애플의 아이폰 잠금 해제 거부는 프로그래머 윤리 선언

글 | 박경신(오픈넷 이사, 고려대 법학전문대학원 교수)

애플과 미국 수사기관의 공방이 계속되고 있다. 미국의 수사 기관이 수사를 위해 용의자가 가진 아이폰을 잠금 해제해달라고 명령하고 애플은 이에 반박하고 있다. 이 공방과 관련해 알려진 사례는 크게 두 가지가 있다.

‘표현의 자유’로서의 애플의 거부

많은 사람이 이를 두고 개인정보와 프라이버시, 국가안보가 부딪히는 사례라고 파악한다. 하지만 이건 프라이버시보다 표현의 자유 문제로 볼 수도 있다. 코딩(프로그래밍)은 물리적 행위가 아니라 지적 행위이기 때문이다.

다시 말해 애플에 아이폰 1대를 위한 운영체제를 새로 만들어달라는 요구는 금고회사에 금고를 여는 키를 만들어달라는 것과는 다르다. 운영체제 개발은 물리적 행위가 아니다. 금고의 열쇠를 새로 제작하도록 강제하는 것과 알리바바에게 “열려라 참깨”라고 말하도록 강제하는 것은 다르다.

피카소에게 스페인의 독재자 프랑코를 찬양하는 그림을 그려달라고 강요할 수 있을까? 이 경우는 프라이버시를 침해할 수 있는 내용을 담은 소프트웨어 제작이니 더욱 말할 것도 없다.

물론 증언 거부로 감옥에 가는 사람들도 있다. 법원이라는 ‘공론의 장에서의 진실추구’라는 공익이 ‘증인의 말하지 않을 자유’보다 중요하게 여겨지는 경우들이 있기 때문이다. 하지만 전문가 증인(expert witness)에게 사건을 분석하고 의견을 말하도록 하라는 명령을 내리는 경우는 없다.

그렇다면 코딩이 연설, 작곡, 조각, 회화 또는 저술과 같은 행위인가 아니면 닫힌 금고를 열어주거나 법정에서 자신이 이미 아는 사실을 말하는 정도의 행위인가?

만약, 전자라면^[3] 절대로 애플에 강제되어서는 안될 문제이다. 정부의 공익이 아무리 지대해도 그 공권력의 행사를 수동적으로 수용할 수 있을 뿐 코딩이나 운영체제 개발과 같은 창조적 행위를 강제할 수는 없다.

폴크스바겐 배기가스 조작 소프트웨어 같은 걸 만들어달라는 정부의 요구를 프로그래머들은 윤리적인 이유로 언제라도 거부할 수 있어야 한다. 정부는 애플에 ‘부탁’해야지 애플에 ‘강제’해서는 안 된다. 애플의 거부는 일종의 ‘프로그래머 윤리 선언’으로 칭찬받아야 한다.

FBI가 애플에 실제로 요구하는 것은 무엇인가

표현의 자유 측면을 보지 않고 프라이버시 측면만 본다면 애플의 입장을 수긍하기 어렵다. 프라이버시를 보호해야 하는 대상이 실제로 테러를 저지른 사람이기 때문에 보통 범죄수사에 있어서 프라이버시 보호기능을 하는 영장주의의 요건을 훨씬 충족하고 남는다. 여기에 ‘미래의 테러방지’라는 중요한 공익도 있다.

아이폰 1대 운영체제를 바꾼다고 해서 그 코드가 유출되거나 기억될 수 있다는 논리도 애플이 이미 그럴 능력을 갖추고 있음을 생각하면 설득력에 한계가 있다. 즉, 지금도 애플은 지금도 백도어를 만들 능력을 갖추고 있지만, 만들지 않고 있을 뿐이다.

테러범이 이용한 아이폰(5C)의 운영체제에는 암호를 여러 번 틀리면 점점 더 오랜 시간을 기다려야만 다시 입력할 수 있는 기능과 사용자 설정에 따라 더 많은 횟수를 틀리면 아이폰 내의 정보가 몽땅 삭제되도록 하는 기능이 들어있다.

FBI는 애플에 이와 같은 기능이 없는 운영체제(iOS 10)를 만들어달라고 요청했다. 그 ‘두 가지 기능이 빠진 iOS’로 아이폰을 업데이트한 후 무차별 공격(brute force) 등 여러 방법을 동원해 잠금 해제 암호를 직접 찾아보겠다는 것이다. 이때 iOS 업데이트를 하려면 애플의 승인을 거쳐야 하기 때문에 사실 애플이 업데이트한다고 보는 것이 맞다.

