[특집]당신의 전자우편은 안전한가요?

국내 포털 이메일 압수수색 대폭 증가…
합법적 감청뿐 아니라 불법 도청까지

뉴미디어의 산물인 이메일, 메신저, 인터넷 카페 등에 대한 도청·감청이 광범위하게 이뤄지고 있다. <경향신문>

‘누가 내 이메일을 열어 보고 있다.’
우리 사회에 도청·감청 공포증이 확산되고 있다. 합법과 불법적인 공간에서 도청·감청이 만연하면서 국민들의 사생활이 노출되고 있는 것이다. 이와 관련해 전문가들은 헌법(18조)에 보장된 통신의 자유가 침해될 가능성이 크다고 지적하고 있다.
전통적 통신 수단인 유선전화, 휴대전화에 뉴미디어의 산물인 이메일, 메신저, 휴대전화 문자메시지, 인터넷 카페 등에 대한 도청·감청이 광범위하게 이뤄지고 있다. 정보사회에서 이메일과 메신저 내용, 인터넷 로그인 기록 등은 개인의 정체성 그 자체라고 할 수 있다. 그런데 누구인가 이를 마구잡이로 들여다보고 있는 것이다.

“감청 증가는 수사권 오·남용 소지”
우선 합법적이라고 할 수 있는 검찰·경찰·국정원 등 수사·정보기관의 감청에서도 잘 나타나고 있다. 최근 3년 동안 네이버, 다음, 야후 3개 통신사업자에 대한 이메일 감청은 폭발적으로 증가하고 있다. 특히 2008년 상반기에는 이메일 감청이 대폭 증가했으며, 그 중에서 다음에 대한 압수수색 영장이 특히 많았다. 이메일 감청은 감청 대상이 된 자의 이메일 주소에서 송·수신되는 모든 전자우편의 내용을 수사기관이 확인하는 것을 말한다. 이에 따라 일각에서는 보안을 우려해 국내 포털 업체가 아닌 외국계 포털 업체에서 제공하는 이메일 계정을 사용하고 있다. 국내 수사기관이 외국계 포털 업체에는 쉽게 수색영장을 남발하지 않을 것이라고 믿고 있기 때문이다.

포털 업체 다음에 대한 수사기관의 연도별 감청 자료 제공 추이를 보면 감청의 빈도와 대상자가 대폭 확대된 것을 알 수 있다. 다음은 수사기관에 2006년 196건, 2007년 249건의 감청 자료를 제공했다. 2008년에는 상반기까지 443건의 전자우편 감청이 이뤄졌다. 반면 국내 1위의 포털 업체인 네이버는 2006년 75건, 2007년 151건, 2008년 273건의 자료를 수사기관에 제공했으며, 야후는 2006년 27건, 2007년 30건, 2008년 87건이었다. 이들 3개 업체 이외에도 파란, 핫메일코리아, 드림위즈 등까지 포함할 경우 수치는 더욱 늘어날 것으로 전망된다.

이와 관련해 민주당 최문순 의원은 “인터넷 포털 업체의 이메일에 대한 감청의 빈도와 대상자가 확대되었다는 것은 지난 촛불정국과 관련해 공안정국 조성과 무관하지 않음을 나타내는 것”이라고 분석하고 “사정기관의 통신사업자에 대한 감청 요청 증가는 수사의 편의성을 위한 것으로 수사권의 오·남용으로 이어질 소지가 크다”고 주장했다.

문제는 단순히 감청 요청 영장 건수가 아니라 영장 1건으로 수많은 사람의 아이디를 조회하고 있는 것이다. 예를 들어 수사기관은 범죄 용의자 한 사람의 이메일을 볼 수 있는 감청 요청 영장으로 용의자와 이메일을 주고받은 불특정 다수의 이메일을 열어볼 수 있다는 것이다. 더욱 큰 문제는 수사기관이 사용자가 모르는 사이에 이메일을 열어 보고도 본인에게 통지해주지 않는다는 사실이다. 이는 국민의 알권리, 개인 사생활 보호 측면에서 매우 중요한 문제가 아닐 수 없다.

이메일 사용자엔 통보도 하지 않아

이에 대해 검찰 관계자는 “형사소송법 상 서버에 보관된 이메일에 대한 압수수색은 서버 관리자에게만 통보하고 실제 이메일을 주고받은 이용자에게는 통보하지 않는다”고 밝혔다.

