열화상 카메라 발열측정기, 출입자 얼굴 영상 몰래 수집해 국외 유출

1. 취재착수 및 보도제작 경위 ① 단독취재( 0 ) 두 달 전쯤 어느 날, 취재원으로부터 “코로나19 방역을 위해 운영 중인 열화상 카메라 발열측정기는 발열이 있는지를 측정해 알려주는 것인데 데이터 저장 기능과 통신 기능이 왜 필요하지?”라고 의문을 제기하는 얘기를 들었습니다. 취재원한테 “발열측정기에 데이터 저장 기능과 통신 기능이 들어있는지 확인했느냐?”고 물었고, “들어있는 걸 확인했다”는 답을 들었습니다. 평소 취재 과정에서 기술적인 자문을 받던 IT업체 대표(공익 차원에서 도와줄 뿐 엮이기 싫다며 기사를 쓰려면 익명으로 해 달라고 해서 기사에는 업체와 대표 모두 익명 처리)와 시판 중인 열화상 카메라 발열측정기 문제를 꾸준히 지적해온 시민단체 환경감시국민운동본부에 도움을 요청했고, 함께 시중에서 많이 팔리고 있는 제품을 구해 어떤 부품과 소프트웨어가 설치돼 있는지를 분석하고, 실제 설치해 운영할 때 어떤 현상이 벌어지는지를 한달 반 가까이 모니터링했습니다. 분석 작업은 이 IT업체 산하 기술연구소 연구원들의 도움을 받아 진행했습니다. 분석 결과 열화상 카메라 발열측정기 메인보드(주기판)에 데이터 저장 기능을 하는 부품과 통신용 칩이 장착돼 있고, 운영체제(OS)로 구글 안드로이드 7.1이 깔려있는 걸 확인했습니다. 참고로 구글 안드로이드 7.1은 보안이 취약하다는 평가를 받은 버전입니다. 구글은 이런 평가에 따라 서둘러 새 버전으로 업그레이드했습니다. 또한 이 장비를 설치해 작동시키자 자동으로 무선랜(와이파이)를 찾아 연결시키려고 시도하고, 연결된 뒤에는 하루 400MB 분량(추정치)의 데이터를 송출하는 것을 확인했습니다. 눈길을 끌었던 점은, 데이터가 강력하게 암호화된 상태로 송출되고, 송출 지점이 중국 소재 IP 서버라는 점이었습니다. (온라인 출고 기사에는 이런 모습을 보여주는 화면 갈무리 사진들 첨부) 분석을 맡은 기술연구소 이사는 “일반 기술로는 풀기 쉽지 않은 암호이다. 민간에서 쓰는 게 아닌 것 같다. 그래서 분석은 하지만, 해당 IP 서버를 추적하는 것은 겁난다”고 말했습니다. 또 한가지 문제는, 보안이 취약한 안드로이드 7.1 운영체제를 쓰다 보니 해킹에 취약하다는 것이었습니다. 실제로 분석을 맡은 기술연구소 연구원이 무선랜을 통해 열화상 카메라 발열측정기에 원격 조종 프로그램을 깔아 자신의 스마트폰으로 발열측정기를 원격 조종해 CCTV처럼 활용하는 모습을 시연하기도 했습니다.(온라인 기사에 동영상 첨부) 여기에 잡음 제거 프로그램을 더하자 발열측정기 근처 대화까지 들렸습니다. 기술연구소 연구원은 “잡음 제거 프로그램을 활용하면 반경 30미터 안에서 하는 얘기는 다 들을 수 있다”고 했습니다. 열화상 카메라 발열측정기에 마이크 기능이 있어 음성 정보가 수집된다는 사실도 처음 확인됐습니다. 한 달 반 가량의 분석과 트래픽 추적 끝에 시민 개인정보 보호 및 보안 등에 문제가 있다고 판단해 기사화하기로 했습니다. 