주요 콘텐츠로 건너뛰기

통신자료 제공과 관련된 대법원의 메시지를 정확하게 읽어야

지역

통신자료 제공과 관련된 대법원의 메시지를 정확하게 읽어야

익명 (미확인) | 금, 2016/03/11- 10:43

통신자료 제공과 관련된 대법원의 메시지를 정확하게 읽어야

 

오늘 대법원 민사4부는, 이동통신사나 포털 등과 같은 전기통신사업자들이 수사기관에게 이용자 신원정보를 제공해온 관행에 대하여, 전기통신사업자들은 전기통신사업법 제83조 제3항(구 전기통신사업법 제54조 제3항) 상의 통신자료제공 요청을 받을 때 그 요청을 실질적으로 심사할 의무를 ‘일반적으로’ 가지고 있지 않다고 판시하였다. 그 취지로는 수사기관의 권한 남용에 대한 통제는 국가나 해당 수사기관에 대하여 직접 이루어져 하는 것이지 통신자료제공 요청의 적절성에 대한 판단의 부담을 사인에게 전가할 수 없다는 것이다.

이 사건은 공인인 유인촌 당시 문화부 장관이 ‘연아 회피 동영상’ 게시물을 인터넷에 게시한 네티즌들을 명예훼손으로 형사고소하였고, 사건 담당 경찰서장이 이 사건을 수사하기 위하여 이 게시물을 매개한 포털에게 성명, 주민등록번호, 주소, 전화번호, 아이디 등 이용자에 관한 통신자료를 요청하였고 해당 포털이 수사기관에 통신자료를 제공함으로써 불거진 사건이다. 이후 명예훼손으로 형사고소당하고 또한 자신의 통신자료가 포털에 의해 수사기관에 제공된 이용자는 포털을 상대로 손해배상을 구하는 민사소송을 제기하였다. 제2심을 담당한 서울고등법원은2012. 10. 18. 손해배상을 인정함으로써, 2012년 10월의 서울고등법원 판결 이전까지 전기통신사업자가 거의 모든 통신자료제공요청에 대하여 아무런 심사 없이 기계적으로 제공해온 관행에 경종을 울렸었다. 하지만 대법원은 포털의 손해배상책임을 인정하지 않는 취지의 판결을 내린 것이다.

 

개인정보 보호 내지 통신비밀 보호와 관련되는 이 사건에서 대법원의 판결이 던지는 메시지를 곡해해서는 안 되고 정확하게 읽어야 한다.

우선, 대법원이 던진 메시지는 수사기관의 통신자료 제공 요청을 받을 때 그 요청을 ‘실질적’으로 심사할 의무를 전기통신사업자가 ‘일반적으로’ 가지고 있지 않다는 것이다. 이러한 메시지의 이면에는 전기통신사업자에 대해서 실질적 심사에 대한 물리적‧경제적 기대가능성을 인정하기가 쉽지 않다는 점을 고려한 것으로 보인다. 하지만 대법원의 메시지를 실질적 심사의무를 ‘전혀’ 가지고 있지 않다는 의미로 오해해서는 안 된다. 따라서 구 전기통신사업법 제54조 제3항이 규정하고 있는 요건이나 절차 위반 등(예컨대 통신자료 제공요청권자, 통신자료 제공요청서 등의 법정요건과 절차 위반이 있는 경우, 통신자료 제공요청서 자체에 명백한 오류가 있는 경우 등)의 위법성이 명백함에도 불구하고 통신자료를 제공한 경우라든지 혹은 수사기관이 자신의 수사권한을 오‧남용하기 위해 요청하는 것이 객관적으로 명백함에도 불구하고 통신자료를 제공한 경우에는 여전히 전기통신사업자는 수사기관의 통신자료 제공요청을 거부해야 한다. 이러한 경우까지 전기통신사업자에게 면책을 부여한 것으로 곡해해서는 안 된다.

다음으로, 대법원이 던진 메시지는 통신자료 제공제도를 둘러싼 문제점, 예컨대 개인정보자기결정권에 대한 침해 우려, 통신비밀보호라는 헌법적 가치에 대한 위해 등의 문제를 법원이 개입해서 판단할 것이 아니라 입법적으로 해결하라는 취지이다. 그동안 전기통신사업법상의 통신자료 제공제도에 대해서는 헌법상의 기본권인 통신비밀보호와 개인정보자기결정권을 침해하고, 영장주의와 적법절차원칙에 반하는 잘못된 제도라는 주장이 줄기차게 제기되어 왔다. 따라서 이번 대법원 판결을 계기로 하여 국회는 전기통신사업법상의 통신자료 제공제도에 대해서 통신비밀보호법과 마찬가지의 수준으로 영장주의를 적용하고, 적법절차원칙에 부합하는 방향으로 전기통신사업법을 신속하게 개정해야 할 것이다.

