“도청 9000달러”. 개인정보 ‘흑시장’은 어떻게 작동하며 프라이버시를 지키려면 무엇을 해야 할까?

개인정보 보안에 관한 ‘부끄러운 질문들’.

통신사, 은행, 온라인 쇼핑몰, 택시 서비스는 오늘날 우리에 대해 우리가 상상하는 것보다 더 많이 알고 있습니다. 우리는 문명의 현대적 혜택을 누리는 대가로 자발적으로 개인정보를 내어 줍니다.

택시 앱, 음식 배달 서비스, 인터넷 뱅킹 등 오늘날 사회생활에 없어서는 안 되는 모든 것을 이용하면서 우리는 신상 정보, 통화 정보, 생활 방식에 관한 정보를 공유하고, 그 뒤로 이 정보의 향후 행방을 통제하지 못하게 됩니다.

국가는 다른 권한들과 함께 시민의 통화 및 서신 비밀을 제한할 권한을 갖고 있어 우리에 대한 데이터를 훨씬 더 많이 수집합니다.

은행 계좌 거래내역부터 전화 도청에 이르기까지 이 모든 정보는 상업 서비스와 국가기관의 부패한 직원들 덕분에 ‘흑시장’에서 자유롭게 구매할 수 있으며, 이는 기자, 해커, 사기꾼, 범죄 세계 대표자들에게 큰 활동 영역을 열어 줍니다. 

TK Media 편집부는 ‘데이터 흑시장’이 어떻게 작동하는지, 그리고 디지털 시대에 프라이버시권을 지키기 위해 무엇을 해야 하는지 취재했습니다. 

은행과 서비스 직원들이 내 데이터를 제3자에게 팔 수 있다고 하던데, 사실인가요?

이런 관행이 존재한다는 사실은 법원 기록과 인터넷상의 수많은 광고가 말해 줍니다. 노바 포시타 직원은 팔 수 있습니다. 여러분의 신상 정보(주소, 전화번호 또는 서비스 이용 정보)를 100~500흐리브냐에 사기꾼에게 넘길 수 있고, 은행 직원은 넘길 수 있습니다. 여러분의 신상 정보나 계좌 거래내역을 악의적인 사람에게 500흐리브냐에서 300달러에 이르는 보수를 받고, 요청된 데이터의 종류, 고객의 신원, 관련 위험에 따라 달라집니다.

개별 인물에 대한 맞춤 조회 외에도, 인터넷에서는 은행, 온라인 쇼핑몰, 우편 서비스, 거래 플랫폼, 심지어 국가기관 고객들의 신상 정보 데이터베이스를 살 수 있습니다.  그래서 택시 서비스와 온라인 쇼핑몰이 여러분의 전화번호를 알고 광고 문자 스팸을 보내거나, 미하일 포플랍스키가 자신의 기념 콘서트에 여러분을 초대하는 일에 놀라지 마십시오.

데이터베이스의 가격은 고객 수, 정보의 최신성, 판매자의 욕심, 구매자의 지불 능력에 따라 달라집니다. 대체로 인터넷에서 데이터베이스 하나를 1000흐리브냐에서 수백 달러 사이의 가격에 살 수 있습니다. 이를 위해 다크넷에 들어갈 필요도 없습니다. 개인정보는 수많은 텔레그램 채팅방에서 팔리고 있습니다. 

여러분의 개인정보는 그것에 접근할 수 있는 모든 사람이 팔 수 있으며, 그것이 누군가에게 가치가 있고 그들이 돈을 지불할 준비가 되어 있다면 말이죠. 마케터들이 공들여 쌓아 올린 가장 좋은 평판을 가진 공개 기업이나 조직이라도 결국 브랜드이자 가상의 이미지이며, 그 뒤에는 평범한 사람들이 있습니다. 

여러분의 개인정보는 저임금 기업 위계에서 저·중간 직급의 관리자들이 다루는데, 그들은 큰 노력이 필요 없는 추가 수입에 쉽게 솔깃합니다. 이 모든 것이 수요와 함께 개인정보 거래가 번성할 수 있는 비옥한 토양이 됩니다.

누군가 낯선 사람이 내 계좌 거래를 살펴보는 것은 원하지 않습니다. 이를 어떻게 막을 수 있을까요?

여러분이 서비스 업체에 개인정보를 공유하거나 그 서비스를 이용할 때는, 여러분의 데이터와 이용 내역이 제3자에게 넘어갈 수 있다는 점을 고려해야 합니다.

일부 경우에는 사기꾼이 여러분의 데이터를 얻기가 실제로 더 어려워질 것입니다. 

예를 들어 여러분이 프리바트뱅크의 VIP 고객이라면, 일반 관리자는 여러분의 신상 정보와 거래내역에 접근할 수 없습니다. VIP 부서 관리자나 은행 보안부 직원만 여러분의 데이터에 접근할 수 있으며, 이는 사기꾼이 조직 내에 적절한 ‘연줄’이 없다면 그들의 작업을 훨씬 어렵게 만들고, 의뢰인에게 비용을 높이며, 은행 직원에게는 더 많은 위험을 가져옵니다. 

