오늘날 트로이의 목마는 스마트폰의 모습을 하고 있다.  
 
그리스군이 만든 목마가 트로이 성을 함락할 30인의 용사를 숨겨두었던 것처럼, 미국과 호주의 수사기관이 만든 스마트폰은 국제 마약 조직을 소탕할 모바일 메시지 앱을 품고 있었다. 무슨 일이 일어난 것일까?
 
범죄자들은 보안에 민감할 수밖에 없다. 특히 마약이나 무기를 대규모로 밀매하는 조직범죄의 구성원들은 더욱 그렇다. 민감한 문제를 다루는 정치인이나 언론인이 텔레그램이나 시그널 같이 보안이 강한 암호화 메신저를 사용하는 것은 흔한 일이다. 한발 더 나아가 아예 정보보안에만 특화된 전용 단말기를 쓰기도 한다. 통화도 안 되고, GPS 기능이 없어 위치 추적도 안 된다. 암호화된 메시지를 미리 설치된 전용 메신저로만 주고받을 수 있다.
 
이 틈새 시장을 겨냥해 몇몇 제품들이 나왔다. 최근 잘 나가는 거물 범죄자들 사이에서는 ‘아놈’(an0m이라고 표기한다)이라는 제품이 가장 인기였다. 문제는 이 폰을 만들고 유통시켜 비밀 메시지 서비스를 제공하는 것이 바로 수사기관이었다는 것이다. 이 휴대폰의 보안은 강력했다. 다만 주고받는 메시지가 모두 아무도 모르게 ‘숨은 참조’로 경찰에 보내졌을 뿐이다.
 
미국과 호주에서 2018년 시작된 이 작전은 올해 상반기 수사기관이 그간 수집한 정보를 바탕으로 대대적 검거 작전을 벌이면서 마무리된다. 800명의 범죄자가 체포되고, 4500만달러 상당의 마약과 총기 250정, 32톤의 불법 약물이 압수되었다.
 
이 믿기 힘든 사건의 시작은 2015년으로 거슬러 올라간다. 미국 샌디에이고 지역 FBI 요원이 마약 밀매 조직에 조직원으로 잠입해 활동하다 두목이 특수한 폰을 사용함을 알게 되었다. 팬텀시큐어라는 캐나다 회사가 블랙베리 휴대폰을 개조해 만든 제품이다. 카메라와 마이크, 위치 추적 소프트웨어 등 스마트폰의 기본 기능은 다 빠졌고, 단말기의 데이터를 원격으로 제거하는 기능이 추가되었다. 모든 메시지는 암호화되었고, 같은 단말기를 가진 사람들끼리만 메시지를 주고받을 수 있었다.
 
6개월 사용료가 2000달러나 되었고, 판매는 지인 네트워크를 통해 알음알음 이뤄졌다. 사업가나 연예인 등 사생활에 극도로 신경 쓰는 사람들을 겨냥한 제품이었지만, 당연하게도 고객의 절대 다수는 범죄자들이었다.
 
문제의 마약 조직의 주요 시장은 호주였다. 두목은 거래처와 이 폰으로만 소통했기 때문에, 이 폰은 곧 호주 암흑가에 널리 퍼졌다. FBI는 호주 경찰과 협력해 팬텀시큐어 단말기를 쓰는 범죄자들의 네트워크에 잠입하려 했다. 팬텀시큐어 사장을 체포해 경찰이 접근할 수 있는 백도어를 설치해 달라는 사법거래를 했다. 그러나 보복이 두려워서인지 사장은 제안을 거절했고, 범죄조직 지원 혐의로 9년형을 선고받았다. 팬텀시큐어 서비스는 중단되었다.
 
FBI와 호주 경찰은 팬텀시큐어가 사라진 시장의 공백을 직접 메우기로 했다. 협력을 약속한 팬텀시큐어 유통업자를 통해 새로운 보안 메시징 단말기 아놈을 만들었다. 겉보기에는 평범한 구글 ‘픽셀’ 스마트폰인데, 안드로이드가 아니라 아케인OS라는 특수한 운용체계를 썼다. 비밀번호를 입력해 잠금화면을 풀면 홈 화면이 나온다. 하지만 아무 앱도 작동하지 않는다. 폰을 리셋하고 다른 비밀번호를 넣으면 나오는 다른 화면에서 계산기 앱을 실행하면 아놈 로그인 화면이 나오고, 로그인 후 메시징 서비스를 쓸 수 있다. 모든 메시지를 경찰의 서버에 비밀리에 전송되도록 설정되었다.
 
