내 차 정보가 샌다

1. 취재착수 및 보도제작경위 ① 단독취재(ㅇ), ② 단독기획(ㅇ), ③ 보도자료 심층기획( ), ④ 제보( ), ⑤ 기타( ) 중 선택 후 내용을 구체적으로 기술해 주십시오. (1) 취재 착수: “작년에 국토부 서버에 해커가 접근해 개인차량정보 6백만 건을 훔쳐 팔아먹었나봐. 충북지방청에서 범인 특정해서 수사 중인 거 같아“ 누가 당사자인 지도 모르고, 그저 “돌아 돌아 들었다”며 회사 선배가 보낸 이 짤막한 톡 메시지가 5개월 추적 취재로 이어졌습니다. 우선 진위 여부부터 확인해야 했습니다. 그러나 경찰의 피의 사실 공표 우려로 범죄 사실 자체를 확인하는 것부터가 가능치 않았습니다. 여러 차례 통화 끝에 “해킹은 아니다” “조회 권한이 없는데 조회를 해 문제가 된 것이다” “국토교통부 관련 수사하고 있는 건이 있긴 하다” 딱 이 정도까지만 확인할 수 있었습니다. 국토교통부에도 여러 차례 질의했지만, 수사 중인 사안이라 말할 수 없다며 함구하기만 했습니다. 뭔가 있는데, 실체를 알 수 없는 안개 속 상황, 범죄 사실을 알만 한 당사자를 수소문해야했습니다. 우선 인터넷 검색과 자동차정비소 등을 통해 국토교통부의 VMIS, 즉 자동차관리정보시스템이라는 것이 있고, 투명한 차량 이력 관리를 위해 전문정비조합, 검사정비조합 등 유관 업계에만 제한적으로 접속이 허용돼 있다는 실정을 파악할 수 있었습니다. 생소한 분야의 시스템을 파악해야 했고, 무엇보다 범죄 내용을 잘 알 만한 업계 사람을 찾는 일이 그야말로 ‘서울에서 김 서방 찾기’였습니다. 전문정비조합, 검사정비조합, 매매사업조합이라 해도 각 조합이 한둘이 아니었고, 또 중앙본부가 있고, 지역본부들이 따로 있으니 어디서부터 수소문해야할지 막막했습니다. 그러나 시도도 안 해보고 접을 순 없었습니다. 유관 업계 조합들에 수십 차례 연락하고 허탕 치기를 반복했습니다. 그러던 중 정비업계 한 조합의 충북본부를 통해 대전조합에서 이 문제에 대해 잘 알고 있다는 얘기를 듣게 됩니다. 한줄기 빛이었습니다. 수소문 끝에 사건 내용을 잘 알고 있는 당사자를 찾을 수 있었고, 이때부터 본격적으로 5개월간의 취재 여정이 시작됐습니다. (2) 보도 제작 경위: ① 방대한 데이터 확보로 정부 시스템 차량정보 수백만 건 유출 사실 확인.. 매크로 범죄? 국토교통부가 차량관리정보시스템에서 대량의 비정상조회를 처음 인지한 것은 지난 2018년 3월이었습니다. 그 이후에도 비정상 조회가 이어지자 국토부와 교통안전공단은 그해 5월부터 10월까지 6개월 간 이뤄진 의심 조회 기록을 추출해 민간 정비조합들에 의심되는 정비소들을 통해 확인해보라며 해당 기록을 제공했습니다. MBC충북은 이 데이터 뭉치를 단독으로 입수해 분석했습니다. 일일이 살펴보니, 일부 정비소에서 밤낮없이 1초에 수십 건, 1분에 수백 건 씩 정부 시스템에서 차대번호를 조회하는 등 당시 비정상적으로 접근한 것으로 의심되는 조회만 6개월 사이 무려 4백 건이 넘었습니다. 이는 올해 같은 기간 해당 정부시스템에서 전국의 정비소들이 조회한 전체 조회 건수와 맞먹는 양이었습니다. 이러한 비정상 조회가 이뤄진 기간은 몇 개월 더 있기 때문에 실제 유출된 양은 더 많을 것으로 추정됩니다. 매크로, 즉 자동 실행 프로그램을 쓴 범죄로도 의심되는 상황이었습니다. 그런데 미스터리는 국토부와 민간조합의 확인 결과, 의심을 받았던 대부분 정비소들이 실제로 그러한 비정상 접속을 한 게 아니란 것입니다. 