또한 데이터 거래는 프리바트뱅크, 오샤드뱅크 같은 대형 은행과 유통망에서 번성하며, 작은 은행에서는 덜하다는 점도 짚어 둘 필요가 있습니다. 이유는 분명합니다. 고객이 많을수록 데이터도 많아지고, 그 주변에 ‘시장’이 더 빨리 형성되기 때문입니다. 

그 밖에 누가 내 데이터를 팔고, 대체 누가 이 모든 것을 사는 건가요?!

가치 있는 정보를 담은 데이터베이스에 접근할 수 있는 모든 사람이 그렇습니다. 경찰관은 ‘ARMOR’와 ‘NAIS’ 데이터베이스에서 데이터를 팔 수 있습니다. 신상 정보 외에도 이 데이터베이스에는 여러분의 범죄 이력과 형사 책임 기록, 또는 자동차 정보와 번호판 조회 기록이 담길 수 있습니다. ‘GART’ 데이터베이스에 접근 권한이 있는 국경수비대원은 여러분의 해외 출국 기록을 팔 수 있습니다. 언제, 어떤 방법으로, 어떤 여권으로, 누구와 함께, 어느 방향으로 우크라이나 영토를 떠났는지 말이죠. 혼인·출생 등록소(ZAGS) 데이터베이스에 접근할 수 있는 사람은 여러분의 친척과 가족에 대한 정보를 팔 수 있습니다. 국세청 직원은 여러분의 소득 데이터를 팔 수 있고, 연금기금 직원도 마찬가지입니다. 은행 직원은 여러분의 신상 정보와 계좌의 모든 거래내역을 팔 수 있습니다. 우크라이나 보안국(SBU) 직원은 여러분의 전화번호에 연결된 통신 ‘트래픽’을 팔거나 돈을 받고 도청까지 할 수 있으며, ‘스마트 시티’ 데이터베이스에 접근하는 치안기관 직원은 도시 CCTV 시스템을 통해 자동차로 이동하는 여러분의 위치를 실시간으로 추적할 수 있습니다.

여러분의 개인정보에 관심을 가질 수 있는 사람은 많습니다. 가장 무해한 경우는 여러분이 어디로 여행을 다니는지 알고 싶은 조사 기자들, 국세청 자료를 통해 여러분의 공식 소득 총액을 알고 싶은 사람들, 또는 소유한 부동산이나 자동차를 확인하기 위해 여러분의 친척 신상 정보를 원하는 사람들입니다. 여러분의 사생활에 관심을 가질 수도 있는 것은 질투심 많은 배우자입니다. 그는 여러분의 지출, 통화 목록을 확인하거나, 실제로 드니프로로 출장을 갔는지, 아니면 발리로 애인과 날아갔는지 확인하기 위해 위치 정보를 알고 싶어 할 수 있습니다.

덜 유쾌한 경우에는 사기를 위해 여러분의 개인정보를 수집하는 사기꾼, 여러분의 재정 상태를 조사하고 친척을 협박하려는 채권 추심업자, 또는 여러분을 잠재적 피해자로 보는 범죄 세계 대표자들일 수 있습니다. 

여러분의 데이터에 관심을 가질 수 있는 위에 열거된 모든 사람들의 공통점은, 이들이 확실히 여러분의 우호적인 사람들이 아니라는 것입니다.

우크라이나 보안국 직원들조차 내 데이터를 거래할 수 있다고 하셨는데요. ‘휴대전화 트래픽’이란 무엇인가요?

개인 은행이든, 대형 온라인 쇼핑몰이든, 국가 특수기관이든 모든 조직은 자기 욕망, 야망, 악습, 결점을 가진 살아 있는 사람들로 구성되어 있습니다. 치안 요원들이 근무 지위를 악용해 정보를 상업 기관에 팔 수 있다는 것은 법원 기록과 법 집행기관의 보고서가 드러내고 있습니다. 예를 들어 최근 권력기관은 우크라이나 보안국 직원을 포함한 집단이 가입자의 휴대전화 통신 데이터를 거래한 혐의로 체포되었다고 발표했습니다. 수사 자료에 따르면 한 번호에 대한 두 달간의 ‘도청’ 비용은 9000달러였습니다. 7월에는 국가수사국(GBR)이 우크라이나 보안국 직원을 체포했다고 발표했습니다. 수사 측 주장에 따르면 그는 한 번호의 휴대전화 통화 기록 ‘트래픽’을 건당 2,5~5천 흐리브냐에 팔았습니다. 기회주의적인 치안 요원들의 체포 소식이 정기적으로 전해짐에도 불구하고, 흑시장 데이터 거래에서는 번호의 계좌 내역을 구매하거나 전화번호에 ‘도청’을 설치하겠다는 광고를 찾을 수 있습니다. 문제는 분명합니다. 치안 요원들의 낮은 급여, 정보에 접근할 수 있는 가능성, 그리고 그 정보에 대한 수요(돈을 지불할 의향)가 시장에 있다는 것입니다.