특히 대법원은 신원정보의 제공은 프라이버시를 깊게 침해하지 않는 것으로 보았는데, 이용자 신원정보는 특정 익명의 통신을 한 이용자의 신원정보이다. 통신자료제공은 익명의 통신의 내용을 특정인에게 연계시키기 때문에 특정인의 내밀한 통신의 내용을 취득하는 수사 즉 압수수색이나 감청과 효과 면에서 다를 것이 없음을 국회는 직시해야 할 것이다.

마지막으로 전기통신사업자들은 이번 판결을 근거로 잘못된 판단을 내려서는 안 될 것이다. 대법원의 판결이 이렇다고 하더라도 소비자들의 프라이버시를 경시하는 관행에 대해서는 시장에서, 그리고 계속된 법정에서 논란을 계속 낳을 수밖에 없다. 오픈넷은 이 판결과 관계없이 통신사업자들에게 통신자료제공이 되었는지를 확인하는 캠페인을 계속 벌일 것이며 통신자료제공이 확인 되는대로 그것이 올바른 제공이었는지 법정이나 여론 등 공론의 장으로 끌어오는 작업을 계속할 것이다.

특히 테러방지법 제9조제3항도 “국정원장이 개인정보처리자에게 개인정보 제공을 요구할 수 있다”라고 되어 있어 임의수사처럼 되어 있는데, 오픈넷은 이 조항이 우리나라 사업자들이 관의 ‘합법적’ 요구는 무조건 들어주어 왔던 관행과 결합한다면 엄청난 프라이버시 침해를 발생시킬 수 있음을 지적한 바 있다. (관련 논평: http://opennet.or.kr/11217) 테러방지법은 특히 통신의 내용에 대한 제공요청도 포함하고 국정원장이 요청건수를 공개할 필요도 없기 때문에 그 위험은 매우 크다. 이런 위험으로 번지지 않도록 아무런 검토 없이 개인정보를 제공하는 관행은 중단해야 한다.

 

2016년 3월 11일

 

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

시민들의 의견

댓글 달기

Plain text

  • 웹 페이지 주소 및 이메일 주소는 자동으로 링크로 전환됩니다.
  • 줄과 단락은 자동으로 분리됩니다.
  • 사용할 수 있는 HTML 태그: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd>
이미지
무제한 수의 파일을 이 필드에 업로드할 수 있습니다.
50 MB 한계입니다.
허용된 유형: png gif jpg jpeg.
Enter the YouTube URL. Valid URL formats include: http://www.youtube.com/watch?v=1SqBdS0XkV4 and http://youtu.be/1SqBdS0XkV4.
CAPTCHA
스펨 사용자 차단 질문

국정원, 어디까지 사찰해봤니

 

해킹프로그램 사용 즉각 중단! 국민앞에 진상 공개!

국정원 해킹감청프로그램 사용 사이버사찰 진상조사 촉구 기자회견 개최 

일시 및 장소 : 7월 14일(화), 오후 1시 30분, 국회정문 앞

 

국정원이 해킹감청프로그램을 비밀리에 구매했다는 사실이 드러났고, 국정원이 이 프로그램을 불법감청에 사용했을 것으로 보이는 정황이 조금씩 드러나고 있습니다. 국정원의 프로그램 구매 내역과 사용현황을 정확하게 밝히고 불법사용에 대해 국회가 진상조사에 나서야 합니다. 특히 7월 14일 오후 2시부터 국회 정보위원회 회의가 열리므로 국회 정보위에서 이번 사건의 진상을 밝히는데 나설 것을 촉구하는 기자회견을 개최했습니다. 

 

2015년 7월 14일 '국정원 해킹프로그램 사용 사이버사찰 진상조사 촉구 기자회견' 사진

 

기자회견문

국정원은 해킹 프로그램 사용을 즉각 중단하고 진상을 국민 앞에 투명하게 밝혀라!

 

국정원이 이탈리아 해킹 프로그램 사용을 시인했다고 한다. 그러나 "대북·해외 정보전" 차원이었다는 변명을 덧붙였다. 국내 민간인 사찰 목적이 아니라는 설명이다.


불행히도 우리는 이제 국정원을 믿을 수 없다. 원세훈 전 국정원장은 선거개입과 국내정치개입 혐의로 오는 16일 상고심 선고를 앞두고 있다. 국정원이 해킹 프로그램을 한창 구입하기 시작했던 때가 바로 그 문제의 시기였다. 원장의 지시 하에 이루어진 국내정치 개입 과정에서 국정원은 이 프로그램을 전혀 쓰지 않았을까?


