오픈넷, 시티즌랩과 함께 KT와 LGU+ 스마트폰 감시 앱의 취약점 밝혀

– 4차에 걸친 청소년 스마트폰 감시 앱 보안감사 보고서를 통해 총 5개 감시 앱의 취약점 공개

– 청소년 보호를 위한 수단이 오히려 청소년을 위험에 처하게 함이 드러나

한국 시간으로 11월 27일 저녁, 사단법인 오픈넷은 캐나다 토론토 대학교 시티즌랩과 함께 KT와 LGU+의 스마트폰 감시 앱인 ‘KT 자녀폰 안심’과 ‘U+ 자녀폰 지킴이’에 대한 보안감사 보고서를 발표했다. 한국의 청소년 스마트폰 감시 앱에 대한 4차 보고서인 이번 보고서에서는 앞서 세 건의 보고서와 마찬가지로 감시 앱들이 보안에 매우 취약함을 밝혀냈다.

2015년 4월 16일부터 시행된 개정 전기통신사업법 제32조의7 및 전기통신사업법 시행령 제37조의8은 이통사가 청소년과 전기통신서비스 제공에 관한 계약을 체결하는 경우 유해정보에 대한 차단수단을 제공할 것을 강제하고 있다. 일명 ‘청소년스마트폰 감시법’에 의하면 이통사는 청소년의 스마트폰에 유해매체물 차단 앱을 설치해야 하며, 설치 후에는 앱이 삭제되지 않도록 지속적으로 모니터링을 해야 한다. 이렇게 부모의 동의도 필요 없이 감시 앱의 설치를 강제하는 법은 세계 최초이다. 오픈넷은 스마트폰 감시법의 청소년 프라이버시와 부모 교육권 침해 문제를 지속적으로 지적해왔으며 작년 8월에는 스마트폰 감시법에 대해 헌법소원을 청구한 바 있다.

오픈넷, 시티즌랩, 독일의 보안감사 전문회사 큐어53(Cure53)이 공동 작업한 이번 보고서는 우리나라 주요 이통사인 KT와 LGU+의 감시 앱인 U+ 자녀폰 지킴이와 KT 자녀폰 안심을 대상으로 했다. 두 앱 모두 플랜티넷이라는 유해콘텐츠 차단서비스 전문 회사가 개발했는데, 코드가 거의 동일하며 둘 다 이용자의 개인정보가 저장된 서버에 무단 접근을 가능하게 하는 치명적인 보안 결점이 있었다.

보안감사를 주도한 큐어53의 Fabian Faessler 연구원은 “우리가 발견한 취약점에 의해 개인정보가 유출되는 건 시간문제일 뿐이다. 앱에 저장된 개인정보를 포함한 내부 데이터에의 접근을 가능하게 하기 때문이다”라고 말했다.

연구진은 취약점을 발견한 후 각 회사에 보안감사 결과를 고지하려 했으나, 회사들이 감사 결과를 인정하고 취약점을 수정하게 만드는 데 큰 어려움을 겪었다. 아무런 회신을 주지 않은 LGU+를 상대로는 한국인터넷진흥원(KISA)의 S/W 신규 취약점 신고 제도를 활용하는 등 1년 넘게 다각도로 노력한 끝에 두 앱의 취약점이 수정되어 마침내 본 보고서를 발표할 수 있게 되었다.*

시티즌랩의 Masashi Crete-Nishihata 연구팀장은 “플랜티넷, LGU+, 그리고 KT에게 취약점을 알리는 과정에서의 실망스러운 경험은 회사들이 이용자 보호에 더 적극적이고 책임감있게 나서야 함을 명백히 보여준다”고 설명했다.

이로써 4차에 걸친 보안감사 보고서를 통해 연구진은 스마트보안관, 사이버안심존, 스마트안심드림, KT 자녀폰 안심, U+ 자녀폰 지킴이 총 5개의 청소년 스마트폰 감시 앱을 분석했고 모든 앱에서 치명적인 보안 문제들을 발견했다. 이는 애초에 감시 앱들이 보안이나 프라이버시를 전혀 염두에 두지 않고 설계되었으며, 단순히 한 개발자나 판매자에 국한되는 문제가 아니라 한국의 감시 앱 산업 전반에 구조적인 보안 문제가 있음을 보여주는 것이다.