2018년 50대의 아놈 단말기가 베타 테스트 성격으로 호주에 풀린다. FBI와 호주 경찰은 마치 진짜 보안 폰 스타트업인 것처럼 시장(?)에 접근했다. 클럽하우스가 유명 인플루언서를 중심으로 제한된 숫자의 초대장만 뿌리며 화제를 일으킨 것처럼, 아놈은 호주의 대표적 범죄단체 두목 2명을 타깃으로 공략했다. 범죄 세계 ‘핵인싸’인 이들이 쓰기 시작하자 아놈은 빠르게 확산되기 시작했다. 호주를 넘어 스페인, 네덜란드, 터키, 멕시코 등 90개 국가에서 1만2000개의 아놈 단말기가 쓰였다. 첨단 IT 기기에 대한 성공적인 범죄자 인플루언서 마케팅이 이뤄진 셈이다.
 
아놈을 너무나 신뢰한 나머지 범죄자들은 특별한 암호도 쓰지 않은 채 거래하는 마약 종류냐 양, 접선 시간이나 물건 운송 방법 등 범죄 관련 내용을 메신저에 풀어 놓았다. 이들 정보는 고스란히 경찰에 넘어갔다.
 
프라이버시는 스마트 기기와 인터넷을 사용하는 모든 사람에게 민감한 문제다. 그래서 테크 기업들은 프라이버시 보호를 주요 마케팅 포인트로 삼는다. 2015년 미국 샌버나디노 테러 사건이 일어났을 때, 사망한 범인의 아이폰을 열기 위한 백도어를 만들어 달라는 FBI의 요청을 애플이 거절해 논란이 된 일이 대표적이다. 왓츠앱도 종단간 암호화를 실시했고, 카카오톡도 서버에 메시지가 저장되는 기간을 축소해 정부 압수수색으로 메시지가 노출될 가능성을 낮췄다. 범죄자를 잡으려는 수사기관과 사용자 프라이버시를 앞세우는 기업의 입장은 평행선을 그린다.
 
아놈 프로젝트는 이러한 논란을 피해 발상을 전환, 정부가 통제 가능한 폰을 직접 만들어버린 경우다. 논란이 없을 수는 없다. 민감한 정치사회적 활동을 하는 활동가나 언론인이 상황을 알지 못한 채 보안을 위해 이 폰을 쓸 경우, 정부가 민간인을 사찰하는 결과를 낳을 수도 있다. 아놈은 사용자들의 네트워크를 통해서만 가입할 수 있고, 그래서 기존 사용자와 연계된 범죄자 외 다른 사람이 쓸 확률은 거의 없기 때문에 이런 문제를 피해갈 수 있었다.
 
하지만 정부 기관의 범죄 수사를 돕기 위한 스마트폰 스파이웨어를 만드는 이스라엘 NSO그룹의 제품이 여러 국가에서 언론인 사찰에 쓰인 사실이 드러났다. 논란이 된 최근의 ‘페가수스’ 스캔들처럼 이 같은 감시 기술은 언제든 시민의 사생활 침해에 악용될 우려가 있다.
 
한편, 범죄자들에게 디지털 기술을 안심하고 범죄에 사용할 수 없다는 불신감을 심어준 것도 성과다. 이제 범죄조직은 더 불편하고 시간이 오래 걸리더라도 아날로그 방식의 비중을 높일 수밖에 없다. 그만큼 손발을 묶는 효과가 난다. 하지만 수사 기법의 발전에 맞춰 범죄자들 역시 진화할 것이다. 그리고 일단 아놈 방식은 두 번 다시 쓸 수 없는 패가 되어 버렸다. 
 
※ 필자는 전자신문 기자와 동아사이언스 데일리뉴스팀장을 지냈다. 기술과 사람이 서로 영향을 미치며 변해가는 모습을 항상 흥미진진하게 지켜보고 있다. [어린이를 위한 디지털과학 용어 사전]을 지었고, [네트워크전쟁]을 옮겼다.
  

한세희 IT 칼럼니스트

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지