여기서 재미있는 질문은 이렇다:

‘애초에 왜 애플이 잠금 해제 없이도 iOS 업데이트가 가능하도록 해놓았는가?’ 

만약 그렇지 않았다면, FBI의 요청에 대해 애플은 그냥 ‘불가능하다’고 답하면 그만이었을 것이기 때문이다. 또는 만약 애플이 iOS 업데이트와 무관하게 작동하는 암호보호 소프트웨어를 내장시켰다면 어땠을까?

실제로 이후 버전의 아이폰에는 보안 엔클레이브(Security Enclave)라는 프로세서^[4]가 있어서 어떤 종류의 iOS가 업데이트되더라도 암호를 풀기는 실질적으로 불가능해졌다. 즉 새 버전의 아이폰은 이용자가 암호를 알려주지 않으면 그 정보는 영원히 폰 안에 잠기게 되어 지금과 같은 공방이 애초에 발생하지 않는 것이다.

정부는 프로그래머에게 코딩을 강요할 수 있는가

그렇다면, 애플이 실제로 고객 프라이버시만을 생각했다면 왜 예전 버전에서는 이용자 동의 없이 애플이 iOS 업데이트를 할 수 있게 설계했을까? 고객이 암호를 잃어버렸을 때 그 안의 중요한 정보를 빼주기 위해서? 그런 목적이었을 리는 없다. 애플은 이미 용의자의 클라우드 계정에 있는 정보를 FBI에게 넘겨줬다.

만약 고객의 중요 정보를 빼낼 목적이었다면 FBI가 요청한 업데이트도 안 해줄 명분이 없다. 애플이 클라우드 정보는 제공하면서 아이폰 내의 정보 취득을 돕지 않는 이유는 고객의 프라이버시 때문만이 아니라 바로 프로그램을 새로 만들어야 하기 때문이다.

애플을 비난하려는 것이 아니다. 각 기기의 보안기준은 사회규범을 통해 정해진 것이 아니라 각자 프로그래머들이 자유롭게 정하는 것이고 전 세계 시민단체 중에 누구도 애플에 왜 보안 엔클레이브를 미리 설치하지 않았느냐고 비난한 적이 없고 비난해서도 안 된다. 그럴 수 있다면 모든 안드로이드에 대해서 불매운동을 벌여야 할 것이다.

즉, 아이폰을 완전히 침투 불가능하게 만들 수도 있고 부분적으로 침투할 수 있게 만들 수도 있는 자유를 이미 애플의 프로그래머들이 향유하고 있는 상황에서 ‘iOS 10 하나만 만들어도 그 코드가 확산할 수 있다’는 주장은 그 자체만으로는 협조를 거부하기에 충분한 반론이 아니다.

결국, 더 강한 반론은 프로그래머들에게 코딩을 강요할 수 있다는 논거가 더해질 때 비로소 얻을 수 있다. 특히 ‘나쁜 선례를 만든다’는 주장도 그 선례가 이용자 협조 없이 정보를 취득할 수 있게 해주는 선례일 뿐 아니라 프로그램을 새로 만들어달라는 정부 요구를 수용하는 선례임을 이해할 때 의미를 얻는다. 혹자는 프로그래밍(코딩)의 자유를 표현의 자유와 동일시하면 프로그래밍에 대한 규제를 하기 어렵게 된다고 말한다. 나도 원칙적으로 이런 견해에 반대하지는 않는다.

애플의 정체성을 보호해야 한다는 법원 판결

FBI가 마약범죄 수사에서 애플에 백도어를 만들어달라는 요청을 했는데 기각된 건을 살펴보자. 이 건에서의 핵심 논리는 “수사대상 범죄에 관여하지도 않은 사기업에 그 수사를 도와주는 소프트웨어를 만들어달라는 부담을 줄 수 없다”는 것이다.

판사는 특히 애플의 부담을 논하면서“애플이 이용자들에게 약속한 보안이 지켜지는가는 애플의 매출에만 영향을 주는 것이 아니라 애플이 어떤 회사가 되려고 열망하는가에도 영향을 준다”^[5]고 논하는 대목에서는 코드에 영혼을 담는 프로그래머들의 모습이 그려지기도 한다.

참고로 이 결정을 내린 제임스 오렌스틴 판사는 오랫동안 친(親)프라이버시 결정을 내려온 판사다. 임기제 판사^[6]라서 연방판사^[7]보다 영향력은 떨어지지만, 압수수색, 감청, 통신사실확인과 관련해서는 임기제 판사들이 결정을 많이 내리기 때문에 다른 임기제 판사들에게 영향을 줄 것으로 본다.

