전자 백신 예방접종증명서 COOV 위변조 취약

1. 취재착수 ① 단독취재(  ), ② 단독기획( ), ③ 보도자료 심층기획( ), ④ 제보(  ), ⑤ 기타( ) 질병관리청에서 개발한 전자 백신 예방접종증명서, ‘COOV’ 앱에 보안 취약점이 있다는 제보를 받았습니다. 증명서 내용을 아무렇게나 바꿔도 인증이 된다는 건데, 심지어 대학교 학부생 정도의 프로그래밍 실력만 갖고 있다면 조작을 얼마든지 쉽게 할 수 있다는 설명이었습니다. 특정 프로그래밍 코드를 통해 조작된 정보가 적힌 증명서를 만들 수 있었습니다. 앱은 이를 걸러내지 못하고 ‘정식 증명서’로 인식했습니다. 누군가 이 문제점을 악용하기 전에 관계 당국의 빠른 조치가 필요하다고 판단했습니다. 문제점이 무엇인지, 어떤 보완이 필요한지 등 여러 전문가들의 교차 검증이 필요했습니다. 이에 사실 관계 확인을 위한 취재에 나서게 됐습니다. 2. 보도제작경위 - 내용을 구체적으로 기술해 주십시오. ‘COOV’ 앱은 블록체인 기술을 기반으로 만들어졌습니다. 정부는 블록체인의 세부 갈래인 ‘DID’를 활용해 위변조가 불가능하다고 홍보했습니다. 제보 내용이 사실이라면 이 설명이 거짓이 되는 것이었습니다. 학계와 업계 등 블록체인 보안 분야 전문가들의 교차 검증이 필요했습니다. 앱 조작을 위한 프로그래밍 코드는 질병관리청, 질병관리청과 협약을 맺은 민간 업체가 공개한 앱 정보에서 쉽게 가져올 수 있었습니다. 이를 각 전문가들에게 보내 보안이 취약하다는 점을 검증했습니다. 취재진도 직접 시연해 이 사실을 다시 한 번 확인했습니다. 문제가 어디서 발생한 것인지 확인하는 게 그 다음이었습니다. 이 증명서가 효력을 갖기 위해선 정부가 발급한 것이 맞는지 검증하는 과정이 필수적입니다. 취재 결과 증명서에 반드시 따라야할 이 과정이 앱 상에 존재하지 않는다는 결론을 내릴 수 있었습니다. 첫 보도 이후 질병관리청은 업데이트를 통해 문제점을 해결했다고 밝혔습니다. 앞서 앱을 배포할 당시 설명과 마찬가지로 질병청에서 발급한 정식 증명서 외에는 사용 불가능하다고 강조했습니다. 한 번 문제가 있었던 만큼 확인해봐야겠다는 생각이 들었습니다. 추가 취재를 거쳐 여전히 조작이 가능하다는 걸 알게 됐습니다. 정부가 발급한 것이 맞는지 검증하는 과정은 추가됐지만, ‘누구에게 발급했는지’는 여전히 앱이 놓치고 있었습니다. 첫 번째 기사에 이어 여전히 조작이 가능하다는 사실을 연속 보도했습니다. 국민들의 개인정보가 들어간 앱 보안을 안일하게 다루고, 방역에도 큰 허점을 만들 수 있었던 관계 당국의 실태를 고발했습니다. 방송 리포트 이후 왜 이것이 문제인지 좀 더 쉽게 풀어 쓴 취재파일도 출고해 국민들의 이해를 돕고자 했습니다. 3. 취재 및 보도과정의 특이사항 여부 ① 기사에 등장하는 익명취재원의 상당성여하 – 해당 취재원을 보호하기 위해 실명을 기사에 기재하지 않았습니다. ② 제보자와의 특별한 이해관계여하 - 없습니다. ③ 직접취재(바이라인), 현장취재(데이트라인)여하 - 직접 취재하고 직접 기사를 작성했습니다. ④ 기타 특이사항 여하 - 없습니다. 앞서 취재 착수 과정에서 밝힌 것처럼 취재진은 악용 가능성을 가장 우려했습니다. 보도도 중요하지만 누군가 증명서를 위변조하는 일이 없어야 했기 때문입니다. 기사만을 우선적으로 생각했다가 정작 누군가에게 조작 가능하다는 사실을 정보로 제공해 보도 취지를 왜곡하는 일을 막고자 했습니다. 이에 SBS 8뉴스를 통한 보도 시점 이전에 질병관리청 담당 부서에 위변조 취약점이 있다는 사실을 가능한 빠르게 전했습니다. 조작 가능한 코드, 조작이 이뤄지는 일련의 모습을 담은 영상 등 취재 내용과 함께 보완 조치가 필요하다고 설명했습니다. 이에 8뉴스 보도 이후 빠른 시간 내에 앱 업데이트가 이뤄질 수 있었습니다. 다만, 질병관리청이 취재진에 상응하는 적절한 대처를 하지 못했다는 매우 아쉽고 실망스런 부분도 확인했습니다. 취재진이 앱 위변조 취약 사실을 전달했음에도 세세한 정보를 제공하기 전까지 담당 부서에선 ‘위변조는 시스템에서 절대 불가능하다’라는 입장만 고수하며 시간을 허비했습니다. 또한 첫 보도 이후에도 앱 취약점에 대해 면밀히 검증하지 않은 채 여전히 조작 가능한 보안 상 문제를 남겨 뒀고 후속 보도로 이어졌습니다. 