즉, 데이터에는 해당 정비소들이 밤낮없이 날마다 몇 백 건의 차량번호와 차대번호를 조회한 것으로 나오지만, 실제 정비소들에서 그날 다녀간 차량들 정보를 확인하니 조회 시간은 물론 조회한 차량 정보도 일치하지 않는 일이 대다수였던 겁니다. 대체 누가 어디서 어떻게, 왜 이러한 불법 조회를 했을까? ② 국토부의 허술한 정보 관리 탓에 누가, 어디서, 왜 정부 시스템 정보를 유출했는지 찾을 수가 없다? 국토부 교통관리정보시스템에 접속한 정비소들의 정비업등록번호(ID)와 조회 차량번호 기록이 남아있는데, 왜 불법 유출 경로와 범인을 찾을 수 없을까? 도무지 이해가 안 돼 경찰과 국토부에 거듭 질의했습니다. 그런데, 취재 결과 알게 된 이유는 더욱 납득이 안 갈 정도로 황당했습니다. 국토교통부가 가장 기본적 정보인 인터넷 주소인 IP는 물론 개별 컴퓨터 고유번호 모두 기록을 남기지 않았기 때문이었습니다. 차량 소유자의 신상, 주소, 채무 관계, 차대번호 등 국민의 막대한 개인정보가 담긴 자동차관리정보시스템을 관리하는 국토부와 교통안전공단은 개인정보보호법 등에 따라 당연히 IP 등의 접속기록을 보관·관리하고 접속 권한을 IP로 제한해야 했습니다. 그러나 수년 간 이러한 기본적 준수사항조차 지키지 않은 것입니다. 국민 개인정보를 이렇게 허술하게 관리해왔으면서도 정부 시스템의 수백만 건 정보유출 사건을 ‘쉬쉬’하며 넘어가기에만 급급한 국토교통부, 꼭 보도해야할 심각한 사안이라고 판단했습니다. 차량관리정보시스템(VMIS)에는 차량 소유자의 신상, 주소, 담보 현황, 차대번호 등 등록된 차량의 모든 정보가 담겨 있습니다. 차대번호만으로는 특정 개인을 특정할 수 없지만, 이 건과 같이 차량번호와 차대번호, 최초등록일 등 다른 정보와 함께 유출되거나 다른 정보와 결합해 쉽게 개인을 특정할 수 있을 경우 개인정보로 간주됩니다. 그런데도 국토부가 시스템을 이렇게 허술하게 관리해왔다는 사실에 충격을 받았고, 또 사안이 이렇게 심각한데도, 유출 사실조차 여태 알려지지 않았다는 점에 또 한 번 놀랐습니다. ③ 전산업체와 부품업체 13곳 연루된 4천2백여 건 불법 조회... 빙산의 일각 충북지방경찰청은 지난 2018년 정부 자동차관리정보시스템과 민간 조합들의 연계서버 등 어디에도 IP주소와 컴퓨터고유번호 기록이 남아 있지 않아 내사를 종결할 수밖에 없었습니다. 그러다 올해 추가적인 탐문수사를 벌이면서 한 전산업체와 부품업체 13곳 등이 공모해 국토부 시스템을 통해 차량정보 4천2백여 건을 불법 조회한 사실이 드러났지만, 이는 빙산의 일각에 불과했습니다. 정부 시스템이나 조합, 전산업체 등의 마땅한 전산 기록이 없다 보니 경찰은 수백만 건 정보 유출 경위와 원인은 여전히 밝혀낼 수 없었습니다. 국토교통부의 허술한 관리 탓에 결국 누가 수백만 건 차량정보를 불법 유출한 거고, 그 정보는 어디서 어떤 목적으로 쓰였는지 그 실체는 아직도 밝혀지지 않은 겁니다. ④ 국토부, 교통안전공단, 민간 정비조합, 전산업체 모두 떠넘기기식 책임 미루기에만 급급 국토교통부와 교통관리정보시스템(VMIS) 위탁 운영 기관인 교통안전공단은 민간 정비 조합이 교통관리정보시스템에 접속할 수 있도록 연계서버 운영 권한을 내줬다며, 민간 조합들에 관리 책임이 있다고 주장합니다. 