청소년들을 온라인에서 범람하는 유해매체물과 음란물로부터 보호해야 한다는 점에 대해서는 논란의 여지가 없으나, 국가가 청소년처럼 사회의 취약한 집단에게 특정의 보호조치를 강제하고자 할 때에는 그러한 보호조치가 진정으로 필요한 것인지 내지 안전한지에 대한 철저한 검증이 있어야 할 것이다. 그런 점에서 청소년 스마트폰 감시법은 처음부터 잘못 끼운 단추이다.

오픈넷이 트위터와 페이스북 등 SNS 사용자를 대상으로 하여 벌인 설문조사 결과에 의하면 청소년 스마트폰 감시 앱에 대해 부모와 자녀 다수가 부정적으로 생각하는 것으로 나타났다. 응답자들은 청소년 관리앱이 청소년의 자율성이나 부모의 선택권을 침해하는 것으로 보았으며, 유해정보 차단 효과도 크지 않다고 대답했다. 이러한 앱을 강제하는 ‘청소년 스마트폰 감시법’에 대해서는 폐지되어야 한다는 의견이 압도적이었다.

정부는 2016년 12월 부모의 거부권(opt-out)을 인정하는 전기통신사업법 개정안을 제출했다. 하지만 이 개정안에는 청소년을 보안 위협에 노출시키는 감시 앱 자체의 위험성은 전혀 반영되어 있지 않다. 전 세계 유일무이 감시 앱 강제법인 청소년 스마트폰 감시법을 폐지하고 부모와 자녀 간의 대화와 이해 그리고 충분한 정보를 바탕으로 이용자들이 자율적으로 감시 앱 설치 여부를 결정할 수 있도록 하는 게 가장 바람직한 개선책일 것이다.

2017년 11월 29일

사단법인 오픈넷

[관련 글]

• 없는 편이 더 안전한 ‘청소년 스마트폰 감시 앱’ (허프포스트코리아 17.9.20.)
• [웹툰 및 권고] 없는 편이 더 안전해!: 한국의 청소년 스마트폰 감시 앱
• [보도자료] 오픈넷, 방송통신위원회의 전기통신사업법 개정안에 대한 반대의견 제출 (2016.12.26.)
• [논평] 오픈넷, 시티즌랩과 함께 청소년 스마트폰 감시 앱에 대한 보안감사 보고서 발표 (2017.9.12.)
• [논평] 부모와 청소년 모두에게 외면받는 ‘청소년 스마트폰 감시법’ (2017.2.2.)
• [논평] 오픈넷, 청소년 스마트폰 감시법에 대해 헌법소원 청구 – 전기통신사업법상 차단수단 설치의무 조항은 청소년과 부모의 기본권 침해 (2016.8.30.)
• [논평] 스마트보안관이여 잘 가시오! 이제는 청소년 스마트폰 감시법의 폐지를 논의할 때! (2015.11.3.)
• [논평] 한국의 청소년들을 위험에 빠뜨리는 스마트보안관 서비스는 즉시 중단되어야 (2015.9.21.)
• [논평] ‘딸통법’ 및 ‘청소년 스마트폰 감시법’ 시행 주의보 (2015.4.15.)
•  스마트보안관은 사라졌지만 감시는 계속된다 (슬로우뉴스 2015.11.16.)

우리나라 망중립성의 방향에 대한 정책토론회 개최 안내

– 2017. 9. 7. (목) 오후 2시, 국회 의원회관 제8간담회의실

다시 망중립성이 화두로 떠오르고 있습니다.

미국 트럼프 정부의 망중립성 완화 움직임에 따라 FCC 웹사이트에 망중립성 완화를 반대하는 미국 시민들의 의견 접수가 줄을 이었다는 외신이 화제가 되고 있기도 합니다.