==============================

[1] 아이폰 5C

윽박지를 땐 대통령이지만 욕먹을 땐 개인이란다

글 | 허광준(오픈넷 정책실장)

만일 내가 어떤 사람을 비판 혹은 비난하기 위해 인터넷에다 “개OO 같은 아무개 개XX의 만행”, “진짜 개OO 걸X 같은 년”이라는 글을 썼다고 치자.

한국에서는 이러한 행위가 모욕죄란 이름으로 처벌될 수 있다. 이 글의 대상이 된 아무개 씨는 나를 모욕 혐의로 고소할 수 있고, 나는 1년 이하의 징역이나 금고 또는 200만원 이하의 벌금에 처해질 수 있다.

심평원을 욕한 의사

그런데 비슷한 내용을 쓴 한 의사는 법원으로부터 무죄 판결을 받았다. 무슨 비결이 있었던 것일까? 의사라서 봐줬나?

개업의인 ㄱ씨는 2013년 1월의 어느 날, 자신의 블로그에다 위와 같이 누군가를 신랄하게 비난하는 글을 썼다. 그 ‘누군가’란 공공 업무를 수행하는 수많은 국가기관 중 하나인 건강보험심사평가원(이하 ‘심평원’)이었다.

이에 앞서 ㄱ씨는 급성기관지염으로 병원을 찾아온 환자에게 항생제 치료를 하였다. 이 치료비를 의료보험으로 처리하는 과정에서 심평원은 금액을 삭감했다. 정당하게 치료한 치료비가 삭감되었다고 생각한 ㄱ씨는 심평원에 항의했다. 심평원으로부터는 조정평가위원회 결정에 따른 조처라는 무성의한 답변만이 돌아왔다.

이미 치료가 끝난 사안에 대해 보험 처리가 되지 않으면, 의사가 그 비용을 그대로 뒤집어써야 한다. 화가 난 ㄱ씨는 자신이 운영하는 블로그에 위와 같은 단어를 써서 심평원을 비난했다.

욕설 의사가 무죄인 이유  

심평원은 ㄱ씨를 모욕죄로 고소했고, 이에 대해 2013년 11월 열린 1심 재판은 무죄 판결을 내렸다. 검찰은 이에 불복하고 항소를 제기하였으나, 2014년 5월의 2심 재판에서도 ㄱ씨는 무죄 판결을 받았다.

그런데 1심과 2심은 똑같이 ㄱ씨의 행위를 무죄로 보았지만, 그 이유에서는 미묘한 차이가 났다. 1심의 경우는 글이 쓰인 맥락을 고려하며 게재 동기나 전체적인 배경에서 헌법상 보장된 표현의 자유를 벗어나지 않는다고 보았다.

“피고인이 글을 게시하게 된 동기나 경위 및 배경 등에 비추어 보면 … 자신의 판단 및 의견을 제시하면서 그 타당함을 강조하는 과정에서 부분적으로 모욕적인 표현을 사용한 것이고 그 비중이 크지 아니하며, 이러한 표현은 위 게시물의 게재 동기나 게시물의 전체적인 맥락에서 볼 때 악의적이거나 현저히 상당성을 잃은 공격이 아닌 것으로 보아 헌법상 보장된 표현의 자유의 범위 내에 속한다고 보이므로… 사회상규에 위배되지 않는 행위에 해당된다고 판단된다.”

그러나 2심은 1심과는 달리, 문제의 표현이 매우 저속하여 부적절하므로, 이 표현이 사회상규에 위배되지 않는다고 볼 수 있는지 의문을 제기했다. 그러면서도 똑같이 무죄라는 결론에 이른 것은 또 다른 점 때문이었다. 즉, 모욕적 표현의 대상이 개인이 아니라 국가기관이라는 것이었다.

“피고인이 게시한 글은 국가기관의 업무 수행에 관한 비판이 주목적인 것으로 보이고 특정 개인을 겨냥하고 있지는 않은데, 이와 같은 국가기관의 업무 수행은 국민의 감시와 비판의 대상이 되는 것이어서 국가기관 그 자체는 형법상 모욕죄의 피해자가 될 수 없다고 봄이 상당하다.”

검찰은 다시 상고하였으나, 2016년 3월 대법원은 원심 판결을 인정하고 상고를 기각하였고ㄱ씨는 무죄가 확정되었다.

“국가기관은 명예훼손의 피해자가 될 수 없다”

대법원의 심평원 판결은 공공 업무를 수행하는 국가기관이 그 업무와 관련하여 모욕죄의 대상이 될 수 없음을 천명한 것으로 큰 의미를 가진다. 사실 모욕죄와 비슷하면서 그보다 형량이 더 큰 명예훼손죄에 대해서도 비슷한 대법원 판결이 이미 내려져 있어, 이것은 똑같은 민주적 원칙을 다시금 천명한 것으로 볼 수도 있다.

