요즘 어떤 기업을 믿을 수 있는지 알아내기란 쉽지 않습니다.
FBI의 '백도어 접근' 요구에 굴복하지 않은 애플은 칭찬받을 만하지만, 다른 많은 기업들은 NSA(미국 국가안보국)에 아무 망설임 없이 사용자 정보를 넘기고 있습니다.
여기서는 NSA에 사용자 데이터 접근 권한을 넘겨준 것으로 알려진 기업들을 살펴봅니다. 이들 서비스를 이용할지 여부는 본인의 판단에 달려 있습니다.
1. 야후(Yahoo)
NSA에 데이터를 넘긴 기업 중 가장 심각한 사례로 꼽힙니다.
사실 야후의 해킹 사고 전력만 봐도, 사람들이 아직 이 회사의 서비스를 계속 사용한다는 것 자체가 놀라운 일입니다. 해커들은 2013년 8월 30억 개의 계정을 해킹했고, 2014년 말에는 추가로 5억 개, 2015년 말에는 또다시 2억 개의 계정이 유출되었습니다.
그러나 이 모든 것과 비교하면 NSA와의 유착은 더욱 충격적입니다.
2016년, 야후가 사용자들의 받은편지함을 감시하고 문제가 되는 내용을 자동으로 NSA에 전송하는 비밀 이메일 필터를 따로 만들었다는 사실이 밝혀졌습니다. NSA는 더 이상 데이터를 요청할 필요조차 없었던 것이죠.
이 필터 설치를 결정한 사람은 당시 CEO였던 마리사 메이어(Marissa Mayer)였습니다. 그녀는 회사 최고 보안 엔지니어인 알렉스 스타모스(Alex Stamos)에게 알리지 않은 채 이 결정을 내렸고, 스타모스는 프로그램의 존재를 알게 되자 즉시 회사를 떠났습니다.
나중에 다른 직원들이 이 필터를 발견했을 때는 그 침입 수위가 너무 심해 악성 해커의 소행으로 여겨질 정도였습니다.
2. 아마존(Amazon)
PRISM과 NSA를 둘러싼 초기 논란은 다소 가라앉았지만, 그렇다고 안심하면 안 됩니다.
아마존은 원래 유출된 NSA 슬라이드에 등장하지 않았던 기업임에도 불구하고, NSA에 막대한 양의 사용자 데이터를 제공하고 있습니다.
2017년 12월 말 공개된 가장 최근 투명성 보고서(PDF)에 따르면, 아마존은 다음과 같은 정부 요청을 받았습니다.
- 소환장 1,618건: 42% 전면 준수, 31% 부분 준수
- 수색 영장 229건: 44% 전면 준수, 37% 부분 준수
- 기타 법원 명령 89건: 52% 전면 준수, 32% 부분 준수
단 한 건을 제외한 모든 요청이 미국 국내에서 나온 것이며, 이 수치는 직전 6개월 대비 약 15% 증가한 것입니다.
또한 아마존은 국가안보레터(national security letters)를 정확히 몇 건 받았는지 밝힐 수 없습니다. 다만 하나도 받지 않았다는 사실만은 말할 수 있어서, 아마존은 '0건에서 249건 사이'를 받았다고 선언했습니다.
3. 버라이즌(Verizon)
2013년 6월, 영국 가디언지는 유출된 문서를 입수했는데, 이 문서에 따르면 NSA가 매일 수백만 명의 버라이즌 고객 통화 기록을 수집하고 있었습니다.
같은 해 4월 발급된 기밀 법원 명령에 따라 버라이즌은 시스템 내 모든 통화, 국내 및 국제 통화까지 포함해 세부 정보를 NSA에 제공해야 했습니다.
이 법원 명령은 3개월간 유효했으며 2013년 7월에 만료되었습니다.
명령서에 따르면 버라이즌은 통화 양측의 전화번호, 위치 데이터, 통화 시간, 고유 식별자, 모든 통화의 시간과 지속 시간을 넘겨야 했습니다. 이런 메타데이터만으로도 통화 이면에 있는 사람들에 대해 상당히 많은 것을 알아낼 수 있습니다.
더 심각한 것은, 이 판결이 버라이즌에게 법원 명령이나 NSA의 요청 사실을 대중에게 알리는 것까지 금지했다는 점입니다.
이 프로그램의 코드명은 '래그타임(Ragtime)'이었습니다. 2017년 말 추가로 유출된 문서들은 래그타임 프로젝트가 여전히 활발히 진행 중일 뿐만 아니라, 처음 상상했던 것보다 훨씬 광범위하다는 사실을 보여주었습니다.
버라이즌 법원 명령이 속해 있던 부분인 '래그타임-P'는 여전히 활동 중이었고, 유출 문서는 10개의 추가 변형이 존재한다는 사실도 드러냈습니다. 미국 시민 입장에서 가장 우려되는 것은 '래그타임-USP'(US person)입니다.