그렇다면 우리나라의 망중립성 정책은 어떤 방향으로 나아가야 할까요?

최근 이동통신사들은 통신비 인하 정책의 반대 급부로 망중립성을 완화해달라는 취지의입장을 표명 중이며, 제로레이팅이 통신비 인하의 훌륭한 대안인 것처럼 주장하고 있습니다. 그러나 과연 우리나라의 망중립성 정책이 지금 망중립성 “완화”를 이야기할 위치에 있기나 한 것일까요? 제로레이팅이 과연 보편적 통신비 인하의 수단이기는 할까요?

과거 이동통신사의 보이스톡 차단으로 촉발된 우리나라 망중립성의 현 주소는 아직 이동통신사가 경제적 이유를 근거로 mVoIP 데이터 송수신을 차단해도 위법이 아니라는 수준에 머물러 있습니다. 최근에는 이른바 ‘플랫폼 중립성’이라는 개념을 들어 이동통신사에 대한 망중립성 규제의 칼끝을 다른 곳으로 돌리려는 시도도 목격되고 있습니다.

사단법인 오픈넷은 망중립성 강화 법안을 19대, 20대에 걸쳐 발의한 국회의원 유승희 의원실과 공동으로 우리나라 망중립성의 방향에 대한 정책토론회를 준비하였습니다. 우리나라 망중립성 정책의 미래에 관심있는 분들의 많은 참여 부탁드립니다.

– 참가신청: https://goo.gl/forms/goXNvfHUH3mHpsGg1

문의: 오픈넷 사무국 02-581-1643, [email protected]

‘가짜뉴스’를 공격하면 된다?

글 | 허광준(오픈넷 정책실장)

몇 해 전 인터넷에서 ‘​일본을 공격한다’​는 우스개가 유행한 적이 있다. 대답하기 곤란한 질문을 받거나 판단을 내릴 수 없는 상황에 처했을 때 뜬금없이 내세우는 세 번째 선택지였으며, 그런 선택지가 원래의 맥락과 아무 상관이 없이 일방적으로 제공된다는 점에서 유머가 됐다.

표창원 의원의 트윗을 둘러싸고 벌어진 ‘가짜뉴스 책임론’은 그 구닥다리 우스개를 떠올리게 만든다.

시작은 지난 7월 말, 문화계 블랙리스트 관련 및 국회 위증 혐의를 받는 조윤선 전 문화부장관에게 징역 1년 집행유예 2년의 판결이 내려졌을 때다. SNS에서는 해당 판결을 낸 판사가 배가 고파 라면을 훔친 사람에게 징역 3년 6개월을 선고했다는 글이 돌았다. 매체들은 이러한 자극적인 맞비교를 앞다투어 기사로 옮겨 실었고, 그런 기사를 본 표창원 의원은 다음과 같은 트윗을 날렸다.

“동문, 법조인끼리 감싸기, 그들만의 세상, 하늘도 분노하여 비를 내리는 듯합니다. 헌법, 법률, 국가를 사유물로 여기는 자들. 조윤선 집행유예 황병헌 판사… 라면 훔친 사람엔 징역 3년 6개월 선고” (링크)

그러나 이것은 사실이 아니었다. 문제의 판사는 그런 판결을 내린 적이 없다. 표 의원의 트윗 중 ‘라면 훔친 사람엔…’ 부분은 표 의원 자신이 쓴 게 아니라 관련 기사를 링크하면서 들어간 제목이었다. 과정이야 어쨌든, 표 의원의 트윗은 해당 판사가 그런 판결을 내린 적이 있는 것처럼 서술하는 모양이 되었다.

이에 대해 조선일보가 기사를 통해 ‘수많은 팔로워를 가진 정치인임에도 확인되지 않는 사실을 옮겨 확산시킨다’고 비판하자, 표 의원은 문제는 옮기는 사람이 아니라 사실 확인을 하지 않는 언론이라고 반박했다. 여기까지는 좋은데, 표 의원이 반박과 함께 내놓은 아이디어가 놀랍다. ‘가짜뉴스 처벌법’을 검토하겠다는 것이다.