휴대전화 번호의 ‘트래픽’, 즉 전화번호 상세 기록은 요청 기간(보통 6개월) 동안의 여러분 통화 목록(수·발신 메시지와 통화), 위치 정보(휴대전화 기지국 연결 기록), 그리고 휴대전화의 IMEI에 관한 데이터입니다. 이 외에도 상세 기록을 통해 가장 많이 연락한 연락처 통계를 알 수 있으며, 이는 여러분의 인간관계 전반을 그릴 수 있게 합니다. 번호에 ‘소유자 확인’(어느 번호가 누구의 것인지 알아내는 것)을 거치면 이 정보를 가진 사람은 여러분의 인간관계, 이동 경로, 생활 방식(예: 어디서 자고 하루 중 근무 시간에 어디에 있는지)에 대한 그림을 얻게 됩니다. 여러분에게 관심 있는 사람들은 특정 기간의 정보를 원할 수도 있습니다. 즉, 특정 시점에 여러분이 어디 있었는지 또는 관심 있는 날짜에 누구와 대화했는지 알고 싶어 할 수 있습니다. 정보 판매자들에 대한 치안 요원들의 주기적 단속은 단기적으로 가격에 영향을 미치지만, 가격은 곧 다시 원래대로 돌아옵니다.

잠깐만요, 무슨 말씀이신지. 통화 및 서신의 비밀은 헌법으로 보장되고, 내 대화에 접근하려면 법원만 허가를 내릴 수 있다고 알고 있습니다. 내가 아무 범죄도 저지르지 않았는데 판사가 어떻게 허가를 내릴 수 있나요?

인적 요소는 모든 시스템의 가장 큰 취약점입니다. 하루에 수십 건의 신청을 검토해야 하고, 24시간 또는 72시간(형사소송법에 따라 판사가 신청을 검토해야 하는 기한) 내에 처리해야 하는 과중한 업무를 지닌 소수의 예심 판사들은 물리적으로 신청을 제대로 검토할 수 없습니다. 이런 상황에서 수사관의 신청에 대한 검토와 승인은 오히려 형식적인 성격을 띱니다. 판사가 신청서를 분석하고, 전화번호를 직접 ‘소유자 확인’하고, 그 번호가 구체적인 형사사건과 어떤 관련이 있는지 파악하리라 생각하는 것은 어리석은 일입니다. 아마 판사는 검사가 가져온 USB 플래시 드라이브에서 보좌관이 복사한 결정문을 그냥 승인할 것입니다. 

치안 요원들 스스로 필요한 전화번호를 다른 사람들의 형사사건에 ‘끼워 넣을’ 수도 있습니다. 대개 ‘테러리즘’, ‘국가 반역’, ‘테러 자금 조달’ 등 공공 또는 국가 안보와 관련된 죄목의 형사 절차가 그렇습니다.

관계없는 전화번호나 심지어 특정 인물을 편리한 사건에 끼워 넣는 것은 흔한 관행입니다. 예를 들어 점령지 문제 담당 장관 자문 유리 그름착은 2014년 타티아나 체르노볼 폭행 사건 수사의 일환으로 사기 혐의로 체포되었습니다. 이유는 검찰총장 직속 특별수사부가 2018년 이후 새 형사사건에 대한 수사권을 잃었지만, 이 큰 사건을 국가수사국(GBR)에 넘기고 싶어 하지 않았기 때문입니다. 

또한 휴대전화 통신사들은 법원 결정 없이도 종종 계좌 정보를 법 집행기관에 넘깁니다.

그렇다면 제 대화도 도청될 수 있다는 건가요? 누구에게, 왜 내 대화가 필요한가요?

여러분의 대화는 통신 네트워크에서 정보를 획득할 권한을 가진 법 집행기관(최근까지 이 권한은 우크라이나 보안국과 내무부에만 있었고, 법안 1009가 채택된 이후 국가반부패수사국(NABU)과 국가수사국(GBR)에도 생겼습니다) 또는 특수 장비를 보유한 다른 사람들에 의해 도청될 수 있습니다.

여러분의 번호가 ‘투’ 감시 대상으로 지정되면, 이해관계자들은 여러분의 전화 통화 녹음을 얻고, 문자 메시지를 읽고, 이를 ‘실시간’으로 할 수 있습니다. 

때로는 전화 통화보다 메신저 대화나 이메일 내용이 주요한 가치를 가질 수도 있습니다. ‘도청’은 여러분의 이메일이나 페이스북 계정에 연결된 전화번호가 도청 대상일 경우 그 계정에 접근하는 데 도움이 될 수 있습니다. 이 경우 여러분의 적대자들은 ‘비밀번호 재설정’ 기능과 ‘비밀번호 찾기’ 버튼을 통해 계정을 복구하고, 이메일 서비스나 소셜 네트워크가 여러분의 휴대전화 번호로 보낸 일회용 코드를 입력해 ‘신원을 확인’하는 방식으로 여러분 대신 계정에 접근할 수 있습니다. 대개 이런 작업은 여러분이 자고 아무것도 눈치채지 못하는 깊은 밤에 이루어집니다. 그 사이 여러분의 적들은 계정에 접근해 대화 기록을 보관하고, 심지어 여러분의 이름으로 공개 성명을 발표할 수도 있습니다.