또 국정원은 그간 휴대전화 감청을 못하기 때문에 통신사마다 감청설비를 의무화해야 한다고 주장해 왔다. 그러나 사실은 수년에 걸쳐 휴대전화를 해킹하고 카톡을 검열해 온 것으로 보인다. 과거에도 국정원은 "휴대폰은 감청이 안된다"고 국민을 속였지만 뒤로는 몰래 휴대전화 도청장비를 직접 개발하여 사용했던 전력이 있다. 우리 국민은 국정원에 또다시 속은 것인가. 언제까지 속아야 하는가.


진상을 밝히기 위해 오늘 열리는 국회 정보위원회 뿐 아니라 그 후로도 필요한 후속 조치가 모두 이루어져야 할 것이다. 국민들 앞에 국정원의 해킹 프로그램 사용을 둘러싼 모든 의혹이 명명 백백 하게 밝혀져야 한다. 여러 차례 거짓말을 일삼아 온 국정원이 이제는 국민 앞에 투명하게 진상을 밝힐 것을 엄중 요구한다. 규명되어야 할 의혹들은 다음과 같다.

 

첫째, 국정원이 해킹 프로그램을 이용해 무엇을 했는지 전면 밝혀야 한다. 특히 국내 민간인 사찰 유무가 명확히 밝혀져야 한다. 


보도들을 종합해 보면, 국정원의 감시 목표는 국내 스마트폰 이용자였던 것이 거의 확실하다. 국정원은 국내에서 가장 일반적으로 사용된다는 이유에서 해킹팀에 카카오톡 검열 기능을 요청하였고, 국내에 새로운 스마트폰이 출시될 때마다 그 정확한 기종명을 적시하여 보완을 요구하였다. 또한 국내에서 널리 쓰이는 모바일 백신을 회피할 방법을 문의하는 등, 국내 스마트폰 이용자를 사찰하려는 목적이 뚜렷해 보인다.
안드로이드와 아이폰에 대한 원격 공격을 강조하였던 국정원은 특히 지방선거가 있었던 2014년6월 안드로이드폰 공격 기능을 요구하였다. 총선, 대선, 지방선거 등 선거 시기에 국정원이 선거와 국내 정치에 개입하기 위해 이 프로그램을 사용하였을 가능성에 대하여 우리는 깊이 우려하지 않을 수가 없다. 
따라서 국정원은 해킹 프로그램의 구체적인 사용현황과 더불어 각각의 적법성에 대하여 정확한 답변을 내놓아야 할 것이다. 이 프로그램을 구입하고 활용한 부서가 국내파트인 2차장 산하가 아닌지에 대한 의혹에도 답해야 한다.

 

둘째, 국정원이 왜 굳이 나나테크라는 민간회사를 통하는 복잡한 경로로 해킹 프로그램을 은밀하게 구입하였는지도 밝혀져야 할 문제이다.


통신비밀보호법 제10조의2에 따르면 국회 정보위원회에 통보하면 정보수사기관이 적법하게 감청설비를 도입할 수 있다. 그런데 국정원은 그나마의 정보위원회의 감독조차 우회하였고 나나테크 역시 감청설비 수입에 대한 미래부 인가를 받지 않은 것으로 알려져 있다. 불법의 연속이다.
국정원이 이렇게 은밀하고도 불법적으로 이 프로그램을 해외에서 구입한 것은, 해킹팀이 국외에 있기 때문에 장래에 들통나는 것을 방지할 수 있다는 이유에서였다고 한다. 그들은 무엇이들통나는 것이 두려웠던가? 


사실은 휴대전화를 도감청해오고 있는데 국민이 그 사실을 알아차리는 것이 두려웠을까? 국정원은 이 프로그램이 국내 '시민 감시에 사용'했을 가능성이 노출되는 것을 뚜렷이 두려워했다.이는 도둑이 제발 저린 모습이 아닌가.
또한 해킹 프로그램은 국내에서 불법이다. 실시간이 아니기에 해킹은 감청이 아니다. 현행 통신제한조치(감청) 영장이 발부되는 영역이 아님은 물론이다. 압수수색영장이 직접 집행될 수 있는 영역도 아니다. 그야말로 불법이다. 국정원은 이 해킹 프로그램의 구매와 사용이 불법임을 충분히 인지하였기에 국민 앞에 감추려고 했던 것이다.
이런 정보기관을 갖게 된 것은 우리 국민의 불행이다. 선거 개입과 국내정치 개입 사실이 밝혀진 후로도 국정원의 개혁은 미완인 채로 남아 있었다. 그 결과 국정원은 바로 며칠 전까지 외국해킹팀과 국민을 속일 방안을 논의할 수 있었다.