2011년 9월, 대법원은 광우병 논란을 다룬 PD수첩에 대해 정운천 전 농림수산식품부 장관과 민동석 전 외교통상부 정책관이 낸 명예훼손 소송 판결에서, 국가기관의 업무 수행과 관련된 사항은 항상 국민의 감시와 비판의 대상이 되어야 하고 국가기관은 명예훼손죄의 피해자가 될 수 없다고 판시하며 무죄를 선고한 바 있다.

2008년 4월 MBC PD수첩 ‘미국산 쇠고기, 과연 광우병에서 안전한가’ 편 방송을 진행했던 송일준 PD ⓒ MBC

“특히 정부 또는 국가기관의 정책결정이나 업무수행과 관련된 사항은 항상 국민의 감시와 비판의 대상이 되어야 하고, 이러한 감시와 비판은 이를 주요 임무로 하는 언론보도의 자유가 충분히 보장될 때 비로소 정상적으로 수행될 수 있으며, 정부 또는 국가기관은 형법상 명예훼손죄의 피해자가 될 수 없으므로, 정부 또는 국가기관의 정책결정 또는 업무수행과 관련된 사항을 주된 내용으로 하는 언론보도로 인하여 그 정책결정이나 업무수행에 관여한 공직자에 대한 사회적 평가가 다소 저하될 수 있더라도, 그 보도의 내용이 공직자 개인에 대한 악의적이거나 심히 경솔한 공격으로서 현저히 상당성을 잃은 것으로 평가되지 않는 한, 그 보도로 인하여 곧바로 공직자 개인에 대한 명예훼손이 된다고 할 수 없다.“

국가기관은 국민을 대표하고 국민을 위하여 일하는 것이 조직 목적이다. 또 그들이 하는 일은 국민 전체의 생활에 직접 영향을 미친다. 이러한 국가기관과 공직자를 국민이 감시하고 비판하는 것은, 국민 이외에는 ‘절대 존엄’이 존재하지 않는 민주 국가에서 당연한 일이다.

그 감시와 비판 과정에서 표현이 좀 과하거나 공직자 개인의 사회적 평가가 좀 떨어지게 되더라도 모욕이나 명예훼손이 성립하지 않고, 그런 걸 빌미로 해서 언론, 더 나아가 국민의 표현의 자유를 억압해서는 안 된다는 것이 민주공화국인 대한민국의 헌법 정신이자 대법원의 판단이다.

심평원 판결과 PD수첩 판결을 대법원의 말을 빌어 간추린다면, “국가기관 그 자체는 형법상 모욕죄의 피해자가 될 수 없”으며, 또 “정부 또는 국가기관은 형법상 명예훼손죄의 피해자가 될 수 없”다.

국민 상대로 질 싸움을 거는 정부와 공직자

국가기관이 명예훼손죄나 모욕죄의 대상이 되든 말든, 국가기관과 공직자들은 국민을 상대로 하여 꾸준히 명예훼손과 모욕 소송을 걸어왔다. 죄가 없는 것으로 판정될 걸 뻔히 알면서도 말이다. 때로는 이들의 명예를 끔찍하게 염려해주는 어용 단체가 대역을 맡기도 했고, 때로는 역시 이들의 명예를 끔찍하게 염려해주는 수사기관이 달려들기도 했다.

악역을 누가 맡든, 결과는 비슷했다. 참여연대가 2013년에 발표한 자료에 따르면, 이명박 정부 하에서 정부나 공직자가 제기한 명예훼손죄 및 모욕죄 소송은 모두 30건이나 됐다. 청와대 홍보수석, 서울시장, 문화부장관, 경찰, 검찰, 국세청, 국가정보원 등 우리나라에서 힘깨나 쓴다고 하는 기관과 공직자들이 줄줄이 원고로 나섰다. 국정원은 민·형사를 통틀어 6번이나 주인공으로 등장했다.

그런데도 이들로부터 고소되고 손해배상 소송을 당한 국민 절대다수는 무혐의 처리되거나 무죄 판결을 받았다. 실제로 죄가 있는 것으로 판정된 것은 한두 건에 지나지 않았다.

국민을 상대로 ‘너 고소’ 남발하는 대한민국 정부와 공직자

질 것을 알면서도 싸우는 것은 바보다. 혹은 황산벌의 백제군처럼 장렬한 최후를 맞이할 준비가 되어 있는 이들이 그럴 수 있을 것이다. 혹은 질 때 지더라도 얻을 게 있다고 간교하게 계산하는 자들도 그럴 수 있을 것이다. 국민을 상대로 하여 질 싸움을 거는 한국 정부와 공직자들이 이 셋 중 어디에 속하는지 판단하기는 쉽지 않다.