그러나 민간 조합은 최근까지 몇 년 간 국토부로부터 IP주소와 컴퓨터 고유번호 정보 관리 등에 관한 어떤 지침도 받은 적이 없었고, 전산 시스템에 대한 전문지식 또한 없는 상황이었습니다. 민간 정비조합들은 기존에 재고 관리 전산 프로그램을 운영하던 업체에 국토부 서버와 연계해 정보를 주고받을 수 있는 기능을 추가해달라고 의뢰한 뒤 몇 년 째 전산업체에 연계서버 운영 권한을 넘겨준 터였습니다. 국토부와 교통안전공단은 민간조합에 관리 책임을 모두 떠넘겼고, 민간 정비조합과 전산업체는 차량 정보 수백만 건 유출과 관련해 서로를 의심하면서 고소·고발전이 난무하는 상황입니다. 그러나 국토부와 교통안전공단은 그저 뒷짐만 지고, 사건을 ‘쉬쉬’하며 정식 수사 의뢰조차 하지 않았습니다. 차량번호와 차대번호, 최초등록일 등 차량정보가 유출된 수많은 개인들에게도 유출 사실을 알리지 않고 조용히 사건 덮기에만 급급했습니다. ⑤ 국토부, 결국 미흡하나마 공개적인 개선안 내놓다 5개월 간 이어진 MBC충북의 취재와 보도 끝에 국토부는 공식적으로 개선안을 내놓았습니다. 민간 정비조합에서 개별 정비소들의 IP주소와 컴퓨터 고유번호를 수집하도록 의무화했습니다. 또, 연계 시스템의 IP 기록 관리에 어려움이 있었다는 점도 인정했습니다. 그러나 여전히 민간 조합에 관리 감독을 맡기는 식이었고, 연계서버 운영 권한에 대한 민간 조합과 전산업체 간 갈등에도 뚜렷한 답을 내놓지 않았습니다. 앞서 지난 2011년, 2014년에도 자동차관리정보시스템의 연계 서버 방식의 보안 취약성이 드러난 바 있습니다. 또, 2018년 충북지방경찰청이 차량정보 유출 첩보를 입수해 내사에 착수했다 IP기록 부재로 수사를 접었을 때도 국토부에 보안 강화를 요청했습니다. 그러나, 국토부는 이를 무시한 채, 그저 민간조합의 조회 대상과 횟수를 축소하는 선에서 급히 사건을 마무리 지었습니다. 이랬던 국토교통부, 아무리 입을 닫아도 MBC충북이 5개월 간 전화, 서면 질의, 정보공개청구, 유관 기관 취재 등 가능한 모든 방법을 동원해 취재하고 보도하자 마침내 미흡하나마 공개적으로 시스템 개선안을 내놓은 것입니다. 그러나 이는 첫 단추에 불과할 뿐입니다. 국토부의 근본적이고 구체적이며 체계적인 관리가 이뤄질 수 있도록 지속적으로 관심을 갖고 지켜보겠습니다. 2. 취재 및 보도과정의 특이사항 여부 5개월 걸친 추적보도, 공부하고 검증하고 또 확인하고... 수소문 끝에 사건과 업계 당사자들을 찾아냈고, 수백만 건 정보 유출에 대한 방대한 데이터와 국토부 공문 등을 단독으로 입수해 분석했습니다. 또 이를 검증하기 위해 전국에 분포해있는 사건과 업계 관계자들을 직접 만나 취재했습니다. 데일리 취재 일정 소화로 쉽지 않은 여건에서 틈틈이 시간을 쪼개 대전, 경기, 서울을 수차례 찾아가 정비소, 민간 조합, 전산업체, 전문가 등 여러 관계자를 여러 차례 만나 취재했고, 이러한 대면 취재는 전화, 서면 등으로도 수시로 이어졌습니다. 특히, 비정상 조회 의심을 받은 업소의 경우는 검증 강화 차원에서 일부러 불시에 추가 방문해 국토부가 추출한 차량정보 조회 데이터와 해당 업소의 정비 일지를 직접 무작위로 비교 대조해가며 업소 진술의 신빙성을 확인했습니다. 또, 한 전산업체와 공모해 차량정보를 불법 조회한 것으로 드러난 일부 부품업체에 대해서도 직접 연락해 사실 관계를 확인했습니다. 생소한 분야인 만큼 사건 당사자들은 물론, 다양한 업계 관계자와 전문가들을 취재해 시스템 전반에 대해 깊이 있게 공부했고, 각계 입장을 편견 없이 여러 차례 듣고 또 들으면서 사안을 객관적 입장에서 다뤘습니다. 