 

민주국가에서 비밀 정보기관이 여러 예외를 인정받는 것은 국민의 안전을 지키기 위해서이다.그러나 이 땅의 국가는 세월호로부터 메르스 때까지 국민이 위험할 때는 존재가 희미하였고, 이렇게 국민을 감시하고 그 위에 군림할 때만 위용을 뽐낸다. 정권의 이해에만 복종하는 국가정보기관은 인정될 수 없다. 국정원은 해킹 프로그램 사용을 즉각 중단하라. 국민 앞에 모든 진상을 밝혀라. 불법행위가 확인되면 관련자들을 즉각 처벌하라.


2015년 7월 14일
민주사회를위한변호사모임 진보네트워크센터 참여연대 천주교인권위원회 한국진보연대

화, 2015/07/14- 13:19
653
0

 

오픈백신 이용 현황 공개 및 몇 가지 비판에 대한 반론

8월 18일 현재 총 5만대가 넘는 기기에 설치

발견되는 시그니쳐에 대한 지속적인 업데이트 진행

 

지난 8월 8일, (사)오픈넷, 진보네트워크센터, P2P재단코리아준비위원회는 안드로이드용 “오픈 백신”을 일반에 공개했습니다. 많은 분들이 오픈백신을 설치하셨고, 오픈백신 개발을 격려하고 후원도 해주셨습니다. 일부 언론과 SNS를 통해 오픈 백신에 대한 비판의 소리도 나왔습니다. 그래서 지금까지의 오픈백신의 업데이트 및 이용 현황을 공개하고, 오픈백신에 대한 몇 가지 비판에 대한 반론을 하고자 합니다.

 

오픈백신 업데이트 현황

지난 8월 8일, 오픈백신 1.0 버전을 공개한 이후 세 차례 업데이트가 이루어져 현재 플레이스토어에서 1.3 버전이 제공되고 있습니다.

  • 초기 1.0 버전에서는 휴대전화 파일 시스템 내의 APK 파일만을 대상으로 검사가 이루어졌으나, 1.2 버전에서는 전체 파일 시스템을 대상으로, 그리고 1.3 버전에서는 APK와 실행파일을 대상으로 검사가 이루어지도록 변경되었습니다.
  • 악성코드 여부를 판별하는 시그니쳐(Signature) 데이터베이스도 지속적으로 업데이트되고 있습니다. 유출된 해킹팀의 이메일에 첨부된 시그니쳐 데이터를 비롯하여, 시티즌랩에서 찾아낸 악성코드가 포함된 파일의 시그니쳐, 그리고 루크 시큐리티(rook security)[1]에서 찾아낸 시그니쳐 등이 추가되었습니다. 그리고 이 중 감염되지 않은 파일로 판단된 시그니쳐(2개)는 제거하였습니다.

오픈백신은 지속적으로 디자인이나 성능 측면에서 개선해나갈 예정입니다.

 

오픈백신 이용 현황

8월 8일 공개 이후, 8월 18일 현재까지 총 5만대가 넘는 기기에 설치되었습니다.

 

안드로이드 버전별 설치현황을 보면, 안드로이드 4.4 버전이 54.71%로 가장 많고, 안드로이드 5.0 버전이 27.25 %, 안드로이드 5.1 버전이 7.73%로 그 뒤를 잇고 있습니다.

 

또한 총 810분이 오픈백신에 대한 리뷰를 해주셨고, 대부분 오픈백신에 대한 격려를 보내주셨습니다. 오픈백신을 이용하고 격려해주신 분들께 감사드립니다.

 

해킹팀 RCS 탐지 여부

현재까지 해킹팀의 RCS에 감염되었다고 정확하게 확인된 사례는 없었습니다. 아직 오픈백신으로 검사된 기기의 수가 5만여 대에 불과하기 때문에, 좀 더 광범하게 오픈백신이 설치되어 탐지해볼 필요가 있습니다.

물론 설사 RCS에 감염되었던 기기라고 할지라도, 스파이웨어를 원격으로 삭제하였거나, 혹은 이용자가 다른 백신을 통하여 이미 삭제한 경우라면 발견되지 않을 수 있습니다. 국가정보원이 RCS 이용을 위해 얼마나 광범위하게 악성 코드를 배포하였는지 아직 확실하게 드러나지 않았기 때문에, 좀 더 많은 이용자들이 오픈백신을 설치해 확인해 볼 필요가 있는 상황입니다.

 

오픈백신 비판에 대한 반론

오픈백신 공개 이후에 일부 언론[2]에서 오픈백신을 분석한 기사를 실었습니다. 이 기사들에서 제기하고 있는 문제는 다음 세 가지입니다.

첫째, 현재 백신에 올라가 있는 시그니쳐는 4개뿐이다.

둘째,안드로이드폰 사용자가 설치한 앱은 탐지할 수 없다.

셋째, RCS의 소스코드를 변경한 변종 악성코드는 탐지하지 못한다.