다만 이러한 행위를 놓고 ‘국가권력의 명예훼손죄 기소 남용 방지와 제도 개선 방안’ 같은 토론회를 여는 사람들의 견해를 참고할 수 있을 것이다.관련 보도에 따르면, 이 토론회에서 박경신 고려대 법학전문대학원 교수는 다음과 같이 말했다.

“(이러한 기소 및 소송 제기는) 국민의 공적 발언 자제나 여론 형성의 위축만을 초래할 뿐 아무런 법적 이익이 없다는 점에서 ‘국민 입막음 소송’이라고 할 수 있다.”

다시 말해 이들이 바보거나 장렬한 최후를 맞을 준비가 된 자들이 아니라면, 국민에게 겁을 주고 송사로 괴롭혀서 헌법적 권리인 표현의 자유를 스스로 포기하게 하고 정부와 공직자에 대한 비판을 막으려는 간교한 술수를 벌이는 자들이라는 합리적 의심을 갖게 되는 것이다.

박근혜 정부의 소송 쇼쇼쇼

괘씸한 국민에게 명예훼손죄나 모욕죄를 덧씌우는 소송 쇼는 박근혜 정부 들어와서도 계속된다. 2015년 7월 참여연대가 정리해 발표한 자료에 따르면, 박근혜 정부 시작 이래 그때까지 국민이 정부나 공직자의 명예를 훼손하거나 모욕했다는 이유로 민·형사 소송을 당한 경우는 22건에 달했다. 형사 소송이 18건, 민사 소송이 4건이었다. 형사 사건 중 4건은 박근혜 대통령의 명예를 훼손했다는 혐의였다. 실컷 조롱 대상이 됐던 이명박 정부 5년 동안에도 대통령 명예훼손 소송은 한 차례에 지나지 않았다.

대통령이나 국회의원은 공직자 중에서도 가장 대표적인 공직자이다. 이들은 권력구조의 핵심을 구성하는 이들로서, 각 개인이 사실상 국가기관이나 마찬가지 성격을 가진다고 할 수 있다.

국가기관이나 공직자의 업무 수행과 관련한 비판은 비록 좀 과도하더라도 민주 사회에서는 당연히 있어야 하는 것이다. 그래서 명예훼손이나 모욕 자체가 성립하지 않는다고 보는 게 대법원 판례다. 그런데도 죽어라 명예를 지키겠다고 국민을 상대로 소송한다.

박근혜 대통령 자신이 직접 “대통령에 대한 모독적 발언이 도를 넘고 있다”고 발언한
2014년 9월 16일 제40회 국무회의 모습 (출처: 청와대)

어떤 대통령도 모든 국민을 100% 만족하게 할 수는 없다. 불만족한 국민은 비판도 하고 비난도 하고 욕도 하게 마련이다. 국민의 욕을 먹는 게 불명예라서 참기 어려운 생각이 든다면, 민주공화국이라는 국가 체제와 자신의 정체성이 서로 궁합이 맞지 않는다고 보면 된다. 욕먹는 것을 참을 수 없다면 소송으로 국민을 괴롭힐 게 아니라, 대통령을 안 하면 된다. 욕먹을 것 먹고 비판받을 것 받아가면서 당당하게 대통령 하겠다는 사람 쌔고 쌨을 것이다.

민주 국가에서 존재하기 어려운 대통령의 명예훼손 소송 폭주는 지금도 멈추지 않는다. 무혐의 처분이나 무죄 판결이 나더라도 소송을 제기한 쪽의 재갈 물리기는 톡톡히 효과를 거두는 셈인데, 심지어 어이없게도 일부 판사는 이전 판례를 무시하고 그런 폭주에 부채질을 해주고 있다.

법원의 창조적 발상: 공인 박근혜 vs. 사인 박근혜

1. 환경운동가 박성수 씨 사건

환경운동가 박성수 씨는 2015년 봄에, 세월호 사건 당시 박근혜 대통령의 행적에 의문을 제기하는 전단을 만들어 배포하고 페이스북에 그런 내용을 올렸다가 대통령에 대한 명예훼손 혐의로 기소되었다. 검찰은 징역 1년을 구형했다.

그해 12월 열린 1심 결심 재판에서 대구지방법원 재판부는 1) 대통령은 그 자체로 헌법기관이고 따라서 그 직무 수행에 대한 비판이 명예훼손을 구성하지 않는다는 점은 인정하면서도 2) 대통령의 정체성을 헌법기관의 그것과 개인의 그것으로 구분하여, 박씨의 비판은 대통령 개인에 대한 공격이므로 명예훼손이 성립한다는 기발한 판단을 하였다.