SMS 메시지 가로채기에 관심을 갖는 것은 인터넷 사기꾼들도 마찬가지인데, 여러 가상화폐 거래소에서 신원 확인 수단으로 SMS를 이용한 이중 인증이 흔히 설정되어 있기 때문입니다. 미국에서는 많은 가상화폐 사업가들이 이런 사기의 피해자가 되었고, 가상화폐 지갑에서 도난당한 돈의 피해액은 수천만 달러로 추산됩니다. 다만 미국의 사기꾼들은 특수기관의 서비스를 이용하지 않고, 사회공학 기법으로 피해자의 전화번호를 되찾기 위해 이동통신사 직원을 속입니다. 

또 다른 인기 있는 사기꾼 활동은 포르노 협박입니다. 사기꾼들은 소셜 네트워크, iCloud의 사용자 계정을 해킹하고, 계정 보안 수준이 낮은 부주의한 피해자를 골라 사적인 대화나 노골적인 사진·영상을 공개하겠다며 협박합니다. 다만 SMS 가로채기가 계정을 해킹하는 유일하거나 가장 간단한 방법은 아닙니다.

무섭게 들리네요. 휴대전화로 문자를 받는 것이 안전하지 않은 방법이라면, 이메일과 소셜 네트워크 계정을 어떻게 보호할 수 있나요?

자신의 데이터를 보호하려면 몇 가지 규칙을 지키는 것이 좋습니다.

이메일, 페이스북·인스타그램·트위터 등 소셜 네트워크 계정, 메신저 계정을 새 전화번호에 연결하세요. 이 전화번호는 본인만 알고 있어야 합니다. 지인, 동료, 친척에게 알리지 마세요. 일상에서 사용하거나, 은행, 택시, 상점 등 다른 서비스에 연락처로 남겨 두지 마세요.

비밀 전화번호가 담긴 유심카드를 주 기기인 휴대전화에 끼우지 마세요. 휴대전화의 IMEI로 치안 요원들은 그 기기에 한 번이라도 끼워졌던 모든 유심카드의 번호를 알아낼 수 있습니다. 이렇게 되면 여러분의 전화번호가 드러나고, 지금까지 한 모든 노력은 의미를 잃습니다.

비밀 전화번호를 온라인 뱅킹으로 여러분의 계좌에서 충전하지 마세요. 그러면 이 거래가 여러분의 은행 거래내역에 남아, 지금까지 한 모든 노력이 의미를 잃습니다. 일회용 충전 카드(동전으로 긁는 것, 기억하시죠?)를 쓰거나 iBox 단말기로 충전하는 것이 낫습니다. 후자의 경우 단말기에서 인증을 거치거나 주 전화번호를 입력해 신원을 확인하지 마세요.

단순하고 저렴한 버튼폰을 구입한 뒤 버리거나, IMEI가 0인 전화기를 장기 사용을 위해 구입하세요(인터넷이나 전자상가에서 찾을 수 있습니다). 메신저에 등록된 전화번호는 최소 반년에 한 번씩 갱신해야 한다는 것을 잊지 마세요. 불쾌한 상황을 피하기 위해서입니다. 통신사는 사용하지 않는 번호를 새 고객에게 팔기 때문입니다.

이메일, 소셜 네트워크, 메신저 설정에서 이중 인증을 설정하세요. 이중 인증 수단으로 휴대전화에 SMS를 받는 방식은 사용하지 마세요.

Google Authenticator를 설치하세요 — 새 기기에서 로그인할 때마다 이중 인증으로 입력해야 하는 일회용 코드 비밀번호를 생성하는 앱입니다. 이렇게 하면 공격자는 여러분의 기기에 물리적으로 접근하지 않는 한 계정에 접근할 수 없습니다.

‘물리적’ 보호의 또 다른 방법은 토큰입니다. 토큰은 소유자를 인증하고 식별하는 데 사용되는 암호 키입니다. 신원을 확인하려면 기기에 꽂아야 합니다. 토큰은 수많은 온라인 상점에서 쉽게 구입할 수 있으며, 이메일이나 소셜 네트워크 설정에서 인증 방식으로 설정하면 됩니다.

구글, 페이스북, 애플도 이중 인증으로 주 기기를 통한 확인을 제공합니다. 즉 로그인 시도가 있으면 ‘예’ 또는 ‘아니오’를 누르라는 알림이 옵니다.

그러면 주 전화번호는 어떻게 보호하나요? 은행에 입력하고 개인적인 용도로 쓰는 번호요.

온라인 뱅킹에 연결된 개인 전화번호를 보호하는 일은, 적어도 여러분의 은행 예금의 운명에 관심이 있다면 신경 써야 합니다. 

