日정부, GMO해킹범 사이트 접속차단요청

FX거래용 서버해킹 후 고객정보 공개…확산방지 나서
이용자 접속처 확인 불가피…'통신의 비밀' 침해 우려

일본 도쿄 시부야에 있는 GMO인터넷그룹의 주요 사무실이 입주한 '시부야 후쿠라스' 건물 전경./江戶村のとくぞう·위키미디어 커먼스

일본 정부가 GMO인터넷의 외환증거금(FX) 거래용 클라우드 서비스 해킹과 관련해 공격자 사이트 접속을 차단하라고 통신업계에 요청했다. 유출된 개인정보 확산과 추가 피해를 막으려는 조치다. 하지만 이용자의 접속 목적지를 확인해야 하기 때문에 일본 헌법이 보장하는 '통신의 비밀'과 충돌할 수 있다는 문제점이 나왔다.

요미우리신문은 29일 총무성이 전기통신사업자협회와 일본인터넷프로바이더협회 등 통신업계 4개 단체에 27일자로 문서를 발송해 공격자 사이트를 '블로킹'하라고 요청했다고 보도했다. 전기통신사업자협회에는 NTT와 KDDI 등 주요 통신사가 회원으로 가입돼 있다.

일본 총무성은 요청문에서 유출 정보를 악용한 2차 피해가 커질 현실적인 우려가 있다며, 사건의 사회적 영향을 고려해 해당 정보가 게시된 사이트를 막아 달라고 요구했다. 니혼TV도 총무성이 27일 밤 해당 사이트의 도메인을 차단하라고 요청했고, 업계 단체들이 이를 회원사에 전달했다고 보도했다.

요청을 받은 통신사들이 실제로 차단했는지는 확인되지 않고 있다. 요미우리에 따르면 한 대형 통신사 간부는 시행했는지 공개할 수 없다면서도 차단 여부를 판단하기 어렵다고 밝혔다.

◇개인정보 확산 막으려면 접속처 확인…기본권 보호와 맞물려
블로킹은 통신사가 이용자의 접속 목적지를 확인하고 특정 사이트로 연결되지 못하도록 막는 방식이다. 공격자의 게시물을 지우는 조치와 달리, 통신망을 통해 해당 사이트로 가는 길을 막는다. 문제는 이 과정에서 일반 이용자의 통신 정보까지 확인하게 된다는 점이다.

일본 헌법 21조 2항은 통신의 비밀을 보장하고 있다. 전기통신사업법도 이를 보호한다. 일본 정부는 과거 국회에서 아동 성착취물 피해를 다른 방법으로 막을 수 없다면, 예외적으로 사이트 접속을 막을 수 있다고 설명했다. 통신의 비밀을 침해하더라도 더 심각한 피해를 막으려면 위법으로 보지 않을 수도 있다는 뜻이다. 이런 경우에 적용하는 형법 규정이 '긴급피난'이다. 긴급피난으로 인정되려면 위험이 현재 존재하고, 다른 수단으로 피하기 어렵고, 차단 때문에 생기는 권리침해가 막으려는 피해보다 크지 않아야 한다.

GMO 부스 이미지/GMO그룹 홈페이지 캡쳐

공격자 사이트는 별도의 도메인 정지 조치로 접속이 중단됐다. GMO는 28일 관계 사업자들과 협력한 결과 같은 날 오전 4시쯤 공격자 사이트와 이를 복제한 사이트의 도메인이 멈춘 사실을 확인했다고 밝혔다. 요미우리는 GMO 요청을 받은 미국의 도메인 관리 사업자가 정지 조치를 했다고 보도했다. 따라서 사이트가 차단된 것을 일본 통신사의 블로킹 효과로 볼 수는 없다.

GMO는 공격자가 새 사이트를 열면 확인하는 즉시 다시 정지 절차를 밟겠다고 밝혔다. 이용자들에게는 공격자 사이트에 접속하거나 게시된 개인정보를 재전송하거나 퍼뜨리지 말아 달라고 요청했다.

이번 사건은 GMO인터넷이 제공하는 '오나마에닷컴 데스크톱 클라우드'에서 생겼다. 이용자가 외부 서버에서 FX 자동매매 프로그램을 진행하는 서비스다. GMO는 시스템에 보안상 문제가 있었고, 무단 접근과 고객정보의 외부 반출이 확인됐다고 인정했다. 공격자는 27일 고객 1명분의 개인정보 추정 자료를 공개했다.

가타야마 사쓰키 재무상 겸 금융담당상은 27일 기자회견에서 GMO 사건과 연관된 것으로 보이는 고객 피해가 FX업체 5곳에서 보고됐다고 밝혔다. 해당 업체들은 대상 고객의 거래 일시 정지, 해외의 의심스러운 주문 차단, 비밀번호 초기화 같은 조치를 취했다. 가타야마 재무상은 당시 추가 부정거래 발생 보고는 받지 않았다고 말했다.

GMO인터넷그룹의 구마가이 마사토시 회장 겸 사장은 29일 엑스(X)를 통해 범인 특정으로 이어질 유력한 정보를 확보했다고 말했다. 그는 이어 조기 체포와 국제수배로 이어지도록 경찰 등 관계기관에 제출하겠다고 밝혔다.

GMO는 이번 무단 접근에 따른 부정거래로 확인된 확정 손실과 수수료 등을 보상할 계획이다. 다만 시장 변동에 따른 손실이나 얻을 수 있었던 예상 이익 등은 보상 대상에서 빼기로 했다. 구체적인 신청 방법과 필요 서류, 지급 시기 등은 11월 6일까지 안내할 계획이다.