정부가 발급하는 전자 증명서가 위변조 가능하다는 사실만으로도 보도 가치가 충분했지만, 취재 과정에서 정부가 보여준 일련의 모습 또한 왜 보도가 필요했는지 보여줬다고 생각합니다. 4. 타 매체 선행보도 여부 및 타 매체의 반향 (선행보도 또는 타 보도에 관한 표절여부도 체크해 주시기 바랍니다) 전자 백신 예방접종증명서를 조작하거나 가짜로 만들어낼 수 있고, 이 가짜 증명서가 ‘COOV’ 앱에서 정식 인증된다는 사실을 다룬 선행 보도는 없었습니다. SBS 보도 이후 타 매체에서 해당 사실에 대한 보도를 추종했습니다. 중앙일보 / 자가격리 면제되는 백신 증명서, 대학생도 손쉽게 위조 가능? https://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=102&oid=025&aid=0003098435 연합뉴스 / 전자접종증명서 위변조 취약…당국 "기능수정 과정서 문제 발생" https://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=102&oid=001&aid=0012368690 한국경제TV / 위변조 불가능하다던 백신 전자예방접종증명서 취약 https://news.naver.com/main/read.nhn?mode=LSD&mid=sec&sid1=102&oid=215&aid=0000955020 인사이트 / 위·변조 절대 불가라더니 단 '3분' 만에 위조 가능한 코로나 백신 증명서 https://www.insight.co.kr/news/336481 5. 사회에 끼친 영향 (후속적인 제도개선 등이 이루어진 사정이 있으면 이를 언급하여 주시기 바랍니다) SBS의 보도는 혹시나 생길 수 있었던 범죄 가능성과 사회적 혼란을 미연에 차단하는 역할을 했습니다. 보도 당시 전자 백신 예방접종증명서는 본격적인 사용을 앞두고 있었습니다. 첫 보도 사흘 뒤인 5/5부터 접종 완료자들에 대한 인센티브 조치가 이뤄지면서 앱을 통한 전자 증명서 사용이 전보다 늘어날 상황이었기 때문입니다. 이번 달부터 접종 완료자에 대한 인센티브는 더 확대됐습니다. 다음 달부터는 야외에서 마스크를 벗을 수 있고, 5명 이상 사적모임 금지 기준에서도 빠지게 됩니다. 실제로 백신을 다 맞고 2주가 지났는지, 이를 증명해주는 시스템의 보안과 신뢰성이 무엇보다 중요한 시점이 되는 것입니다. 만약 SBS의 보도가 없었다면, 여전히 전자 백신 예방접종증명서는 쉽게 조작 가능하고, 이를 막아내지도 못하는 허술함을 갖고 있었을지도 모릅니다. SBS가 해당 사실을 알리기 전까지 정부에서는 이를 전혀 파악하고 있지 못했기 때문입니다. 위변조한 증명서를 갖고서 백신을 맞지 않았는데도 마스크를 벗고 돌아다니고, 조작된 증명서를 사고파는 등 각종 범죄와 사회적 혼란으로 이어질 수 있었습니다. 실제로 해외에선 이런 문제점들이 이미 현실이 됐습니다. 백신 접종률 세계 1위 자리를 다투는 이스라엘에선 위변조된 전자 백신 증명서 매매 움직임이 확인돼 당국이 긴급 대응에 나섰습니다. 미국 CDC와 영국 NHS가 발행한 백신 접종 증명서를 조작해 SNS를 통해 유통하는 사례도 나오고 있는데, 이를 활용한 부정 입국 사례가 영국에서 하루 100건 이상 적발되는 등 각종 혼란이 이어지고 있습니다. SBS의 취재를 통해 정부는 전자 백신 예방접종증명서의 취약점을 확인했고, 이를 수정·보완하는 조치를 즉각 시행할 수 있었습니다. 특히 모의해킹과 모니터링을 통해 앱 취약점을 상시로 감독하고 지금도 꾸준히 업데이트가 이뤄지고 있습니다. 정부 계획대로 오는 11월 백신 접종을 통한 집단 면역이 달성되고, 12월부터 실내 마스크 착용 해제 조치까지 이뤄진다면 사실상 5천만 전 국민이 전자 백신 예방접종증명서를 활용하게 될 것입니다. 전 국민의 개인정보를 보호하는 측면에서, 범죄를 미연에 방지한 점에서, 혹시 모를 방역 사각지대에 발 빠르게 대처한 점에서, SBS 보도가 의미를 가진다고 평가할 수 있습니다. 6. 자체평가 및 소속사확인여부 (언론윤리강령기준의 준수여부까지 포함시켜 자체평가해주시기 바랍니다) SBS는 전문가 자문 등을 통해 해당 언론윤리강령 준수 여부를 사전 확인했습니다. 7. 기타 고려사항 (외부 지원여부, 보도당사자의 반론신청, 언론중재위원회에의 피신청사항이 있으면 이를 언급하여 주시기 바랍니다) 해당사항 없습니다.