한겨레

영국 정보기관 정보통신본부(GCHQ)가 자체 개발한 프로그램을 이용해 한국 기업의 서버 정보를 수집·분석한 정황이 미국 국가안보국(NSA) 전 직원 에드워드 스노든이 폭로한 문건에서 확인됐다. 이 기업은 대한상공회의소, 나이스신용정보 등에 기업용 메일 서비스를 제공하는 아이티 기업으로, 외국 정보기관이 한국 기업의 인터넷 정보를 수집·분석한 정황이 문서로 확인된 것은 이번이 처음이다. 실제 해킹 여부는 분명치 않으나 주기적 감시 대상으로 삼은 점만으로도 충격을 준다.

<한겨레>가 지난달 18일 독일 언론에 지난해 말 공개됐던 40여건의 스노든 문건을 검토한 결과, 영국 정보통신본부는 자체 제작한 ‘플라잉피그’라는 인터넷 도감청 프로그램을 이용해 2011년께 한국 기업 ‘메일플러그’의 인터넷 통신 정보를 수집·분석했다. 플라잉피그는 보안을 강화한 인터넷 통신규약인 ‘에스에스엘(SSL)/티엘에스(TLS)’로 된 인터넷 정보를 특정해 수집·분석하는 프로그램이다. 기존 인터넷 통신규약인 에이치티티피(HTTP)는 보안에 취약하다는 지적을 받아왔다. 보안을 강화한 새로운 통신규약인 ‘에스에스엘/티엘에스’가 개발됐고 현재 인터넷 상거래와 전자우편 서비스를 중심으로 사용된다. 비교적 안전하다고 여겨진 암호화 통신도 정보기관의 감시·분석 대상이 된 점이 주목을 끈다.

‘보안망에 대한 프로파일링과 내부망에 대한 분석’이라는 제목의 이 문건은 “두 프로그램(플라잉피그, 허시퍼피)은 무차별적인 대규모 암호화 데이터에 대한 분석 프로그램”이라는 설명으로 시작한다. 작성 날짜는 없지만 2012년 11월까지 정보가 있는 것을 보면, 2012년 말 이후 작성된 것으로 보인다. 총 19장의 프레젠테이션 파일 중간에 앞부분이 가려진 아이피 주소, 인터넷 사용자(클라이언트)의 이름과 지리적 위치, 도메인 이름, 클라이언트 아이피, 서버 아이피 등의 정보가 적힌 화면 갈무리가 보인다. 위치 정보로 ‘한국’(KR)과 ‘서울’(SEOUL)이 굵은 글씨체로 적혀 있고, 수십개의 인터넷 사용자 회사(클라이언트 컴퍼니) 정보 가운데 이름이 ‘Korea Telecom: mailplug.co.kr’인 아이피 주소가 20개 등장한다. 플라잉피그는 2011년 10월부터 11월 사이 이들 아이피 주소를 모두 합쳐 100차례 가까이 확인했다. 메일플러그 이외에 교직원 공제회(ktcu.or.kr), 인터넷마케팅 회사인 포스트맨(postman.co.kr), 데이터 회선 서비스 회사인 코넷(kornet.net) 등 다른 한국 관련 기업·기관명도 등장한다.

<한겨레>가 접촉한 복수의 보안전문가들은 정보기관이 ‘에스에스엘/티엘에스’를 기반으로 한 보안메일 서비스 업체를 감시한 점에 주목해야 한다고 지적했다. 암호화 기술의 발전은 정보기관의 사찰을 어렵게 만든다. 실제로 이 문건 중간에 “정보통신본부 타깃들이 개인 정보보호를 위해 점점 더 ‘에스에스엘/티엘에스’ 서비스로 옮겨간다”고 우려하는 대목이 나온다. 메일플러그는 기업용 보안메일 서비스를 제공하는 회사로, 기업 300여곳에 서비스를 제공하고 있다. 상공회의소, 도로공사, 비락, 락앤락 등을 고객으로 두고 있다. 특히 기업 및 개인정보를 광범위하게 보유·관리하는 나이스신용정보에도 서비스를 제공하고 있다.

익명을 요구한 컴퓨터 보안학과 교수는 문건을 검토한 뒤 “(에스에스엘은) 현재 은행이나 네이버, 지메일 등에서 쓰는 암호화 기술이다. 외국 정보기관이 암호화된 정보를 수집하는 강력한 툴을 만들고 이걸 설명하고 있다는 건 무서운 이야기”라며 “에스에스엘 등으로 통신하면 안전하다고 생각했지만 영국은 강력한 툴을 개발한 것이다. 지금 (민간에) 이런 고도의 기술은 없으며 특히 공격 전용 툴을 개발한 사례는 없는 것으로 안다”고 말했다.

외국 정보기관이 한국의 사기업 서버 정보를 주기적으로 수집·분석한 정황이 드러난 것은 처음이다. 영국 정보통신본부는 이 문건에서 감시의 목적으로 “외국 정부의 정보망, 항공, 에너지, 금융 분야 등의 정보 확보”라고 밝혔다. 영국 정보통신본부는 미국 국가안보국과 정보를 공유한다.

다만 문건에는 추가 설명이 없어, 영국 정보통신본부가 실제로 이 기업 서버 해킹에 성공했는지, 감시 대상 리스트 작성에서 멈춘 것인지는 분명하지 않다. 메일플러그 관계자는 <한겨레>에 “라우터를 조작해 인터넷을 감청하는 기술로 보이며 특정 서버를 해킹하는 툴이 아닌 것으로 보인다. 문서에 나오는 내용은 외부에서도 확인할 수 있는 정도”라고 말했다. <한겨레>가 영국대사관을 통해 영국정부에 사실 확인을 요청했으나 영국 정부는 답하지 않았다. 영국 정보통신본부는 2013년 스노든 폭로 이후 지금까지 자신들과 관련한 의혹에 대해 ‘엔시엔디’(NCND: 확인도 부인도 하지 않음)입장을 밝히고 있다. 최현준 기자 haojune@hani.co.kr