이와 관련해 통신비밀보호법에는 수사기관이 이메일을 열어볼 경우 사용자에게 30일 이내에 통보하도록 돼 있다. 그러나 ‘전기통신사업법’에 따르면 사정기관은 통신 사용자의 개인정보를 전기통신사업자에 요청할 수 있다. 이에 따라 사정기관은 법의 허점을 이용해 개인정보와 통신비밀을 우선하는 ‘통신비밀보호법’이 아닌 ‘형사소송법’이나 ‘전기통신사업법’에 근거해 통신자료를 받아 개인에게 통보 없이 정보를 취득하고 있는 실정이다. 수사기관이 편법으로 국민의 기본권을 침해할 우려가 큰 것이다. 실제 헌법재판소는 “전자메일 수신인 또는 발신인의 알권리, 통신의 자유 등 기본권을 제한할 소지가 있을 것으로 보인다”는 의견을 내놨다.

이에 대해 시민단체의 한 관계자는 “경찰 등 수사기관이 영장 없이 수사 협조를 요청하더라도 포털 업체들이 이를 거부하기는 사실상 힘든 상황”이라며 “업체들이 수사기관의 협조 요청에 대해 과감히 ‘안 된다’고 할 수 있는 사회적 분위기를 조성해야 한다”고 말했다.

이에 따라 관련법인 ‘통신비밀보호법’ ‘형사소송법’ ‘전기통신사업법’ 등을 함께 개정해야 할 것으로 보인다. 민주당 박영선 의원은 “현행 형사소송법 상 서버에 보관된 이메일에 대한 압수수색은 서버 관리자에게만 통보할 뿐 이메일 이용자에게는 통보하지 않고 있다”면서 “이메일 압수수색에 대한 명확한 규정이 없어 국민의 알권리와 개인의 사생활 보호 측면에서 볼 때 상당히 문제가 있다”고 주장했다. 진보네트워크 오병일 정책활동가는 “수사기관의 이메일 감청과 관련한 오·남용을 막기 위해 법원에서도 영장발부를 엄격히 제한하고, 포털 업체도 이메일 계정을 제공할 때 과도한 개인정보 수집을 자제해야 한다”고 말했다. 함께하는시민행동의 김영홍 정보인권국장은 “정부 여당이 지난 17대 국회 때 ‘통신비밀보호법’ 개정안에서 로그인·로그아웃 기록을 남기도록 하고 있는데, 이는 법을 개악하는 것”이라고 밝혔다.

인터넷 카페도 안전지대는 아니다. 경찰은 지난 6월 압수영장 1건으로 2만5000여 명에 달하는 카페의 모든 회원의 주민번호·연령 등 기본적인 인적 사항을 다 가져갔다. 경찰은 또 다른 영장 1건으로 2000여 명의 인적사항을 포털 업체로부터 받기도 했다.

이메일에 대한 합법적 감청뿐 아니라 불법적인 도청도 광범위하게 이뤄지고 있다. 심지어는 이메일을 전문적으로 해킹하는 청부업자도 생겨나고 있다. 전문가들은 이메일에 대한 해킹 프로그램의 발달로 이메일이 쉽게 노출될 수 있다고 지적한다. 특히 시스템에 전송되는 중간에서 가로채는 해킹수법을 이용해서 사용자의 ID(아이디)와 비밀번호를 알아낼 수 있는 스니핑 프로그램이 널리 퍼져 있다. 이에 따라 ID와 비밀번호가 암호화돼 있지 않을 경우 메일이 외부에 쉽게 유출될 수 있다. 최근 중국 등에서는 한국인의 개인정보를 매매하고 있는 것으로 알려졌다. GS칼텍스, 옥션, 하나로텔레콤 등에서의 개인 정보 유출은 우리 사회에 커다란 파장을 일으키기도 했다.