8월에 사이버경찰은 우크라이나인들의 은행 계좌에서 돈을 훔친 집단을 체포했다고 발표했습니다. 수사 측 주장에 따르면 사기꾼들은 흑시장에서 은행 고객의 전화번호 데이터베이스를 구입한 뒤, 통신사 서비스 센터의 ‘번호 복구’ 서비스를 통해 유심카드 복제본을 만들었습니다. 

유심카드 사본을 얻은 뒤 사기꾼들은 피해자의 온라인 뱅킹에 로그인해 돈을 자기 계좌로 이체했습니다(참고로 인터넷에서는 명의가 대포인 은행 카드를 쉽게 구입할 수 있습니다. 돈이 필요한 사람들이 여권 정보를 팔고 자신의 이름으로 은행 계좌를 개설하면, 중개인들이 이를 인터넷에서 다시 팝니다). 주로 피해자는 급여계좌 보유자들이었습니다. 교사, 의료기관 직원, 사회 복지 분야 종사자들입니다. 법 집행기관에 따르면 사기꾼들이 훔친 돈은 총 약 150만 흐리브냐에 달합니다.

이런 수법은 통신사의 취약한 보안 프로토콜 때문에 가능해졌습니다. 이 프로토콜은 번호 소유자의 신원을 제대로 확인하지 않고도 전화번호를 복구할 수 있게 합니다. 유심카드 복제본을 만들기 위해, 사기꾼은 해당 통신사의 규칙에 따라 가장 최근 또는 가장 자주 있었던 수·발신 통화 세 건과 전화번호의 마지막 충전 금액을 말해야 합니다. 

여러분의 수·발신 통화 정보는 역시 흑시장에서 구입할 수 있는 전화번호 상세 기록으로 얻을 수 있고, 마지막 충전 금액은 단말기를 통해 직접 충전해 보면 알 수 있습니다.

여러분은 전화번호를 제3자에 의한 복제로부터 보호할 수 있습니다. 이를 위해 여러분의 전화번호가 계약 번호(정식 가입 번호)여야 합니다.

이 경우 유심카드 복제본을 만들려는 사람은 여권을 제시하고 신원 확인을 거쳐야 합니다. 물론 사기꾼이 여러분의 서류를 위조하거나 서비스 센터 직원을 매수할 가능성도 있습니다. 그러나 대체로 사기꾼은 더 ‘쉬운 먹잇감’을 찾고 높은 난이도의 일은 피하며, ‘서비스 센터의 내 사람’은 높은 확률로 유심카드 복제본을 외부인에게 넘긴 책임을 지게 되어, 이는 공모자 전원이 드러날 수 있는 결과로 이어질 수 있습니다. 

1. 통신사 서비스 센터에서 계약 번호를 개설하세요;
2. 은행 서비스 설정에서 SMS를 통한 신원 확인을 끄세요.

메시지 가로채기가 이메일을 해킹하는 유일한 방법인가요?

이메일을 해킹하는 가장 흔한 방법 중 하나는 ‘피싱’입니다. 피싱에는 작동 방식, 문체, 접근 방법이 각기 다른 여러 방식이 있습니다. 피싱 메일의 목적은 여러분의 주의를 끌고, 링크나 첨부 문서를 클릭하게 한 뒤 사서함 비밀번호를 입력하게 하여 비밀번호를 사기꾼에게 넘기게 하는 것입니다. 또한 파일을 내려받으면 컴퓨터가 악성 소프트웨어에 감염될 수 있습니다. 

스스로 비밀번호를 사기꾼에게 넘긴다고요? 불가능한 일처럼 보일 수 있지만, 모든 것은 편지의 품질에 달려 있습니다. 피싱의 품질은 전문가의 수준에 따라 달라집니다. 전문가가 목표물을 더 잘 연구할수록 그에게 맞는 접근법을 찾을 가능성이 높아집니다. 예를 들어 여러분이 수사 중이라서 수사관에게서 심문 소환장이 이메일로 온다고 해 봅시다. 또는 동료가 의심스럽지 않은 문서 제목으로 업무 보고서를 보내거나, 여러분이 기자인데 여러분의 기사 주인공의 이름으로 소송 신청서가 이메일로 온다고 해 봅시다. 피싱 사기꾼들은 종종 한 글자 차이로 비슷한 이메일 주소를 만들어 발신자 주소를 위조하지만, 최신 기술을 이용하면 발신자 주소를 완전히 바꾸는 것도 가능합니다.

저는 Telegram으로 대화하는데, 이건 어떤 나라의 특수기관과도 제 데이터를 공유하지 않는 가장 안전한 메신저입니다. 그래서 제 대화의 기밀성에는 안심하고 있습니다.

Telegram이 다른 메신저들에 비해 명백한 경쟁 우위가 있음에도 불구하고, 단점도 있습니다. 예를 들어 Telegram은 (비밀 채팅을 제외하고) 새 기기에서 로그인할 때 채팅 기록을 가져오는 거의 유일한 인기 메신저입니다. 즉, 여러분의 적대자가 인증 코드가 담긴 SMS를 가로채 계정에 접근하면, 로그인 시 여러분의 모든 대화 기록에 접근할 수 있습니다. 