첫 번째, 두 번째 비판은 사실과 다릅니다. 아마도 소스코드를 잘못 분석했거나 공개 이전의 과거의 소스코드를 분석한 것으로 판단됩니다. 오픈백신은 사용자가 설치한 앱 역시 모두 탐지하고 있으며, 앞서 설명드렸다시피, RCS와 관련된 현재까지의 모든 시그니쳐를 업데이트하고 있습니다(https://github.com/p2plab/OpenVaccine/tree/RC1에서 확인 가능).

세 번째 비판은 오픈백신의 목적에 대한 오해에서 비롯된 것입니다. 오픈백신은 모든 악성코드를 탐지하고 치료하는 일반적인 백신을 목적으로 하지 않습니다. 그것은 다른 상업적인 백신업체들이 해야 할 몫입니다. 오픈백신은 기존에 해킹팀이 만들고 국가정보원이 배포한 RCS의 악성코드를 탐지하여 국가기관에 의한 국민감시를 밝히는 것이지, 이를 변형한 다른 악의적인 공격자가 만든 모든 종류의 악성코드에 대응하려는 것이 아닙니다.

오픈백신이 여러 가지 측면에서 부족한 점이 있을 수 있습니다. 그래서 저희는 더 좋은 아이디어와 능력을 가지신 분이 함께 하기를 바랍니다. 중요한 것은 오픈백신이 좋고 나쁘고가 아니라, 국가기관에 의한 시민 감시 여부를 찾아내고, 향후에 시민 감시가 없는 제도를 만드는 것입니다. 질책은 언제나 중요하지만, 부족한 부분을 함께 채워나갈 수 있기를 기대합니다.

그리고 시민들은 앞으로도 지속적인 시그니쳐 업데이트가 이루어질 것이므로 오픈 백신이 업데이트 될 때마다 검사를 해보시기를 당부드립니다.

 

[1] https://github.com/RookLabs/milano/blob/master/openioc/downloaded/openioc_1.1/linux_arm_1.1.ioc

[2] 전자신문, 오픈백신…RCS 어떻게 잡나 봤더니, 2015.8.16

보안뉴스, RCS 탐지용 ‘오픈 백신’ 분석해봤더니…속 빈 강정, 2015.8.11

금, 2015/08/21- 15:57
650
0

 밤말은 국정원이, 낮말은 방심위가?

 방송통신심의위원회가 명예훼손 게시물에 대한 심의규정을 개정한다는데...

 

방심위 명예훼손 심의규정 개정 반대 카드뉴스 1.jpg

#1.
밤말은 국정원이 낮말은 방심위가? 
방송통신심의위원회가 사이버 명예훼손 심의규정을 개정한다는데... 

 

방심위 명예훼손 심의규정 개정 반대 카드뉴스 2.jpg

#2.
원래 명예훼손 게시물은 당사자가 신고해야 방심위가 심의를 했어요
"명예훼손 등 타인의 권리 침해와 관련된 정보는 당사자 또는 그 대리인이 심의를 신청하여야 한다"
- 정보통신에 관한 심의규정 제10조 제2항
당사자: "이 게시물이 내 명예를 훼손하고 있어요. 방심위에서 심의해서 차단하거나 삭제해주세요!"

 

방심위 명예훼손 심의규정 개정 반대 카드뉴스 3.jpg

#3. 
그런데 방심위가 규정 자체를 없애려고 해요.
그러면 이제 누구든지 다른 사람의 명예가 훼손당했다고 신고할 수 있어요. 
제3자: "이 게시물이 우리 회장님(대통령, 목사님...)의 명예를 훼손하고 있어요. 삭제해주세요!"
심지어 방심위 직권으로 삭제할 수도 있어요.
방송통신심의위원회: "흠... 이글은 아무래도 '그 분'의 명예를 훼손하는 것 같군. 우리가 알아서 삭제하는 게 좋겠어"

 

방심위 명예훼손 심의규정 개정 반대 카드뉴스 4.jpg

#4. 
이렇게 심의규정을 개정하면?
정치인, 고위공직자, 재벌총수, 유명 종교인들처럼
자신의 명예훼손 게시물을 일일이 직접 신고하기 껄끄러운 분들은...
누군가 대신 신고하거나, 방심위가 스스로 심의해주면
체면을 지키면서도 자신에 대한 비판글들을 인터넷에서 사라지게 할 수 있죠. 

 

방심위 명예훼손 심의규정 개정 반대 카드뉴스 5.jpg

#5.
인터넷을 매일 사용하는 우리는?
내가 '그 분'에 대한 비판적인 글을 올려도
모 회사 제품이 문제가 있다고 제품후기를 올려도
000 후보에 대해 의혹제기 신문기사를 캡쳐해도
메르스 대응 등 정부정책 실패에 대해 책임을 물어도
국정원 해킹 구입 의혹 제기 블로그 글을 올려도
이승만 박정희 전직 대통령에 대한 UCC를 올려도...
명예훼손의 직접 당사자가 아닌 제3자가 신고하거나
상시적인 모니터링 하는 방심위에 의해
삭제, 차단될 수 있습니다.