먼저 기업, 정부기관, 다중이용시설 등이 코로나19 방역을 위해 시중에서 구입해 건물, 사무실, 매장 입구에 설치해 운영 중인 열화상 카메라 발열측정기에 측정 대상자의 얼굴과 음성 정보룰 수집해 국외 IP 서버로 빼돌리고, 원격 조종 프로그램을 통해 발열측정기를 CCTV처럼 악용할 수 있는 기능이 들어있는 게 확인됐다고 단독 보도(5월13일치 1면 `열화상 체온 측정기에 찍힌 내 얼굴 음성 새나가나‘)했습니다. 기사에는 IT업체 기술연구소에 분석 요청해, 중국 소재 IP 주소의 서버로 하루 400MB 분량의 데이터가 빠져나가고 있다는 것도 담았습니다. 이어 한겨레 단독 보도 뒤 개인정보보호위원회가 긴급 실태점검에 나섰고(5월14일치 2면 `체온측정기 `개인정보 전송’ 위험, 개보위는 알고 있었다?-뒤늦게 긴급 실태점검 나서), 삼성 LG SK 계열사들과 통신 3사 등 기업들이 출입자 개인정보 보호 및 기업 보안 차원에서 사옥 입구에 설치 운영 중인 열화상 카메라 발열측정기에 대한 긴급점검에 앞다퉈 나서는 모습(5월17일치 19면 `체온특정기 `정보 유출‘ 비상, 기업 정부 긴급 보안 점검’, 5월26일치 18면 `“발열측정기, 직원들 불안해해서” 네이버, 운영상황 상세하게 공지‘) 등을 후속으로 단독 보도했습니다. 국가정보원이 국가 안보와 기업비밀 보호 차원에서 개인정보보호위원회와 과학기술정보통신부 등과 공동 대응에 나선 사실도 단독 보도(5월20일치 1면 `발열측정기 `개인정보 유출‘ 파문에 국정원 개정보위 과기정통부 공동대응-“보안처럼 파악, 대응책 협의”’했습니다. 국정원이 개인정보위과 과기정통부와 모임을 가지며 실태점검 결과를 공유하고 대응책을 협의한 사실도 확인해 기사에 담았습니다. 2. 취재과정의 특이사항 여부 취재 및 기사화를 결정하는 과정에서 한가지 고민이 있었습니다. 사람들이 기사를 보고 얼굴 영상 유출에 불안을 느껴 발열 측정을 회피하면 어쩌나 하는 점이었습니다. 기기 및 프로그램 분석과 트래픽 추적을 도와준 IT업체 대표가 익명을 요구했던 것도 “공익 차원에서 기술적인 부분을 도와주지만 논란에 얽히기 싫다”는 이유에서였습니다. 취재 과정에서 만난 열화상 카메라 발열측정기 공급업체 관계자와 대기업 계열 물리 보안업체 관계자들도 이를 앞세웠습니다. 따로 관련 취재를 진행하는 과정에서 `개인정보보호위원회가 열화상 카메라 발열측정기의 개인정보 유출 문제를 정말 몰랐을까?‘, `체온계 업무를 담당하는 식품의약품안전처는 왜 입을 다물고 있는 것인가?’란 의문이 들었고, 기사화하기도 했습니다. 기사에는 개인정보보호위원회 관계자의 “우리가 먼저 나서기에는 사이즈가 너무 크다”는 멘트도 담았습니다. 코로나19 방역 방해 행위로 간주될까봐 섣불리 나서기 어려웠다며, 언론(한겨레)이 길을 터줬으니 바로 긴급 실태점검에 나서겠다고 했습니다. 국가정보원이 “국가 보안 및 기업 비밀보호 차원에서 접근하고 있다”고 설명하면서도 “정부기관 건물 입구에 설치된 발열측정기는 문제없다”고 하는 등 이중적인 태도를 보인 것도 주목되는 대목입니다. 정부기관 보안 책임은 피하면서 일은 벌리겠다는 심산으로 보였습니다. 