그럼에도 불구하고 Telegram은 특정 보안 규칙을 지키면 인기 메신저 중 가장 안전한 메신저입니다:

1. 민감한 주제는 1대1 비밀 채팅에서 이야기하세요;
2. 메시지 자동 삭제 타이머(1시간/1일/1주)를 설정하세요;

클라우드 비밀번호를 설정하면 여러분의 계정을 승인되지 않은 간섭으로부터 보호할 수 있습니다. 이렇게 하면 누군가 인증 코드가 담긴 SMS를 가로채 첫 번째 인증 단계를 통과하더라도, 여러분이 미리 설정한 추가 비밀번호를 입력하라는 요구가 나옵니다. 대화 상대가 여러분이 설정한 비밀번호를 모르면, 계정에 접근할 수 없습니다.

물론 여러분은 Signal이나 Wickr를 보안 시스템이 가장 좋은 메신저로 예로 들며 반박할 수도 있고, 어쩌면 채팅 앱에서 체스 게임을 하는 것을 좋아할 수도 있습니다. 하지만 사실 우크라이나 현실에서 이런 메신저를 쓰는 사람은 매우 적으며, 대화 상대 모두에게 여러분이 고른 메신저를 강제로 설치하고 등록하고 익히게 하는 것은 여러분 둘 모두에게 편리하지 않을 것입니다.

악성 행위자가 인증 코드가 담긴 SMS를 가로챘다면, Telegram의 추가 비밀번호도 우회할 수 있나요?

Telegram은 클라우드 비밀번호를 ‘재설정’할 수 있게 합니다. 이 기능은 여러분이 정말 비밀번호를 잊어버렸는데 계정에 접근해야 할 때를 대비한 것입니다. Telegram은 클라우드 비밀번호를 설정할 때 지정한 이메일로 일회용 접근 코드를 보내 신원 확인을 요구하는데, 이것이 다시 사기꾼들에게 기회의 창이 됩니다.

문제를 피하려면 클라우드 비밀번호를 설정할 때 이 작업을 위해 특별히 만든 이메일 주소를 입력하는 것이 좋습니다. 이 이메일 주소는 다른 사람이 알면 안 됩니다. 즉, 이 메일을 다른 용도로 쓰거나, 대화에 사용하거나, 다른 서비스에 주소로 등록하면 안 됩니다(은행 직원에게 연락처로 남기거나, Glovo나 Uber 등록에 쓰는 것 등).

그런데 만약 누군가 제 휴대전화를 빼앗아 가면 어떻게 하죠?

앞서 말한 예방 조치는 여러분의 계정에 원격으로 침입하는 것으로부터 보호해 주지만, 여러분의 적들이 관심을 가질 정보는 실제로 여러분의 기기에 물리적으로 있을 수 있습니다. 따라서 여러분의 적대자들이 휴대전화를 물리적으로 소유하려고 할 가능성도 배제할 수 없습니다. 이는 여러분의 집, 자동차, 사무실을 수색하는 법 집행기관뿐 아니라, 저녁 시간 골목에서 여러분을 기다리는 강도들에 의해서도 이루어질 수 있습니다. 휴대전화를 안전하게 지키려면 다음 규칙을 따르는 것이 좋습니다.

1. Face ID나 지문으로 휴대전화 잠금 해제 기능을 끄세요. 기술의 발전으로 한 번의 시선이나 손가락 터치로 휴대전화 잠금을 풀 수 있지만, 치안 요원들이 휴대전화를 여러분의 얼굴에 가져다 대거나 손가락을 Home 버튼에 강제로 대는 방식으로 이를 쉽게 이용할 것이라고 확신하세요. 일반 비밀번호를 사용하세요;
2. 비밀번호를 10회 틀리면 기기가 자동으로 초기화되도록 설정하세요;
3. 각 메신저에 별도의 비밀번호를 설정하세요. 이는 Telegram, WhatsApp, Line 메신저에서 가능합니다. 안타깝게도 Facebook과 Instagram 메신저에서는 이것이 불가능합니다. 보호되지 않은 메신저에서의 대화는 창밖 날씨 이야기로만 최소화하세요;
4. 대화 화면을 캡처하지 마세요. 대화 캡처가 꼭 필요하다면, 오랫동안 기기에 보관하지 마세요;
5. 민감한 대화는 메시지 자동 소멸 타이머가 있는 Telegram 비밀 채팅에서 하세요. Telegram에서는 메시지 소멸 타이머를 1시간, 1일, 1주로 설정할 수 있습니다;
6. 한 달에 한 번 대화 기록과 불필요한 사진을 정리하는 습관을 들이세요. 잊지 않도록 달력에 알림을 설정하세요;
7. 중요한 기념 사진, 문서, 전 파트너의 사적인 사진, 그리고 남에게 보이면 안 되는 모든 것은 주 이메일이나 전화번호에 연결되지 않은 신뢰할 수 있는 클라우드 서비스에 보관하는 것이 좋습니다. 주 기기에 여러분을 곤란하게 할 수 있는 데이터를 오랫동안 보관하지 마세요;
8. 추가 비밀번호로 로그인을 설정할 수 있는 서비스에 메모와 개인 기록을 남기세요. 예를 들어 Evernote가 그럴 수 있습니다. iOS 기기의 기본 메모 앱도 추가 비밀번호를 설정할 수 있습니다.