 

방심위 명예훼손 심의규정 개정 반대 카드뉴스 6.jpg

#6.
참여연대는 반대합니다.
지난 7월 9일 방심위 일부 위원들의 반대로 안건 상정을 못했지만
조만간 다시 개정안을 통과시키려는 시도가 진행될 것입니다. 
방심위는 당사자 신고 없이도 명예훼손 게시물을 심의, 삭제할 수 있도록 하는
정보통신 심의규정(제10조 제2항) 개정 시도를 중단해야 합니다. 

 

금, 2015/07/17- 14:36
648
0

스마트보안관은 사라졌지만 감시는 계속된다

 

글 | 오픈넷

 

방통위가 청소년들을 유해정보에서 구해내겠다며 청소년들의 스마트폰에 배포한 스마트보안관이라는 모바일 앱이 있다. 방통위는 2013년부터 무려 이 앱을 위해 약 30억 원의 예산을 들였고 이통3사와 한국무선인터넷산업연합회(이하 MOIBA)가 함께 개발을 했다.

스마트보안관을 실행시키면 이 앱이 계속 스마트폰에 상주해있으면서 이용자, 즉 청소년이 스마트폰을 통해 하는 모든 행동이 모두 모니터링 되는 방식으로 작동한다. 주요 기능은 아래와 같다.

  • 청소년에게 유해하다고 판단된 정보에 접근하는 것을 원천적으로 차단한다.
  • 부모에게 청소년 자녀의 스마트폰 일평균 이용시간, 주 이용시간대, 주 이용정보 카테고리 등의 정보를 제공한다.
  • 부모가 청소년 자녀의 스마트폰 이용을 통제한다. (시간별, 앱별 등)
  • 스마트폰에 설치된 스마트보안관을 청소년이 임의로 삭제할 수 없게 한다.

스마트보안관 안내 배너

주요 기능만 봐도 애정이 과한 부모 세대가 청소년 세대를 스토킹하고 일거수 일투족을 감시하는 등 적극적으로 사생활 침해를 하는 느낌이 든다. 놀랍게도 방통위가 2015년 4월 16일부터 시행한 “전기통신사업법 시행령” 일부 개정령에 의하면 청소년에 판매하는 스마트폰에는 유해매체물을 차단할 수 있는 앱을 반드시 설치해야 했다. 이 법률상 의무를 충족할 수 있는 여러 앱이 있지만 방통위는 자신들이 개발한 스마트보안관 설치를 은근히 장려했고 이에 따라 아래와 같이 수십만명의 청소년의 스마트폰에 깔리게 되었다.

참고로 2015년 7월 이통사별 스마트보안관을 설치한 수는 다음과 같다.

  • SK텔레콤 – 57,217건
  • KT – 202,041건
  • LG유플러스 – 120,709건

 

심각한 보안 문제, 7개월 만에 서비스 중단

결론부터 말하면 2015년 11월 1일 방통위는 스마트보안관 앱·서비스를 중단한다고 발표했다. 실제로 스마트보안관 앱은 구글 플레이 스토어에서 삭제됐다. 방통위가 스마트보안관 서비스를 중단한 건 의무 사용을 강요한 이 서비스에 심각한 보안 문제를 끝내 해결하지 못했기 때문이라는 의견이 있다.

스마트보안관의 심각한 보안 결함을 발견한 것은 토론토 대학교 뭉크스쿨 글로벌상황연구소 산하 시티즌랩이다. 시티즌랩은 2015년 9월 20일 “우리의 아이들은 안전한가? 청소년들을 디지털 위험에 노출시키는 한국의 스마트보안관 앱”이라는 보고서를 공개했다. (참고: 관련 오픈넷 보도자료)

"우리의 아이들은 안전한가? 청소년들을 디지털 위험에 노출시키는 한국의 스마트보안관 앱" 보고서

이 보고서에는 스마트보안관의 프라이버시 보호 정도 및 보안성에 대한 독립적인 두 건의 감사 결과가 담겨있다. 감사는 보안감사 전문 회사인 큐어53(Cure53)과 함께 진행이 됐는데, 연구진은 스마트보안관[1]을 이용하는 청소년과 부모의 프라이버시와 보안을 위헙하는 26건의 취약점이 있다고 밝혔다. 이 보안 취약점들을 이용하면 스마트보안관 계정을 무력화시키는 것은 물론이고 데이터 변조, 개인정보 절도 등 다양한 공격에 당할 수 있다는 것이다.

보고서에서 밝힌 문제점들을 요약하면 다음과 같다.

