GMO 정보 유출 뒤 웹사이트 차단 검토하는 일본…통신 비밀 침해 우려

정보 유출로 예외적 조치에 관심 집중

일본 정부가 GMO인터넷과 관련된 사이버 공격으로 탈취한 개인정보가 공개된 뒤, 긴급 사이버보안 대책의 하나로 웹사이트 차단을 검토할 계획이다. 총무성은 추가 피해가 발생할 현실적인 위험을 이유로 10월 27일 국내 통신사업자들에게 해당 정보가 게시된 사이트에 대한 접속을 막아 달라고 요청했다.

요청은 업계 단체를 통해 주요 통신사업자들에게 전달됐다. 이용자가 어디에 접속하는지 확인하고, 특정 웹사이트로 연결되는 것을 차단하도록 사업자들에게 요구하는 조치였다. 이 방안은 하나의 논쟁에서 두 가지 사생활 보호 문제를 맞물리게 한다. 정보가 탈취된 사람들을 보호하는 일과 통신 내용을 살피는 행위로부터 인터넷 이용자를 보호하는 일이다.

이후 도메인이 정지되면서 웹사이트에 접속할 수 없게 됐다. 미국의 한 서비스 제공업체가 조치한 것으로 알려졌다. 일본 통신회사들의 차단 조치는 시행되지 않은 것으로 보인다.

정부는 이제 차단을 비롯해 탈취된 정보의 악용을 막을 다른 방법들과 관련된 법적 쟁점을 검토할 방침이다. 검토를 마치거나 긴급 대책을 채택할 시한은 제시되지 않았다.

정보가 공개된 뒤 무슨 일이 있었나?

이번 사건은 GMO인터넷그룹의 외환증거금거래, 흔히 FX라고 불리는 서비스와 관련됐다. 이 서비스는 고객이 담보로 예치한 돈을 이용해 통화를 거래할 수 있도록 한다. 차단 논의에서 당면한 우려는 무단 접근으로 입수한 개인정보가 공개됐다는 점이다.

사건 경과를 보면 정보 공개와 웹사이트 접속 불가 사이에 정부의 요청이 있었다.

• 10월 27일 이전: 무단 접근으로 GMO인터넷그룹의 외환증거금거래 관련 서비스가 피해를 입었다.
• 10월 27일: 공격자들이 사건을 통해 입수한 개인정보를 게시했고, 총무성은 국내 사업자들에게 해당 사이트 접속을 차단해 달라고 요청했다.
• 정보 공개 이후: 사이트 도메인이 정지돼 접속할 수 없게 됐다. 미국의 한 서비스 제공업체가 개입한 것으로 알려졌다.
• 사건 이후: 정부는 긴급 사이버보안 대책에 차단 검토를 포함할 계획을 세웠다.

무슨 일이 있었는지 파악할 때 요청과 실제 시행된 제한 조치를 구분하는 것이 중요하다. 사업자들은 접속을 막을 방안을 마련해 달라는 요청을 받았지만, 사이트 도메인에 대한 조치로 당장의 차단 필요성이 사라진 것으로 보인다.

정부가 접속 차단을 원한 이유

최초 침입이 끝난 뒤에도 개인정보는 당사자에게 계속 피해를 줄 수 있다. 일단 공개되면 복사돼 다른 사람들에게 전달될 수 있다. 정보 내용에 따라 범죄자들이 이를 이용해 사기 메시지를 더 그럴듯하게 만들거나, 특정인을 겨냥해 추가 피해를 가할 수 있다.

총무성이 밝힌 우려는 2차 피해가 발생할 현실적인 위험이었다. 쉽게 말해 정보가 탈취된 뒤 도난 정보가 이용되거나 확산되면서 발생하는 피해다. 다른 조치가 취해지는 동안 게시 사이트에 접속하는 사람을 줄이면 데이터 입수 기회를 낮출 수 있다.

기하라 세이지 관방장관은 온라인에 개인정보를 공개하는 행위가 초래하는 사생활 침해를 언급하며 다음과 같이 말했다.

개인정보를 온라인에 공개해 사생활의 권리를 침해하는 일이 용인돼서는 안 된다.

이 발언은 정부가 개입을 요청한 이유를 설명한다. 정보가 노출된 사람들은 모든 사본을 직접 회수할 수 없으며, 다운로드가 늘어날수록 확산을 막기 어려워질 수 있다. 따라서 당국은 정보의 추가 유포를 제한할 만큼 신속하게 대응해야 한다는 현실적 압박을 받는다.

차단이 다른 인터넷 이용자에게 미치는 영향

웹사이트 차단은 사이트에서 정보를 삭제하는 대신 통신사업자 단계에서 접속을 제한한다. 사업자는 특정 목적지로 향하는 연결을 확인한 뒤 이를 차단한다. 이용자는 이 제한에 동의할 필요가 없다.

차단할 연결을 식별하려면 사업자가 이용자의 통신 목적지를 확인해야 한다. 이 때문에 이번 방안은 GMO 사건의 영향을 받은 고객을 넘어 다른 사람들에게도 영향을 미친다. 사업자는 특정 사이트로 향하는 연결을 찾아내기 위해 이용자들의 접속을 살펴보게 된다.

일본 헌법과 다른 법률은 통신의 비밀을 보호한다. 여기에는 통신의 내용뿐 아니라 통신 상대방이나 접속 목적지에 관한 정보의 비밀도 포함된다. 메시지 내용을 살펴보지 않더라도 접속 목적지 자체가 사적인 정보를 드러낼 수 있다.