좋아요, 말씀하신 모든 것을 했습니다. 추가 비밀번호를 설정하고 Face ID도 껐어요! 이제 치안 요원들이 제 휴대전화를 가져가도 잠금을 풀 수 없겠죠?

그것은 오직 여러분에게 달려 있습니다. 치안 요원들은 가능한 6자리 조합을 머릿속으로 하나하나 시도하지 않고, 정답을 아는 사람들과 협력한다는 점을 기억하는 것이 중요합니다. 여러분은 방어선을 구축하고 함정을 놓고 디지털 전초기지를 세우는 데 많은 노력을 들였지만, 여러분의 방어 전략에서 가장 큰 취약점은 여러분 자신과 주변 사람들입니다. 여러분에게 법 집행 기관 직원에게 비밀번호를 알려줄 의무가 있다는 말을 듣게 될 것이고, 압박, 위협, 심지어 물리적 힘을 써서 정답을 얻어내려 할 것입니다. 치안 요원들은 사태의 강도를 높이고 압력을 더해 효과가 있을 방법을 골라 쓸 것입니다.

블로거이자 전 정보정책부 장관 자문이었던 알렉산드르 바라보슈코는 2018년 11월 한 식당에서 군 검찰청 직원들에게 체포되었습니다. 치안 요원들은 그를 수색을 위해 자택으로 데려가는 동안 그의 iPhone 비밀번호를 알아내려 했는데, 그 기기는 FaceID가 꺼져 있었습니다. 틀린 답을 할 때마다 그의 머리를 가격했습니다. 다음 날 페체르스키 지방법원은 블로거를 보석금 350만 흐리브냐의 대안을 두고 루키야노프스코예 구치소로 보냈습니다. 치안 요원들은 휴대전화 비밀번호를 얻기 위해 구치소 행정과 합의해 블로거를 이른바 ‘프레스하타’ 감방에 넣었고, 그곳 수감자들은 구치소 행정에서 받는 혜택의 대가로 여러 날 동안 블로거에게서 휴대전화 비밀번호를 짜냈습니다. 수단과 집요함은 여러분의 기기에 있는 정보에 적들이 얼마나 관심을 가지느냐에 따라 달라집니다.

하나 더 질문이 있어요. 제가 외국 번호에 연결된 메신저로 업무 대화를 하고 가명을 쓴다면, 법 집행기관이 그 계정을 실제로 제가 사용했다는 것을 증명할 수 있나요?

네. 예를 들어 허가받은 수색 중 참관인이 있는 상태에서 메신저가 설치되어 있고 여러분의 가명 계정이 열려 있는 휴대전화를 압수당할 수 있습니다. 또 다른 방법은 대화 상대나 동료 중 누군가가 증언하며 실제로 이 계정을 여러분이 썼다고 수사에 확인해 주는 것입니다. 이 경우 ‘여러분의 말 대 증인의 말’이 되며, 기소 측 주장의 무게는 비슷한 증언을 한 증인의 수와 대화 맥락에 따라 달라집니다. 수집된 증거의 허용성과 의심의 타당성은 법원이 판단하게 됩니다. 그러나 치안 요원들은 종종 여러분의 유죄를 증명하는 것보다 여러분의 기업 비밀에 접근하는 데 더 관심을 가집니다.

불쾌한 사건을 피하기 위해 다음 규칙을 따르는 것이 좋습니다:

1. 이름으로 부르는 것을 피하고 여권 스캔이나 개인 서류 같은 개인정보는 공유하지 마세요;
2. 민감한 주제는 메시지 자동 삭제 타이머가 설정된 비밀 채팅에서 나누세요;
3. 일부 메신저는 자신의 기기와 상대방 기기 모두에서 메시지를 삭제할 수 있습니다. 이 기능을 주기적으로 사용하는 것이 좋습니다.
4. 누군가 제3자가 듣고 있다고 생각하고 대화하세요.

저는 업무 그룹 채팅방이 많습니다. 제 계정 보호에 신경 쓰고 있는데, 동료들도 똑같이 하고 있다고 어떻게 확신할 수 있을까요? 일부 대화는 남의 눈에 띄면 안 됩니다.

개인 서신의 비밀 유지는 안전한 섹스와 마찬가지로 과정의 모든 참여자의 책임입니다. 여러분은 대화 상대가 여러분의 대화 캡처를 제3자에게 전송하지 않는다고 100% 확신할 수 없고, 그의 이메일 비밀번호가 자녀의 생일이 아니라는 것도 확신할 수 없습니다. 의심의 여지 없이 그것은 귀엽지만 그만큼 부주의한 일일 것입니다.