이론적으로 2015년 판결 이후 미국 시민과 영주권자는 통화 기록 수집으로부터 보호받아야 하지만, 래그타임-USP의 존재는 이를 의심스럽게 만듭니다.
유감스럽게도 어떤 기업들이 래그타임-USP와 유착하고 있는지는 알려져 있지 않습니다.
4. 페이스북(Facebook)
페이스북은 늘 NSA 감시 논쟁의 최전선에 있어 왔습니다. 아마존처럼 정보 요청 건수를 공개하는데, 오늘날 NSA는 그 어느 때보다 많은 정보를 요청하고 있습니다.
공개된 가장 최신 수치는 2017년 상반기 것입니다. 이 데이터에 따르면 해당 기간 동안 NSA의 요청 건수가 직전 6개월 대비 26% 증가했습니다.
이는 장기적인 상승 추세의 일부로, 요청 건수는 2013년 상반기 약 1만 건에서 2017년 상반기에는 3만 3천 건을 넘어섰습니다.
동시에 페이스북은 요청이 늘어나는 만큼 응하는 비율도 높아지고 있습니다. 2013년 상반기에는 NSA 요청의 79%에 응했지만, 2017년 상반기에는 85%로 올라갔습니다.
문제는 여기서 끝나지 않습니다. 페이스북이 받은 NSA 요청의 무려 57%에는 비공개 조항(non-disclosure clause)이 포함되어 있었습니다. 즉, 페이스북은 NSA가 해당 사용자의 데이터를 요청했다는 사실을 사용자에게 알릴 수 없다는 뜻입니다. 이 조항이 남용될 가능성이 있다고 생각하신다면 정확합니다. 2017년 상반기 비공개 명령 건수는 2016년 하반기 대비 무려 50%나 급증했습니다.
5. AT&T
야후의 맞춤형 이메일 필터가 이 목록에서 가장 노골적인 감시 장치일지 모르지만, 가장 적극적으로 협조한 기업이라는 타이틀은 아마도 AT&T의 것입니다.
2015년, 유출된 NSA 문서들이 이 통신 대기업과 정부 기관 사이의 관계를 적나라하게 드러냈습니다.
한 문서는 양측의 관계가 "독특하며 특히 생산적"이라고 밝혔습니다. 또 다른 문서는 AT&T가 "매우 협조적"이며 "극도로 도우려는 의지"가 있다고 극찬했습니다.
세 번째 문서는 NSA 직원들에게 AT&T 시설 방문 시 예의를 갖추라고 반복해서 상기시키며, "이것은 계약 관계가 아니라 파트너십이다"라고 적혀 있었습니다.
이 협력 프로그램의 이름은 '페어뷰(Fairview)'입니다. 1985년 마 벨(Ma Bell) 분할 이후 시작되어 9/11 테러 이후 현재의 수준으로 확대되었습니다. AT&T는 테러 발생 며칠 만에 NSA에 정보 접근 권한을 넘겨주었고, 운영 첫 달 동안만 인터넷 메타데이터 4천억 건 이상을 NSA에 제공했습니다.
2011년에는 페어뷰 프로그램이 한 단계 더 발전했습니다. 문서에 따르면 AT&T는 매일 11억 건의 국내 휴대전화 통화 기록을 NSA에 제공하기 시작했습니다.
AT&T 고객이 아니니 안전하다고 생각하신다면, 다시 생각해 보세요. 유출된 한 문서는 AT&T와의 관계가 "다른 통신사와 ISP에 대한 독특한 접근 경로를 제공한다"고 명시하고 있습니다.
이런 교차 ISP 감시가 가능한 것은 이메일 데이터 수집 방식 때문입니다. 단 하나의 이메일을 도청하려면 다른 여러 이메일의 일부도 함께 수집해야 합니다. 미국인 간의 통신의 경우, 법률상 NSA는 (이론적으로) 해당 이메일을 즉시 폐기해야 합니다.
그러나 외국인-미국인, 외국인-외국인 간 메일에는 법이 적용되지 않습니다. 따라서 NSA는 영장 없이 대량 수집을 할 수 있습니다. 웹 데이터의 상당 부분이 미국 케이블을 통해 흐르기 때문에, 이 허점은 NSA에 특히 큰 이익이 됩니다.
인터넷 감시로부터 스스로를 보호하는 방법
여기서는 NSA가 기업들로부터 데이터를 강제로 가져온 가장 우려되고 잘 알려진 5가지 사례만 다루었습니다.
하지만 실제로는 더 작은 기업들도 자발적으로든 법적 강제에 의해서든 데이터를 넘기는 사례가 끝없이 존재할 것입니다. 안타깝게도 그런 사례들은 공개되지 않으며, 아마 앞으로도 공개되지 않을 것입니다.
그럼에도 불구하고 과도한 인터넷 감시로부터 스스로를 보호하기 위해 취할 수 있는 조치들은 여전히 있습니다.