인터넷 카페 회원 정보도 제공받아

해킹방어대회에서 참가자들이 문제를 풀고 있다. <한국정보보호진흥원 제공>

이와 관련해 정부는 최근 공무원이 행정망을 통해 네이버·다음 등 포털 사이트가 제공하는 이메일 사이트에 접속하는 것을 금지시켰다. 이 같은 조치는 메일을 통해 중요 정보가 유출되거나 해킹당하는 것을 방지하기 위한 것이라고 정부 관계자는 설명했다. 전응휘 녹색소비자연대 이사는 “이메일은 인터넷뱅킹처럼 상대방에 대한 인증서비스가 안 되는 한계가 있다”면서 “기술의 발달로 일반인들에게까지 이메일이 확산되면서 도청에 대한 공포도 늘어나고 있다”고 말했다.

네트워크로 연결된 회사 메일 계정을 사용하는 직장인의 불안감도 확산되고 있다. 대부분 기업에서는 직장인들이 주고받은 메일을 콘텐츠 서버에 일정 기간 저장하는 시스템을 갖추고 있다. 이를 통해 기업에서는 직장인들의 이메일 내용을 보안감사라는 명목으로 정기적으로 체크한다. 일부 기업은 일정 용량 이상의 첨부파일을 보내지 못하게 하고 있다. 비록 직장인들이 입사할 때 이메일을 열어보는 데 동의하는 보안서약서를 쓰지만 기업에서 본연의 용도가 다른 용도(개인적 용도)로 이메일을 볼 수 있다는 문제도 제기되고 있다. 예를 들어 직장의 경쟁자가 동료의 이메일을 회사 내부 시스템을 통해 볼 수도 있다. 이에 따라 전문가들은 직장 메일의 경우 철저히 업무 용도로만 사용해야 한다고 충고하고 있다.

사실 기업에서는 키보드 몇 개만 두드리면 직원들이 컴퓨터에서 무슨 작업을 하는지도 한눈에 알 수 있을 만큼 기술이 발달해 있다. 하지만 기업의 직원 이메일 도청은 ‘통신비밀보호법’ 등에 저촉될 가능성이 크다.

아이핀도 개인정보 노출된다

주민번호 대체 수단으로 각광받는 아이핀(i-PIN)도 보안에 허점에 있는 것으로 밝혀졌다. 아이핀(Internet Personal Identification Number, i-PIN)은 인터넷 상에서 주민등록번호 사용에 따른 부작용(각종 범죄에 악용)을 해결하기 위한 서비스로 정보통신부와 한국정보보호진흥원이 개발한 일종의 사이버 신원 확인 번호다.

한나라당 이정현 의원(문화체육관광방송통신위원회)이 성균관대학교 정보보호연구소에 의뢰한 ‘주민번호 대체 수단 도입 사이트 서비스 운영 현황 조사’에 따르면 조사 대상 50개 사이트 중 아이핀의 정보가 노출되는 웹사이트는 32곳이나 됐다. 이번 조사는 방문객 순위를 통해 107개 웹사이트를 선정해 그 중 주민번호 대체 수단을 도입한 50개 웹사이트를 대상으로 했다.

이 중 특히 행정안전부·법무부 등 중앙부처와 제주도청·부산시청·영등포구청·충북도청 등 정부와 지자체 9곳에서는 ID, 본인 확인 정보가 유출되기도 했다. 행안부의 공공 아이핀인 G-PIN의 경우 20개 사이트에서 ID가 노출됐고, 22개 사이트에서 본인 확인 정보가 노출됐다. 한국신용평가정보의 가상주민번호 아이핀은 ▲ID노출 5곳 ▲비밀번호 노출 5곳 ▲본인 확인 정보 노출 19곳 등이었으며, 한국신용정보의 NICE 아이핀은 본인 확인 정보 노출이 11곳으로 집계됐다. 이 같은 문제점은 지난해 말부터 이미 지적돼왔으나 시정되지 않은 것으로 나타났다.

김승주 성균관대학교 산학협력단 교수는 “본인 확인 정보의 노출은 전송 자료를 붙잡아서 다른 사람의 자료로 변경, 전송이 가능해 타인의 정보를 이용할 수 있다”면서 “이는 타인의 개인정보를 조작·악용할 가능성이 있다”고 우려했다. 이정현 의원은 “아이핀이 주민번호를 대체하는 수단으로 사용되기 위해서는 아이핀 자체가 갖고 있는 문제점과 아이핀을 사용하는 웹사이트 점검 및 시정을 통해 안전하게 사용할 수 있게 정부가 노력해야 할 것”이라고 주장했다.

<권순철 기자 ikee@kyunghyang.com>