회통합 및 사회질서를 저해하는 정보를 유해정보로 규정하고 통신소위는 이러한 정보에 대해 매주 시정요구를 하고 있다. 그러나 위에서 일부 인용한 일부 심의위원들의 발언을 보면, 공식석상에서의 심의위원들의 발언 자체가 심의대상이 되어야 하는 아이러니한 상황이다.

인터넷 정보를 심의하는 방심위 통신소위의 전문성 부족 문제는 위원 개개인의 전문성 제고를 넘어 인터넷 심의기구 설계에 대한 근본적 고민을 요한다. 통신소위는 매회 많게는 수천 건의 정보를 심의 의결한다. 방대한 심의안건에 대해 관련 심의규정과 방심위의 권한, 통신정보의 특성을 고루 고려해 적확한 판단을 내리기 위해서는 인터넷 정보에 대한 풍부한 전문적 지식을 갖춘 심의위원 구성이 시급하다.

2018년 4월 10일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]