“언론사의 허위사실 보도에 대해 징벌적 손해배상 책임을 지우는 등 조선일보에서 규정한 ‘가짜뉴스’에 대해 그 책임의 소재와 그에 대한 충분하고도 확실한 배상을 하도록 하는 법안을 연구해 보겠습니다.” (링크)

이것이 진심인지 농담인지 가늠하기가 쉽지 않다. 그 내용이 매우 심각한 것이기 때문이다.

이 해프닝의 구조는 간명하다. 문제의 핵심은 표 의원 말처럼, 언론이 사실을 확인하지 않고 뜬소문을 기사로 내는 수준으로 전락했다는 점이다. 표 의원은 다른 사람들처럼 언론에 실린 기사를 믿었을 뿐이다. 독자의 신뢰를 일상적으로 배반하는 언론이 잘못이다.

그러나 이것을 처벌하기 위해 법을 만들겠다고 나서는 것은 또다른 문제다.

우선 문제의 보도는 일반적으로 정의되는 가짜뉴스의 범주에 들어가지 않는다. 가짜뉴스는 허위임을 알고도 대중을 속일 의도로 사실 보도인 것처럼 만들어 유포시키는 정보다. 판사가 라면 절도 관련 판결을 했다는 기사는 허위로 판명나긴 했지만, 언론사가 허위임을 알고도 대중을 속이고 이익을 취하기 위해 일부러 만들어 뿌린 기사는 아니다. 언론의 잘못은 사실 확인을 게을리하여 오보를 냈다는 것이다.

설령 가짜뉴스에 대한 강력한 대응의 당위성이 인정되더라도, 이 같은 언론 보도까지 처벌할 수는 없다. 가짜뉴스를 비판하고 대책을 모색하는 사람들이 경계하는 대표적인 사항 중 하나는 언론의 오보를 가짜뉴스의 범주에 우겨넣는 것이다. 그렇게 되면 언론의 보도 기능은 크게 위축되고, 권력 입장에서는 언론을 효과적으로 탄압하고 길들일 수 있기 때문이다.

이러한 사실을 잘 알고 있을 표 의원이 이렇게 무리한 이야기를 한 것은, 조선일보와 신경전을 벌이고 있는 상황 때문이었을 것이다.

“지난 대선 과정에서 큰 문제로 대두된 가짜뉴스. 사실 언론도 아닌 것이 언론 흉내를 내며 악의적으로 편향적 허위 보도만을 위해 조악하게 만든 인쇄물들을 일컫는 용어였는데요. 조선일보가 헤럴드경제를 가짜뉴스로 공식적이고 명확하게 규정했으니 가짜뉴스 처벌법의 대상을 모든 언론사의 허위 보도로 확대하는 것에 대해 조선일보가 촉구해 주신 것입니다. 이점 깊이 감사드립니다.” (링크)

문맥으로 보면 심각한 인식 변화를 의미한 게 아니라 상대방에 대해 비아냥의 의미로 쓴 것으로 읽힌다. 그렇더라도 실제로 입법권을 가진 국회의원이 잘못된 인식을 포용하여 입법을 하겠다고 공언하는 것은 바람직하다고 하기 어렵다.

이 같은 발언이 조선일보와의 논쟁에서 불거진 말이었을 뿐인지, 아니면 아직 연구가 끝나지 않아서인지 표 의원은 아직 별다른 가짜뉴스 처벌법을 내놓지 않은 상태다. 이유야 어쨌든 무척 다행한 일이 아닐 수 없다.

표 의원은 지난 5월에도 가짜뉴스를 처벌하겠다는 입장을 내놓은 적이 있다. 역시 실제 법안 발의는 하지 않았다. 대신 다른 의원들이 그가 주장한 것과 비슷한 법안을 연이어 쏟아냈다.

지금까지 가짜뉴스와 관련해 국회의원들이 발의한 법률 개정안은 다음과 같다.