따라서 정책 선택은 서로 다른 방향으로 작용하는 조치로 여러 사람을 보호해야 하는 문제와 맞닿아 있다. 당국은 탈취된 정보에 대한 접근을 제한하려 하지만, 통신사업자는 이용자의 통신 비밀을 지켜야 할 의무도 고려해야 한다. 법적 검토에서는 두 책임을 모두 다뤄야 한다.

앞선 차단 제안이 신중하게 다뤄진 이유

일본은 아동 성착취물을 게시하는 웹사이트, 논의 과정에서 아동 포르노 사이트로 표현된 곳에 한해 예외적으로 차단을 허용해 왔다. 아동 성착취물이 계속 유통될 경우 피해가 심각하고 지속된다는 점과 통신 비밀 침해를 최소화해야 한다는 점이 그 근거였다.

불법 복제물 사이트와 온라인 카지노에 차단을 적용하는 방안도 검토됐지만 도입은 보류됐다. 이러한 전례는 개인정보 탈취에 대응해 같은 조치를 적용하는 일이 왜 민감한지 보여준다.

GMO 사건은 사이버 공격 이후 피해를 억제하려는 긴급 대응이라는 새로운 상황에서 차단을 검토하게 했다. 정부는 이전까지 예외적 상황에서만 허용했던 조치를 심각한 정보 유출 대응에 어떻게 적용할 수 있을지 살펴보고 있다.

요청에 대한 비판은 위험이 충분히 긴급했는지, 공개를 막기 위한 다른 방법을 모두 시도했는지에 초점을 맞췄다. 명확한 법적 규정을 마련하라는 요구에는 현실적인 우려가 담겨 있다. 사업자들이 언제 접속을 제한할 수 있는지, 어떤 조건이 적용되는지, 결정에 어떻게 이의를 제기할 수 있는지 알아야 한다는 것이다.

요청의 투명성 문제

정부는 사전에 정부 내부나 일본의 국회에서 논의하지 않은 채 요청을 했다. 총무성은 10월 27일 사업자들에게 요청했다는 보도가 나왔는데도 요청 사실을 공개적으로 인정하지 않았다.

이처럼 사실을 인정하지 않으면 대중은 결정에 대한 설명을 충분히 들을 수 없다. 요청의 법적 근거와 긴급성이 필요하다고 판단한 이유, 요청에 부과된 조건은 조치의 정당성을 평가하는 데 핵심이다.

예정된 제한 조치를 민간 통신회사가 시행했을 것이라는 점에서 우려는 더욱 크다. 이들 회사는 이용자의 법적 보호를 고려하면서 정부 요청에 대응해야 했을 것이다.

일각에서는 이번 요청이 즉각적인 사생활 위협에 대한 적절한 대응이라고 봤다. 비판론자들은 성급한 조치라고 지적하며 차단이 사이버보안 정책의 상시적 수단이 되기 전에 공개적인 설명이 필요하다고 촉구했다. 이번 논쟁은 피해자를 보호할 필요성과 제한 조치를 승인하는 절차 모두에 관한 것이다.

도메인 정지가 바꾼 점

공격자들이 사용한 것으로 의심되는 도메인이 정지되면서 통상적인 주소로 웹사이트에 접속할 수 없게 됐다. 도메인은 웹사이트에 접속할 때 사용하는 이름이다. 도메인을 정지하면 해당 경로가 끊기지만, 일본 통신사업자의 차단은 해당 사업자 네트워크를 통한 접속을 제한한다.

이번 사건에서는 국내 차단이 시행되기 전에 도메인에 대한 조치로 당장의 접속 문제가 해결된 것으로 보인다. 이후 웹사이트가 삭제됐다고 전해졌지만, 접속이 중단된 경위에 대한 구체적인 설명은 도메인 정지와 미국 서비스 제공업체의 개입 가능성을 지목한다.

이번 일은 차단과 다른 대응책의 관계가 정부 검토의 핵심임을 보여준다. 당국은 각각의 방안이 얼마나 신속하게 효과를 낼 수 있는지, 어떤 기관이 조치를 취할 수 있는지, 국내 사업자를 통한 제한 조치가 언제 정당한지 검토해야 한다.

긴급 대책에서 차단은 여전히 검토 단계다. 핵심 과제는 긴급 대응을 누구나 이해할 수 있는 규칙으로 구체화하는 것이다. 언제 개입이 정당한지, 누가 승인하는지, 당국이 피해를 낳는 정보 유출을 막는 동안 통신의 사생활을 어떻게 보호할지가 그 내용이다.

핵심 내용

• 일본은 GMO인터넷 사건 이후 긴급 사이버보안 대책의 일환으로 웹사이트 차단을 검토할 계획이다.
• 공격자들이 탈취한 개인정보를 공개한 10월 27일, 총무성이 차단을 요청했다.
• 요청은 업계 단체를 통해 국내 주요 통신사업자들에게 전달됐다.
• 대상 사이트의 도메인은 이후 정지됐으며, 국내 차단은 시행되지 않은 것으로 보인다.
• 차단하려면 사업자가 통신 목적지를 확인해야 하므로 일본의 통신 비밀 보호와 관련한 우려가 제기된다.
• 총무성은 요청 사실을 공개적으로 인정하지 않았고, 법적 검토 일정도 제시되지 않았다.