한겨레 단독 보도 첫날 오전 삼성 관계자가 가장 먼저 통화를 요청해왔습니다. 사옥에 설치 운영 중인 열화상 카메라 발열측정기의 보안 문제를 긴급 점검하기로 했다며, 분석에 사용된 기종과 공급업체를 밝혀달라는 것이었습니다. 분석 내용대로라면, 기업 쪽에서는 누가 사옥에 출입했는지가 다 드러나는 꼴이기 때문입니다. 이후 LG와 SK는 물론 통신사들도 긴급점검에 나서겠다고 밝혔지만, 점검결과를 공개한 쪽은 네이버 밖에 없었습니다. 측정 대상자의 얼굴과 음성 정보가 수집돼 유출된 것으로 알려지는 경우, 개인정보보호법상 발열측정기 설치 운영자가 사옥 출입자의 개인정보를 유출한 법적 책임을 져야 하기 때문입니다. 3. 타 매체 선행보도 여부 및 타 매체의 반향 다른 매체의 보도를 참고하거나 표절한 바 없습니다. <뉴데일리>(5월13일 `중국산 코로나 열화상기 비상… 당신의 얼굴, 목소리, 출입기록 '사생활 정보'가 유출된다‘)가 한겨레 기사를 받았습ㄴ다. 또한 <SBS>가 한겨레 기사를 바탕으로 기획 프로그램 취재 중(분석 도와준 IT업체 대표 “SBS가 정보 유출 모습 촬영 협조 요청해와서 시연해줬다” 전언)이라고 합니다. 4. 사회에 끼친 영향 그동안 코로나19 방역을 명분으로 시민들의 정보인권이 무차별 침해되고 있다는 지적이 많았습니다. 유럽의 시민단체들이 이를 이유로 `K-방역’ 성과를 폄하하기도 했습니다. 이번 열화상 카메라 발열측정기의 측정 대상자 얼굴 영상 유출은 데이터가 중국 소재 IP 서버로 유출된다는 점에서 더욱 심각한 상황입니다. 따로 취재한 바에 따르면, 우리나라에서 시판 중인 열화상 카메라 발열측정기는 대부분 중국산입니다. 국산 브랜드가 달린 것도 뜯어보면 주기판과 소프트웨어 등은 중국산입니다. 중국산 부품과 소프트웨어를 가져다가 거치대와 겉 박스 디자인을 바꿔 국산 제품으로 판매합니다. 음모론으로 비화할까 기사에는 담지 않았지만, 중국이 빅데이터 차원에서 얼굴 영상을 수집한다는 추정도 해볼 수 있습니다. 국가정보원과 대기업들이 앞다퉈 나서고, 공동대응을 하는 것도 이 때문이라고 볼 수 있습니다. 현재 모든 기업과 정부기관과 다중이용시설이 코로나19 방역 차원에서 사옥, 사무실, 매장 입구에 열화상 카메라 발열측정기를 설치해 운영하고 있습니다. 이번에 드러난대로라면, 정부기관과 대기업 사옥을 드나든 사람들의 얼굴 정보가 열화상 카메라 발열측정기를 통해 유출됐다고 볼 수 있습니다. 한겨레 보도가 열화상 카메라 발열측정기를 통한 개인정보 유출 문제와 보안 허점을 상기시키는 계기가 됐다고 볼 수 있습니다. 한겨레는 열화상 카메라 발열측정기를 통해 유출된 개인정보가 어디로 보내졌는지, 기업과 정부기관의 점검결과가 어땠는지 등 후속 취재하고 있습니다. 5. 자체평가 및 소속사 확인 여부 취재 및 보도 과정에서 언론윤리강령 기준과 한겨레 보도준칙을 준수했습니다. 현재 소속사인 한겨레신문사에서 특종상이 신청됐고, 심사가 진행중입니다. 6. 기타 고려사항 보도와 관련해 당사자들의 반론 요청이나 언론중재위원회에 피신청된 사실이 없습니다.