마치 박씨가 개인적으로 원한이 있어서 다른 박씨의 (공공 이슈와 아무런 관련이 없는) 개인적 일을 물고 늘어져 명예훼손을 범한 것처럼 말이다. 박 씨는 징역 1년, 집행유예 2년을 선고받고 현재 항소 중이다.

2. 부산 ㄴ씨 전단지 사건 

얼마 전인 6월 23일, 부산에서 대통령을 비판하는 전단지를 배포하여 명예를 훼손한 혐의로 기소된 ㄴ씨에 대해 부산지방법원은 징역 6월, 집행유예 2년을 선고했다. 이유는 ㄴ씨가 “헌법상 보장된 표현의 자유에 의해 보호되어야 한다는 취지로 주장하나, 이를 빙자하여 악의적으로 허위사실을 유포하여 공직자 개인의 명예를 훼손하는 등의 각종 범행”을 저질렀다는 것이다.

엄청난 범죄를 저지른 것 같지만, 문제가 된 것은 전단지 내용에 포함된 “청와대 비선 실세 + 염문설의 주인공 정 모 씨에 대한 의혹 감추기” 단 한 줄이었다. 이것이 대통령이 아니라 사인(私人) 박근혜의 명예를 침해하였다는 것이다.

3. 정신 장애인 ㄷ씨 사건 

또 6월 12일 보도에 따르면, ‘상습적으로 박근혜 대통령 비방 글을 인터넷에 올린’ ㄷ씨에 대해 서울중앙지방법원은 징역 10개월을 선고했다. 그런데 재판부는 ㄷ씨가 정신이 온전하지 않다는 점을 알고 있었다. 판결문에서 “정신감정 결과 최씨는 피해망상, 충동조절능력 저하 등 정신분열증을 앓고 있다”라고 한 것이다.

그럼에도 “심신미약 상태였다 할지라도 글을 올려 사회적 오해와 혼란을 빚은 점을 비춰볼 때 실형이 불가피하다”라고 주장했다. 심신미약 상태면 강도, 강간, 살인 같은 흉악 범죄를 저지르더라도 감형하는 게 법원의 태도다. 하지만 대통령을 비방하면 심신미약이든 아니든 정신 장애인조차 가차 없이 처벌하겠다는 셈이다.

국경 없는 기자회가 본 한국, “성질 잘 내는 대통령” 

국민이 비판하는 공직자의 모습에서 순수한 사인을 추출하기는 애초에 불가능함에도(국민이 왜 비판을 하고 비난을 하고 비방을 하겠는가), 그런 억지를 들이밀어 국민을 기소하고 처벌하는 나라를 어떻게 보아야 할까. 이것은 자유민주공화국인 대한민국에서 주권자로 살아가는 5천만 국민에 대한 모독이 도를 넘고 있는 꼴이 아닌가.

우리는 대통령 개인의 명예가 5천만 국민이 누려야 할 민주적 기본권보다 중요한 것인가에 의문을 가지지 않을 수 없다. 그 의문에 대한 해답의 한 실마리는, 노무현 재임 때 31위까지 올라갔던 한국의 언론자유 순위가 이명박 때 40위권으로 떨어지고 박근혜 시기에 들어와서 50 → 57 → 60 → 70위로 꾸준히 떨어지고 있는 양상에서 찾을 수 있을 것이다.

‘국경 없는 기자회’가 펴낸 2016년 세계 언론자유지수 리포트에서 한국 항목의 제목은“irascible presidency(성질 잘 내는 대통령)”이었다.

‘국경 없는 기자회’ 한국 항목 제목은 “성질 잘 내는 대통령”

* 위 글은 슬로우뉴스에 동시 게재하고 있습니다.(2016.06.30.)

▲ 이탈리아 업체 ‘해킹팀’의 원격감시프로그램 RCS 설치용 CD

Q.국정원이 사용하는 해킹솔루션인 RCS(Remote Control System)은 불특정 다수의 PC나 휴대폰을 무차별적으로 해킹하나?

그렇지 않다. 많은 사람들이 오해하는 부분인데 국정원이 사용하는 RCS라는 해킹프로그램은 원하는 목표물만 대상으로 한다. 도감청 대상자(target)가 사용하는 PC나 스마트폰에 문자나 메일을 보내 감염시킨 뒤에 에이전트(원격으로 작동하는 작은 스파이웨어)를 설치해 단말기 내 자료를 해킹하거나 통화내용을 빼가는 방식이다. 스팸메일이나 보이스피싱처럼 악성코드를 무차별적으로 살포해 불특정 다수를 목표로 하는 방식과는 다르다.