  • 인증 문제: 정상적인 확인절차나 암호 없이도 계정의 등록과 관리가 가능한 문제점 존재
  • 인프라 문제: 서버는 구식 프로그램을 이용하고 있고, 보안조치와 암호화가 업계 표준으로 구현되지 않음. 무작위 대입 공격에 대한 대책 없음
  • 법적·정책적 함의: 스마트보안관의 설계 수준이 취약해서 MOIBA의 스마트보안관 약관과 개인정보정책에 맞지 않음. 또한 스마트보안관의 기능은 전기통신사업법령의 내용을 넘어서 프라이버시를 침해함

시티즌랩은 9월 20일 보고서를 공개하기 전 MOIBA에 이 내용을 공유하고 문제를 수정하도록 45일을 기다렸고 일부 취약점을 보완했다고 답변을 했으나 전체 취약점을 해결했는지 답변이 없어 보고서를 공개했다고 한다.

시티즌랩은 그후 MOIBA가 관련 개선을 하였는지 확인하기 위해 2015년 11월 1일 2차 감사를 한 결과를 발표했다. (참고: 관련 오픈넷 보도자료) 2차 감사는 1차 감사 때보다 보완이 됐다고 주장하는 최신 버전을 대상으로 했는데[2] 일부 수정·보완이 이루어졌지만, 여전히 아래와 같은 심각한 문제점들이 남아있다고 했다.

  • 공격자가 청소년의 휴대폰 번호를 알고 있다면 청소년의 생년월일, 휴대폰에 설치된 모든 앱의 목록, 모든 차단 규칙을 취득할 수 있다.
  • 공격자는 여전히 청소년의 휴대폰의 차단 규칙이나 설정을 마음대로 변경할 수 있기 때문에 청소년이 휴대폰을 사용하지 못하도록 잠글 수 있다.
  • 공격자는 여전히 스마트보안관 부모용의 비밀번호와 청소년의 계정과 연계된 부모의 휴대폰 번호를 찾아낼 수 있다.

이에 시티즌랩은 스마트보안관을 앱스토어에서 즉시 내리고, 이용자들은 사용을 즉시 중단할 것을 권고했다. 즉, 방통위는 시티즌랩이 중단 권고를 한 당일 바로 서비스를 중단한 것이다.

조선닷컴 기사에 따르면 방통위는 스마트보안관 중단 조치에 관해 “지난달 모든 이통사가 음란물 차단 앱을 무료로 보급하기 시작했기 때문에 플레이스토어에서 삭제했을 뿐”이라며 “문제와 관계없이 예정된 일정에 따른 조치”라고 밝혔다.

여기서 말한 이통사의 차단 앱이란 SK텔레콤의 “T청소년유해차단”, KT의 “올레 자녀폰 안심”, LG유플러스의 “U+ 자녀폰지킴이” 등을 말하는데, 이것들은 여전히 플레이 스토어에서 다운로드를 받아 실행할 수 있다.

 

계속되는 프라이버시 무시·자녀 감시들

따라서 문제는 여전히 남아있다. 정부가 아니더라도 이통사를 비롯한 여러 회사들이 유사한 기능의 앱을 계속해서 배포하고 서비스하고 있다. 이런 위험한 앱들이 시중에 나와 있는 가장 근본적인 이유는 일명 “청소년 스마트폰 감시법”이 이런 앱들의 설치를 강제하고 있기 때문이다.

개정된 전기통신사업법에는 이통사가 청소년과 계약을 할 경우 청소년 유해매체물과 음란정보를 차단할 수 있는 수단을 제공해야 한다고 되어 있고, 세부 방법·절차는 시행령에서 정하도록 되어 있다.

전기통신사업법 시행령 제37조의8 제2항

제1항에 따라 차단수단을 제공하는 경우에는 다음 각 호의 절차에 따른다.

1. 계약 체결 시

  • 가. 청소년 및 법정대리인에 대한 차단수단의 종류와 내용 등의 고지
  • 나. 차단수단의 설치 여부 확인

2. 계약 체결 후: 차단수단이 삭제되거나 차단수단이 15일 이상 작동하지 아니할 경우 매월 법정대리인에 대한 그 사실의 통지

(참고로 여기서 차단수단은 청소년유해정보차단 소프트웨어로서 시행령은 정부 배포 “스마트보안관” 등 앱의 형태로 되어 있는 수단을 전제하고 있다)

법에 이렇게 명시되어 있는 경우 정부가 아니더라도 누군가 반드시 청소년에게 유해정보를 차단하기 위한 서비스를 만들어야 한다. 기본적으로 이를 위해서는 많은 정보에 접근을 하고 모든 정보를 들여다봐야 하는데, 그 과정에서 청소년은 부모와 협상할 기회도 없이 부모의 상시감시 아래 놓이게 되는 프라이버시 침해가 발생하는 것은 자명하다.