우리는 어린 시절부터 보호되지 않은 성관계에 위험이 따른다는 것을 알고 있습니다. 그런데 인터넷에서의 부주의한 행동이나 보호되지 않은 정보 교환 채널이 결과를 낳지 않는다고 누가 말하나요? 저개발국에서의 성병 위협과 마찬가지로, 여러분의 회사를 불쾌한 결과로부터 구할 수 있는 것은 체계적인 교육과 계몽 활동뿐이며, 그것은 여러분, 즉 회사의 책임자가 해야 합니다. 전략적 위협에 대한 이해와 위에서부터의 정치적 의지가 없다면 자기 교육의 방향을 잡아줄 사람이 없기 때문입니다. 

회사의 보안 기준을 도입하고 직원을 체계적으로 교육하는 것만이 위험을 무력화할 수 있습니다.

프로세스를 점검하고, 정보가 어떻게 교환되는지 파악하고, 위험을 계산하세요. 이것을 게임으로 해 보세요. 여러분이 기업 사냥꾼, 검사, 또는 부당한 경쟁자라고 상상하고 여러분의 회사를 ‘해킹’해야 한다고 생각해 보세요. 어떻게 하겠습니까? 어떤 취약점이 보이나요? 어떤 버튼을 눌러야 하나요? 회사 방어에서 어떤 부분이 허점이 될까요?

1. 하루를 정해 개인 및 업무 계정을 점검하세요;
2. 주요 소통 채널을 파악하세요;
3. 위험 구역을 파악하세요;
4. 그것들을 제거하는 작업을 하세요.

이 권고를 따르면 앞으로의 불쾌한 문제를 피하는 데 도움이 될 수 있습니다.

직원들을 위한 정보 보안 규칙을 도입하는 것 외에도, 이를 준수하는지 통제하고 점검하는 체계도 필요합니다. 직원과 동료들은 어리석음, 부주의, 또는 자신과 상관없다고 생각해서 도입된 규칙을 무시할 수 있습니다. 결과적으로 다른 사람의 태만과 경영진 지시에 대한 무시가 여러분과 여러분의 사업을 위협할 수 있습니다.

규모와 매출에 상관없이 사업을 소유하고 있다면, 회사에는 Windows 설치, Office 업데이트, 백신 설치보다 조금 더 높은 역량을 가진 기술 전문가가 있어야 합니다(그 중 마지막 것도 중요하지만). 시스템 관리자나 네트워크 보안 부서장이 될 수 있고, 여러분 취향에 맞고 직원의 야망을 만족시키는 어떤 멋진 이름이든 지어도 됩니다. 전문가의 업무에는 기업 데이터 보안, 위협 모니터링, 데이터 유출 차단이 포함되어야 합니다. 여러분의 데이터는 사무실 안에 물리적으로 있지 않은 자체 서버에 저장되어야 합니다. 누군가 회사 파일을 USB에 복사했나요? 컴퓨터가 바이러스에 감염되었나요? 여러분의 보안 담당자는 이것을 알아야 합니다. 기술 전문가는 사내에서 근무해야 하지만, 개인적인 관계가 생기는 것을 막기 위해 동료들과 어울리지 않아야 합니다. 

사무실의 물리적 보안도 신경 쓰고, 정기적으로 업무 공간에 도청 장치와 감청 장치가 있는지 점검하세요. 여러분은 사무실이 요새라고 생각할 수 있지만, 반부패 검찰청장, 행정법원장, 국가수사국장의 사무실에서 도청 장치가 발견된다면, 여러분은 그들보다 나을 것이 무엇입니까?

수색이나 체포 조서를 읽는 것보다 회사의 좋은 보안 프로토콜을 갖추는 것이 낫습니다.

좋아요, 이 모든 것이 매우 흥미롭긴 한데 저와는 상관없다고 생각해요. 저는 정치나 큰돈과는 거리가 멀고, 그냥 기업 법률가/매니저/회계사/홍보 담당자/비서/운전기사/경비원/시스템 관리자일 뿐이에요.

이것은 흔한 오해입니다. 모든 사람은 언젠가 갈등 상황에 처한 적이 있고, 살면서 적대자, 적, 원수를 몇 명씩은 만듭니다. 정치인, 기자, 활동가, 사업가일 필요는 없고, 적대자가 생기는 데 필요한 것은 그것뿐입니다. 부자일 필요가 없어도 사기꾼들의 눈에 띌 수 있고, 범죄자일 필요가 없어도 법 집행기관이 여러분에게 관심을 가질 수 있습니다.

치안 요원이나 사기꾼들이 관심을 가지는 것은 여러분이 아니라 여러분이 교류하는 사람들일 수 있습니다. 예를 들어 여러분 회사의 경영진, 사업 파트너, 고객, 가까운 친구, 또는 관심 있는 이들의 주목을 받은 먼 친척 등입니다. 회계 담당자의 개인 서신이나 비서가 동료들과 나누는 상사 험담은 실제 관심의 대상인 그 사람 자신보다 더 많은 것을 말해 줄 수 있습니다. 

블라디미르 코발