Q.그렇다면 국정원은 몇 명이나 도감청할 수 있나?

국정원이 감시할 수 있는 대상(target)은 동시에 최대 20개까지 가능하다. 도감청 목표물의 수는 이탈리아 해킹팀과의 계약에 따라 늘어날 수도 있고 줄어들 수도 있다. 국정원은 2012년 초 첫 계약 때 10개를 계약했고, 그해 7월에 목표물 10개를 더 감시할 수 있는 시스템을 추가로 계약해 현재 20개를 커버할 수 있는 것으로 확인됐다. 즉 현재 운용하는 시스템은 최대 20개의 목표물을 동시에 해킹하거나 도감청할 수 있는데 목적을 달성한 목표물은 빼고, 그만큼의 목표물을 추가할 수 있다. 물론 돈을 더 많이 지불하면 더 많은 목표물을 감시할 수 있지만 그럴 경우 국정원의 관리인력과 장비도 그만큼 보강해야 한다.

▲ 2013년 7월, 국정원이 사용하고 있는 RCS에 표시된 목표물 감시 현황이다. 에이전트. 20개 가운데 17개가 가동되고 있는 것으로 보인다.

Q.아이폰은 해킹이 불가능하다던데?

이탈리아 해킹팀의 RCS 제품은 아이폰도 해킹할 수 있다. 단 현재는 이른바 ‘탈옥폰’의 경우만 가능하다. 탈옥폰은 제조사인 애플이 여러가지 기능을 제한하기 위해 걸어놓은 잠금장치를 해제시킨 휴대폰을 말한다. 탈옥폰은 사용자 환경을 마음대로 바꿀 수 있고 유료 앱을 무료로 쓸 수 있게 해주지만 보안에 치명적인 약점을 가지게 된다. 탈옥시키지 않은 정상적인 폰의 경우에는 아직까지 RCS의 침투가 불가능하다. 그러나 유출된 자료를 보면 해킹팀은 탈옥하지 않은 아이폰도 해킹이 가능하도록 연구 중이며 이미 데모 버전도 만들어 놓은 것으로 알려졌다. 또 현재의 RCS 버전 9.6 이후에 나올 버전 10.0부터는 아이폰에 대해서도 RCS가 작동하도록 할 계획이었던 것으로 알려졌다.

Q. 안드로이드폰의 경우는 어떤가?

운영체제 버전에 따라 다르다. 해킹팀의 RCS는 안드로이드 4.4(킷캣)까지만 지원하고 안드로이드 5.0(롤리팝)은 아직 지원하지 않는다.

Q.국정원의 해킹 프로그램이 뚫고 들어갈 수 있는 스마트폰은 어떤 게 있나?

운영체제와 단말기에 따라 다르다. 앞서 말한대로 아이폰의 경우는 탈옥폰의 경우에만 가능하고 안드로이드폰의 경우는 운영체제와 제품에 따라 침투되는 것도 있고 아닌 것도 있다. 해킹팀은 블랙베리도 뚫을 수 있다고 설명한다.

RCS를 작동하려면 우선 해당 기종의 보안 취약점을 공격해야 하는데 새로 출시되는 휴대폰 단말기 종류와 운영체제가 워낙 다양해 해킹팀이 이를 바로 따라잡지는 못하고 있다. 즉 개발까지는 일정한 시차가 있기 때문에 최신 휴대폰일수록 안되는 경우가 많다고 보면 된다. 국내에서 많이 사용되는 삼성 단말기의 경우 갤럭시 시리즈는 S, S2, S3, S4, S5까지 침투가 가능하고 노트의 경우는 노트3까지 해킹이 가능하다. 갤럭시 S6와 S6에지는 아직 불가능하다.

Q.파일을 빼가는 것은 물론 통화녹음도 할 수 있다는데?

물론이다. 에이전트를 심어놓은 PC나 스마트폰은 국정원이 원격으로 자기 마음대로 조정할 수 있다고 보면 된다. 통화도 녹음할 수 있고 단말기에 내장된 마이크를 통해 감시 대상자가 있는 현장의 소리를 녹음할 수 있다. 내장 카메라를 통해 사용자 몰래 사진을 찍어 저장해 놓은 뒤 이를 전송할 수도 있다.

해킹팀이 고객들의 문의에 답한 내용을 보면 감시 대상자의 스마트폰 내부에 저장공간이 부족해 녹음파일을 저장할 수 없는 경우에는 통화 녹음이 불가능하다고 돼 있다.

Q.스마트폰 메신저 앱을 통한 대화도 가로채 갈 수 있나?

