스위스에 본사를 둔 보안 이메일 서비스 프로톤메일(ProtonMail)이 한 사용자의 정보를 당국에 넘긴 사실이 알려지면서 큰 논란에 휩싸였습니다. 프랑스 경찰과 협조한 유로폴(Europol)의 요청에 따라 프로톤메일은 프랑스 활동가 한 명의 정보를 스위스 당국에 전달한 것입니다.
프로톤메일은 사용자 프라이버시 보호를 내세워 왔고, 기본적으로 IP 주소를 기록하지 않는다고 주장해 왔습니다. 하지만 회사는 법적으로 현지 규정을 준수하고 협조할 의무가 있습니다.
이제 프로톤메일은 향후 유사한 상황에서 당국에 제공할 IP 주소 자체가 남지 않도록, Tor 네트워크나 VPN을 통해 서비스에 접속할 것을 사용자들에게 권고하고 있습니다.
프로톤메일, 프랑스 활동가의 IP 주소 공개
문제의 핵심은 프로톤메일이 오랫동안 프라이버시를 중시해 왔음에도 불구하고 현지 법률을 준수해야 한다는 점입니다. 이번 사건에서 프로톤메일은 파리 중심가의 여러 건물을 불법 점거한 반젠트리피케이션 단체에 소속된 사용자의 IP 주소 공개 요청을 받았습니다.
프랑스 경찰은 해당 정보를 유로폴에 요청했고, 유로폴은 다시 스위스 당국에 요청을 전달했습니다. 프로톤메일은 스위스에 기반을 두고 있기 때문에, 이런 성격의 법적 요청을 받으면 법에 따라 협조할 의무가 있습니다. 프로톤메일 측은 프랑스 경찰에 직접 자발적으로 정보를 넘긴 것은 아니라고 강조했습니다. 투명성 보고서(Transparency Report)에 따르면, 동사는 "스위스 당국의 승인을 받은 외부 요청"에는 협조해야 하며, 그렇지 않으면 회사에 제재가 가해질 수 있다고 밝혔습니다.
요컨대 프로톤메일은 사용자 데이터를 당국에 넘기는 것에 대한 우려에도 불구하고, 손발이 묶인 상태에서 프랑스 활동가의 IP 주소를 제공할 수밖에 없었습니다. 투명성 보고서에 따르면 프로톤메일은 가능한 경우, 그리고 데이터 요청이 불법이라고 판단되는 경우에는 요청을 거절합니다. 2020년에 접수된 3,500건이 넘는 데이터 요청 가운데 최소 750건을 거절했지만, 강제된 경우에는 응답할 수밖에 없습니다.
프로톤메일: 우리는 법을 준수해야 합니다
프로톤메일은 법적으로 접근 가능한 데이터를 제출해야 하지만, 프라이버시 중심 서비스로서 사용자들에게 반드시 그럴 필요는 없다고 조언합니다.
프로톤메일의 개인정보 처리방침에 따르면, 일반 인터넷 연결로 프로톤메일에 접속하면 요청 시 IP 주소, 이메일 주소, 계정 활동 및 메타데이터, 저장된 총 메시지 수, 마지막 로그인 시간, 심지어 외부 업체로 발송된 암호화되지 않은 메시지까지 제공될 수 있습니다. 투명성 보고서는 여기에 더해, 동사가 "범죄 활동에 연루된 프로톤메일 계정에 접속하는 데 사용되는 IP 주소를 모니터링해야 할 의무가 있을 수 있다"고 덧붙였습니다.
바로 이 부분이 프로톤메일을 세상에서 가장 안전한 이메일 제공업체 중 하나로 여겨 온 프라이버시 옹호자들의 강한 반발을 산 것입니다.
프로톤메일 접속 시 Tor나 VPN을 사용해야 하는 이유
IP 모니터링과 데이터 기록으로부터 보호할 수 있는 방법은 두 가지가 있으며, 프로톤메일은 사용자들에게 두 가지 모두 고려해 볼 것을 권합니다.
첫째, 프로톤메일의 Tor Onion 사이트를 통해 접속하는 방법입니다. Tor의 네트워크 구조 특성상 개별 계정에 IP 주소를 할당하는 것은 사실상 불가능합니다. 당국이 계정 접속에 사용된 IP 주소 정보를 요청하더라도, 프로톤메일은 요청의 출처가 아닌 출구 노드(exit node)의 IP 주소만 제공할 수 있습니다.
둘째, 프로톤메일은 자사의 ProtonVPN 서비스 사용을 권장합니다. VPN을 사용하면서 프로톤메일에 접속하면, 회사는 VPN 서버의 IP 주소만 제공할 수 있습니다. 다만 VPN 방식에는 주의할 점이 있습니다. 반드시 무로그(no-log) 정책을 지키는 VPN 업체를 사용해야 합니다. 그렇지 않으면 당국이 해당 VPN 업체에 프로톤메일(또는 다른 서비스) 접속에 사용된 계정의 데이터 로그 제출을 강제할 수 있고, 그 과정에서 원래의 IP 주소가 드러날 수 있습니다.
어느 방법도 완벽하지는 않지만, 사용자 데이터와 잠재적인 데이터 요청 사이에 또 하나의 보호막을 추가하는 비교적 간단한 방법입니다. 단순히 프라이버시를 더욱 강화하고 싶은 경우에도 유용합니다.
그래도 프로톤메일은 안전하게 사용할 수 있을까?
물론입니다. 프로톤메일의 데이터 수집 및 IP 모니터링 관련 폭로는 우려스럽지만, 대체로 이해할 만한 일입니다. 이들은 스위스 땅에서 운영되므로 스위스 법의 구속을 받으며, 규제가 전혀 없는 국가나 바다 한가운데 배 위로 사업장을 옮기지 않는 한 법 집행 기관에 협조해야만 합니다.
일반 사용자 입장에서 프로톤메일은 여전히 훌륭한 보안·프라이버시 이메일 서비스입니다.