또 법은 차단서비스만 제공하라고 했지만 차단서비스가 상시 작동하고 있는지 확인하기 위해서는 스마트폰 기기 전체에 대한 상시감시가 필요하고 이를 구현하기 위해서는 스마트보안관처럼 수십 억의 돈을 들여도 이용자들을 오히려 각종 보안 위협에 노출될 가능성도 여전하다.

또한 이 시행령은 이통사가 유해정보 차단 앱이 설치되었는지 확인할 수 있는 방법에 대해 명시하지 않고 있다. 그리고, 이통사를 통해 구입하지 않고, 스마트폰을 직접 구매하는 이용자나 외국산 스마트폰을 이용하는 이용자의 경우는 확인조차 할 수 없는 한계점도 명확하다.

심지어 성인인 부모조차 이러한 발상과 서비스를 거부할 방법이 없다는 것도 문제다. 앱의 품질이 나빠 이용을 거부하거나 자녀의 프라이버시를 지켜주기 위해 설치를 하지 않을 수도 있는데, 시행령은 부모가 당연히 동의할 것이라고 전제하고 있다. 이 앱은 부모가 원치 않아도 자녀의 폰에 설치되어 부모와 자녀를 감시자와 피감시자의 관계로 몰아넣어 스마트폰 이용에 관해 교육적인 대화를 할 수 있는 기회를 박탈한다.

 

감시와 통제로 교육? 발상 자체가 문제

정부는 프라이버시를 포함한 기본권을 침범할 소지가 높더라도 청소년의 모든 스마트폰 이용 내역을 감시하는 법안을 마련하고, 수십억 원의 예산을 들여 보안성이 매우 떨어지는 앱을 직접 개발해 배포했다. 불행 중 다행으로 지금은 직접 앱을 배포하는 것은 포기했지만, “청소년 스마트폰 감시법” 때문에 여전히 이런 강제 모니터링 앱을 설치해야 하는 수많은 청소년들이 존재한다.

정부는 여전히 청소년의 문자메시지, 채팅 메시지, 검색어 등을 감시하는 서비스를 운영 중이다.

정부는 여전히 청소년의 문자메시지, 채팅 메시지, 검색어 등을 감시하는 서비스를 운영 중이다.

참고로 지금도 서비스 중인 스마트안심드림은 예를 들어, “찍힐”, “주글”, “셔틀”, “찐따”, “빠굴” 등등 비속어 및 변종 그리고 “본드” “죽었”, “스트레스” “쌍커플”, “외모”, “월경”, “성범죄” 등의 주의어 등의 수천개의 단어들 목록에 포함된 단어가 이용되면 부모에게 곧바로 통지가 된다. 이용실적이 2015년 3월 현재 수천명 정도로 높지는 않다는 보도가 있었지만 이 청소년들에 대해서는 이미 통지가 수십만건 이루어지고 있다고 하며 이들은 고도의 감시상태 속에서 생활해야 한다.

 

정부는 통제와 감시로 문제가 해결된다는 생각을 버려야 한다. 시민들은 학교와 가정에서 교육해야 할 영역을 국가가 법으로 학교·부모의 감시를 강제하거나 이를 위해 개인용 통신기기에 특정 소프트웨어의 장착을 요구하는 것의 위험성에 대해 다시 한번 심각하게 생각해 봐야 할 때다.

————————————————–

[1] 안드로이드용 스마트보안관 최신버전(1.7.5 이하)

[2] 안드로이드용 스마트보안관 1.7.7

 

* 위 글은 슬로우뉴스에도 동시 게재하고 있습니다. (2015. 11. 16.)

월, 2015/11/16- 18:44
645
0

국정원 어디까지 해킹했니? 누구를 사찰했니?

 

 

 

국정원이  이탈리아 해킹팀으로부터 해킹 프로그램을 구매해, 내국인 사찰에 이용했다는 의혹이 제기되고 있습니다.

국정원은 연구용으로 구매했을 뿐 내국인 사찰은 없었다고 해명하고 있으나, 국정원이 카카오톡 내지 갤럭시 3 국내 모델에 대한 해킹방법이나 안랩의 ‘V3 모바일 2.0’과 같은 국내용 백신을 회피하기 위한 방법 등을 해킹팀에 요청한 정황을 봤을 때 국정원의 해명은 신뢰하기 어렵습니다.

 

이에 국정원의 국민해킹사찰 진상규명을 촉구하는 촛불집회를 진행합니다.

 

국정원 어디까지 해킹했니? 구누글 사찰했니?

- 국정원 국민해킹사찰 진상규명 촉구 촛불집회-

때 : 2015년 7월 31일(금) 저녁 7시

곳: 파이낸셜빌딩 앞(광화문 청계광장)

 

목, 2015/07/30- 15:53
639
0