그렇다. 하지만 이 기능은 2015년 6월 현재 안드로이드폰의 경우 ‘루팅’된 폰에서만 가능한 것으로 돼 있다. 루팅폰은 탈옥폰과 마찬가지로 제조사의 기능제한 장치를 풀어버린 폰이다.

루팅이 돼 있을 경우는 스카이프, 왓츠앱, 바이버, 라인, 페이스북, 행아웃, 텔레그램 등에서 이뤄지는 문자 대화 내용을 모두 빼낼 수 있다. 스카이프와 바이버의 경우에는 앱을 통한 음성통화까지 가로채는 게 가능하다.

Q.국정원은 누구를 대상으로 해킹프로그램을 사용했나?

그동안 해킹프로그램과 관련해 어떤 정보도 확인해 줄 수 없다던 국정원은 첫 보도 6일만인 14일에야 대북정보전을 위한 연구개발을 위해 해킹프로그램을 사용했다고 국회 정보위에서 해명했다. 국내 민간인을 대상으로 사용한 적은 없다는 것이다. 정보기관의 특성상 자세한 내용을 밝힐 순 없지만 일부 테스트용으로 사용한 것도 북한공작원을 상대로 한 것이라고 주장했다. 카카오톡에 대한 해킹 문의를 한 것도 북한 공작원이 카카오톡을 사용하는 경우가 있기 때문이라는 것이다. 유출자료를 보면 해킹을 시도한 대상이 중국같은 해외에 있는 PC나 휴대폰인 경우도 확인이 된다. 하지만 국내 이동통신사에서 출시한 스마트폰에 대한 해킹을 요청하거나 ‘천안함 문의’라는 한글 이메일을 통해 감시대상 단말기를 감염시키려 한 사례가 발견돼 국내 민간인을 감시한 게 아니냐는 의혹은 가시지 않고 있다.

▲ 국정원이 2013년10월4일 에이전트를 심어 달라고 해킹팀에 보낸 Cheonan-ham(Cheonan ship).docx 파일. 미디어오늘의 ‘조현호’ 기자를 사칭한 것으로 보인다.

Q.이탈리아의 해킹팀은 해킹 조직인가? 소프트웨어 회사인가?

이탈리아 업체 해킹팀은 지하에서 익명으로 활동하는 해커들의 비밀스러운 조직은 아니다. 2004년부터 해킹프로그램을 만들어서 판매하는 인터넷 보안업체다. 본사는 밀라노에 있지만 싱가포르와 미국 애나폴리스에 지부를 두고 있고 해마다 각국에서 열리는 유명 보안 관련 전시회와 컨퍼런스에도 자주 참여해 마케팅 활동을 펼치고 있다. 하지만 ‘시티즌랩’과 ‘국경없는 기자회’ 같은 국제단체들은 해킹팀의 감시프로그램이 독재국가에서 인권탄압 등에 악용되고 있다며 이 업체를 ‘인터넷의 적’이라고 비난해 왔다.
해킹팀은 프로그램 프리젠테이션과 운영에 관한 기술지원, 교육을 위해 지난 2010년 12월 7일 한국을 처음 방문한데 이어 지금까지 모두 5차례 한국에 와 국정원 담당자들을 만났다.

▲ 2013년 4월 런던에서 열린 보안 관련 전시회에 부스를 차린 해킹팀. 출처 : Ryan Gallger 트위터

Q.우리나라 말고 해킹팀의 RCS를 구입해 사용하고 있는 나라는 어디인가?

30여 개 국가에서 70개 이상의 기관이 이 해킹프로그램을 구입해 사용하고 있는 것으로 알려졌다. 대부분 정보기구나 군,경찰 관련 정부기관이다. 해킹팀 전체 고객리스트는 이곳에서 볼수 있다.

Q.이번에 해킹된 해킹팀 내부 자료는 어디에서 볼 수 있나?

2015년 7월 6일 유출된 이후 비트토렌트와 https://ht.transparencytoolkit.org에 데이터가 공개됐다. 비밀정보 폭로사이트인 위키리크스는 7월 9일 해킹팀 특별 페이지를 오픈해 이 자료들을 누구나 검색할 있도록 했다.

이 나라에는 한 주 걸러 한 주, 어느날은 하루 건너 하루, 느무느무 큰 일들이 많이 생기니 "국가정보기관이 국민들 상대로 해킹했을 것이다"라는 거의 확실한 의심들 조차 어느새 지나간 이야기가 되었다.

그러나 잊지 말아야 할 것은, 그렇게 무뎌질 대로 무뎌진 상처 너머로 진짜 상처는 이미 우리 뼛속깊은 곳에 깊은 독이 되어있을지 모른다는 것.

이상한 나라의 국정원, 여기 국정원이 있다.