이렇게 비슷비슷한 입법안들은 모두 가짜뉴스의 해악을 터무니없이 과장하며 극단의 조치인 법률적 단죄를 통해 가짜뉴스를 막으려 한다는 공통점이 있다. 또 가짜뉴스의 판단과 처리 책임을 사기업에게 떠넘기려 한다는 점도 공통적이다.

가짜뉴스를 만들고 유포한다고 형사 처벌하는 것은 미국 같은 곳에서는 꿈도 꿀 수 없다. 왜 한국에서는 정치인들이 가짜뉴스 처벌법을 만들지 못해 안달인 것인가? 유독 한국에서 가짜뉴스가 기승을 부려 세계에 유례없이 여론 시장이 왜곡되고 시민들이 피해를 보고 있는가?

전통적으로 차별과 혐오 발언을 강력히 처벌해 온 독일 같은 경우를 제외하면, 외국에서 정치인들이 가짜뉴스를 처벌하는 법을 만들러 나서는 경우는 매우 드물다. 가짜뉴스를 포함한 디지털 허위 정보들에 대한 대응은 주로 언론이나 사회에서 팩트 체크 활성화, 올바른 정보의 확산 촉진, 인터넷서비스 기업들의 자율적인 조치 도입, 언론의 자정 강화 같은 방식으로 접근한다. 가짜뉴스의 심각성을 지적하면서도, 잡아다 가두고 벌금을 물리는 방식은 생각도 하지 않는다. 자칫하면 표현의 자유와 정치적 의사 표시라는 기본권을 심각하게 훼손할 수 있기 때문이다.

한국의 꾸준한 가짜뉴스 처벌법 시도는 우리 정치인들이 가진 특징, 즉 국민 기본권의 제약을 만능으로 생각하는 구태, 표현의 자유에 대한 근본적인 몰이해, 가짜뉴스로 인해 자신이나 자파 정치세력이 해를 당한다는 피해의식, 늘 국가가 나서서 뭔가를 해줘야 한다는 가부장주의 같은 것이 어울려서 형성되는 것으로 보인다.

또다른 설명도 있다. 유독 한국에서 가짜뉴스의 해악이 크다고 보기는 어렵기 때문에, 한국 정치인들의 가짜뉴스 입법 시도는 그 저의를 의심케 된다는 것이다. 온라인과 SNS에서 정치 논의가 활발한 상황에서, 그런 상황이 불편한 정치인들이 가짜뉴스에 대한 염려를 빌미로 하여 국민의 말문을 막고 정치적 비판으로부터 벗어나려 하는 것이 아닌가 하는 의심이다.

이것은 그동안 발의된 가짜뉴스의 엉성함을 고려하면 충분히 설득력이 있다. 법안 대부분은 무엇을 삭제하고 처벌해야 할 것인지 명확히 하지 않았다. 국민의 정당한 의사 표현에 가짜뉴스 낙인을 찍어 처벌까지 할 가능성이 활짝 열려 있는 것이다. 가짜뉴스의 본산이라 할 미국에서 도널드 트럼프 같은 유력 정치인이 자신을 비판하는 내용의 뉴스나 논평을 가짜뉴스라고 공공연히 몰아붙이는 점을 참고할 만하다. 트럼프가 한국 정치인이라면, 몰아붙이기만 하는 게 아니라 처벌을 하러 나섰을 것이다.

가짜뉴스가 횡행하는 데에는 이유가 있다. 통합보다는 분열, 공개보다는 은폐, 소통보다는 일방적 홍보를 지향해 왔으며, 극단적인 당파 대립에 빨대를 꽂고 꿀을 빨아온 정치인들도 그 한 이유다. 정치인들은 가짜뉴스의 영향을 터무니없이 부풀려 위기 의식을 부채질하며 국민 기본권을 제한하는 일을 그만두어야 한다. 세상을 볼 줄 알고 사물을 읽을 줄 아는 눈 밝은 국민을 믿고 그들이 올바른 판단을 할 수 있도록 민주적인 정치 분위기를 형성하는 데 힘쓰는 것이 정치 지도자들이 할 일이다.

* 위 글은 허프포스트코리아에 기고한 글입니다. (2017.08.24.)