휴대폰 통신사가 고객의 위치 데이터를 현상금 사냥꾼에게 판매하고 있다는 뉴스에 아직도 놀란다면, 최근 몇 년간 쏟아진 개인정보 관련 폭로들을 놓치고 있었을 가능성이 큽니다. 데이터를 수집하는 기업들에 대해 늘 의심스럽게 생각해 왔다면, 다시 한번 정확한 직감을 발휘하신 셈입니다. AT&T, 스프린트(Sprint), T모바일(T-Mobile), 버라이즌(Verizon)은 현재 고객 위치 데이터를 '데이터 브로커(data broker)'라 불리는 제3자에게 판매한 혐의로 소송에 휘말렸습니다. 데이터 브로커들은 이 데이터를 다시 여러분을 찾고 싶어 하는 이들에게 되팔았는데, 특히 보석 보증업자나 현상금 사냥꾼 같은 '반쪽짜리 공권력'이 주요 고객이었습니다.
핵심 요약
메릴랜드에 기반을 둔 ZLaw 법무법인은 2019년 5월 2일 미국 4대 이동통신사를 상대로 집단소송을 제기했습니다. 피해를 입은 통신사 고객들의 이름으로 제기된 이 소송은, 해당 통신사들이 접근 권한이 없는 기업들에게 실시간 위치 데이터를 넘겨준 혐의를 담고 있습니다. 소송 대상 기간은 2015년부터 2019년까지 약 4년이지만, 문제의 행위가 반드시 이 기간에만 국한됐다고 볼 수는 없습니다.
NSA(미국 국가안보국)가 원할 때마다 자신을 추적할 수 있다는 사실에 어느 정도 무덤덤해질 수 있을지 모르지만, 테이저건과 노트북 하나만 쥔 개인도 똑같은 일을 할 수 있다는 사실은 훨씬 소름 돋는 문제입니다. 이 사건을 처음 폭로한 바이스(Vice)의 '마더보드(Motherboard)'가 실제로 그렇게 입증했습니다. 단돈 300달러를 지불하고 현상금 사냥꾼에게 자신들의 휴대폰 위치를 찾아달라고 요청했더니, 사냥꾼은 통신사에서 시작되는 데이터 서비스와 브로커들의 연결고리를 이용해 실제로 위치를 찾아낸 것입니다.
집단소송인 만큼 피해를 입은 개인들에게 배상이 이루어질 수 있으며, 구체적인 내용은 추후 공개될 예정입니다. 하지만 이 소송의 진짜 목적은 대형 통신사들이 민감한 고객 정보 판매를 중단하도록 만들거나, 최소한 더 신중하게 다루도록 압박하는 데 있습니다.
대체 무슨 일이 벌어지고 있었나?
2018년에도 비슷한 스캔들이 있었습니다. 교도소 기술 전문 기업 세쿠러스(Securus)가 하급 법 집행 관계자들에게 미국 주요 통신사를 사용하는 거의 모든 휴대폰의 위치 정보에 접근 권한을 제공하고 있다는 사실이 드러난 것입니다. 이런 수준의 감시는 미국에서 통상 영장이 필요하지만, 세쿠러스는 로케이션스마트(LocationSmart)라는 중개 회사를 이용해 이를 우회했습니다. 로케이션스마트는 누구나, 심지어 무료 체험 계정으로도 가입할 수 있어서 미국에서 사용 중인 대부분의 휴대폰 위치에 접근할 수 있었습니다.
여기서 말하는 데이터는 일반적으로 GPS 데이터가 아니라, 각기 다른 셀 타워 신호의 강도를 통해 파악된 대략적인 위치입니다. 통신사가 서비스를 제공하기 위해 반드시 필요한 정보이기도 합니다. 그러나 현상금 사냥꾼들이 이용할 수 있었던 일부 데이터는 GPS 기반이었고, 이는 위치를 몇 미터 단위까지 좁혀낼 수 있다는 뜻입니다.
2018년 위치 정보 문제를 둘러싸고는 더 많은 일들이 벌어졌습니다. 세쿠러스가 해킹당해 실시간 추적 도구에 대한 접근 권한이 잠시 누구의 손에도 들어갈 수 있었던 사건도 있었습니다. 하지만 이 이야기에서 중요한 이유는, 당시 관련된 모든 통신사가 이런 허점을 막고 민감한 데이터를 수상한 제3자에게 넘기지 않겠다고 약속했다는 점입니다. 그런데 마더보드가 데이터가 흘러간 경로를 실제로 추적해낼 수 있었던 것으로 보아, 그 약속은 잘 지켜지지 않은 듯합니다.
데이터가 흘러간 과정은 대략 다음과 같습니다.
- 데이터 애그리게이터(이번 사례에서는 주미고(Zumigo))가 통신사로부터 고객 데이터를 구매합니다. 이 데이터는 부정 거래 방지, 마케팅 등 다양한 용도로 활용됩니다.
- 주미고는 이 데이터를 다른 서비스 업체에 다시 판매합니다. 이번 사례에서는 마이크로빌트(Microbilt)라는 회사가 해당되는데, 이 회사는 주미고에서 구매한 접근 권한을 활용해 신원조회, 신용조회, 보석 조건 위반 가능성이 있는 인물 추적 같은 서비스를 판매합니다. 마이크로빌트는 실제로 이런 서비스의 가격표까지 운영하고 있었습니다.
- 현상금 사냥꾼이든 집주인이든, 서비스를 이용하는 사람은 돈을 내고 여러분의 휴대폰 데이터를 받아 사용하게 됩니다.
다소 복잡하게 느껴질 수 있지만, 핵심은 명확합니다. 여러분의 데이터는 수많은 회사를 거치며 오가지만, 결국 모든 데이터는 중심에 있는 통신사에서 나옵니다. 통신사가 이 데이터를 남용하는 제3자의 접근을 차단하면 문제는 해결됩니다. 하지만 그렇게 하지 않고 있는 것으로 보입니다.
현상금 사냥꾼이 날 쫓는 것도 아닌데, 왜 걱정해야 할까?
물론 여러분이 한 솔로(Han Solo)는 아니고, 위치 데이터가 특정인에게 이용되고 있을 가능성은 낮습니다. 하지만 이런 도구에 접근할 수 있는 사람들이 업무 외적인 목적으로 악용한 사례는 실제로 존재했습니다. 여자친구를 몰래 추적한 경우가 대표적입니다. 일반 대중에게 직접적인 영향을 줄 일은 아니지만, 특정인들이 여러분을 거의 어디서든 찾아낼 수 있는 도구가 이미 존재한다는 사실은 변하지 않습니다. 잠재적 고용주가 여러분이 정신과에 얼마나 자주 방문하는지 확인하거나, 마케팅 회사가 여러분에 대한 더 정교한 프로필을 구축하려는 상황도 얼마든지 가능해집니다.
문제는 개인의 이동 추적에만 국한되지 않습니다. 대량으로 수집·분석된 위치 데이터는 사람들의 이동 경향을 파악하는 데 활용될 수 있습니다. 익명으로 수집되고 적절히 사용된다면 더 나은 시스템과 서비스 설계에 큰 도움이 되는 데이터이지만, 누구의 손에 들어갈지 거의 고려하지 않은 채 대량으로 흘려보내진다면 그것은 신뢰의 배신이며, 근본적으로 잘못된 일입니다.