또, 국토부와 충북지방경찰청에 사실 관계를 재차 확인하면서 취재의 정확성과 전문성, 완성도를 높였습니다. 3. 타 매체 선행보도 여부 및 타 매체의 반향 국토교통부 시스템에서 개인 차량정보 수백만 건이 유출된 해당 사건은 MBC충북의 단독 연속보도로 세상에 처음 알려지게 됐습니다. 서울MBC도 이 사건과 국토부의 허술한 관리 감독에 심각한 문제가 있다고 판단해 MBC충북 리포트를 두 차례에 걸쳐 전국 뉴스에 편성했습니다. (MBC충북 뉴스와는 다른 버전입니다. 원고와 영상에 반영했습니다.) 보도가 나간 직후, 타 매체에서는 어떻게 이러한 사실을 알았는지, 어떤 내용인지 질의가 쏟아졌습니다. 또, 국토부는 해당 보도에 즉각 설명 자료를 내 미진한 부분을 일부 인정했고, 개선안을 내놓았습니다. 수많은 당사자들을 단시간에 직접 취재하는 것이 어려운 주제다 보니, 일부 매체에서는 MBC뉴스와 국토부의 공식 입장을 요약하는 수준에서 기사를 내기도 했습니다. 4. 사회에 끼친 영향 정보 유출 사실을 ‘쉬쉬’하고 아무 것도 말해줄 수 없다며 함구하던 국토교통부가 MBC충북의 취재와 문제 제기가 5개월 간 끈질기게 이어지고, 보도까지 나오자 IP관리의 소홀함을 인정하며, 공개적으로 개선안을 내놓았습니다. 개선안이 아직 완전하지는 않지만, 국토부가 차량관리정보시스템 연계서버의 IP주소와 MAC(컴퓨터 고유번호) 수집을 의무화하도록 명시하면서 보안 시스템 체계를 개선하려는 시도 자체가 처음 있는 일이었습니다. 또, MBC충북이 5개월 간 지속적으로 사건을 추적 취재하는 동안 2018년 내사를 종결했다 올해 추가 수사를 벌인 충북지방경찰청도 수사에 탄력을 받고 확대하면서 빙산의 일각이나마 한 전산업체와 부품업체 13곳 등이 연루된 4천 2백여 건의 불법 조회가 드러났습니다. 또한, 국토부의 교통관리정보시스템, 차량 정보, 차대번호 등 용어나 개념은 다소 생소하지만 알고 보면 시민의 삶과 아주 밀접한 중요 사안을 깊이 있게 다룸으로써, 알 권리를 충족하고 개인정보에 대한 자기결정권 인식을 높였다는 점에서도 의미가 있습니다. 5. 자체평가 및 소속사확인여부 제보자를 기반으로 한 통상의 취재와는 전혀 다른 방식이었습니다. 꼬리부터 시작해 몸통을 찾아가는 긴 여정이었습니다. MBC충북의 5개월에 걸친 끈질긴 추적 취재가 없었다면 이러한 일이 있었다는 것조차 드러나지 않았을 일입니다. 또, 국토부의 시스템 개선안을 이끌어내는 일도 불가능했을 것입니다. 취재를 시작할 때만 해도 국토부는 사건을 축소하고 숨기기에만 바빴고, 심지어 민간 조합의 조회 횟수를 축소했으니 할 일은 다 했다는 식이었기 때문입니다. 충북지방경찰청에서 수사를 했기 때문에 취재는 지역에서 시작했지만, 사안은 전국적인 일이었습니다. 국토교통부와 경찰 입에 의존하지 않고 전국에 분포돼 있는 사건과 업계 관계자들을 직접 만나 의혹들을 확인하고 검증했습니다. 방대한 양의 데이터 분석도 뒷받침됐습니다. 정부 기관을 출입하는 기자가 아닌, 지역 기자로서 국토교통부 시스템 정보 유출 건을 끈질기게 단독·심층 취재했다는 점에 대해서도 소속사와 서울MBC가 주목했습니다. 취재와 보도 과정에서 언론윤리강령 기준을 준수했습니다. (언론윤리강령기준의 준수여부까지 포함시켜 자체평가해주시기 바랍니다) 6. 기타 고려사항 없음