누군가 FOIA와 관련된 유권자 정보 교류 과정에 침투한 듯
데이터베이스가 통째로 2달러...신용카드 정보와 물물교환도 해

[보안뉴스 문가용 기자] 보안 업체 루킹글래스 사이버 솔루션즈(LookingGlass Cyber Solutions)가 9개 주에서 4천만명의 유권자 기록이 거래되고 있다는 걸 발견했다고 발표했다. 현재 ‘유권자 기록’에 담겨 있는 정보는 유권자의 이름(full name), ID, 생년월일, 유권자 지위, 선호하는 정당, 거주지 주소 등으로 모두 암시장에서 거래되고 있는데, 해당 유권자들은 알칸사스 주, 콜로라도 주, 코넥티컷 주, 델라웨어 주, 플로리다 주, 미시건 주, 오하이오 주, 오클라호마 주, 워싱턴 주의 주민인 것으로 밝혀졌다.


일단 알칸사스 주와 오하이오 주의 유권자 데이터베이스는 지난 이틀 동안까지도 활발하게 거래가 되고 있었다. 각 데이터베이스는 하나에 2달러씩 판매되었는데, 이는 약 1천만명에 해당하는 유권자들의 기록이 단 4달러에 거래되었다는 소리다. 루킹글래스는 이를 바탕으로 “돈을 목적으로 이뤄진 범죄 행위는 아닌 것으로 보인다”고 분석했다.

그런 거래가 이루어지고 있던 곳은 레이드포럼즈(RaidForums)라는 곳으로, 로간(Logan)이라는 이름의 사용자가 해당 내용을 광고하고 있었다. 로간은 “20~25개 주의 유권자 정보를 확보하고 있다”고 주장하고 있다고 루킹글래스의 위협 분석 책임자인 조나단 도멕(Jonathan Tomek)은 설명했다. 아직 로간의 주장에 대한 진위 여부는 확인되지 않았다.

로간의 정보 취득 경위에 대해 루킹글래스는 “정보의 자유법(FOIA)에 의거해 특정 단체들이 공익 수행을 목적으로 정보를 요청하거나 거래하는 과정에 소셜 엔지니어링 기법을 동원해 침투해 들어가 위와 같은 정보들을 입수한 것으로 보인다”고 설명했다. “하지만 해당 정보를 FOIA에 근거하여 요청한 듯한 모양새를 취했다고 해도, 그걸 시장에 의도적으로 내놓고 거래를 시도했다는 것 자체는 변명할 수 없는 불법 행위입니다. 애초에 개인이 이런 개인정보를 다량으로 가지고 있다는 것도 합법이 될 수 없고요.”

적이 많은 미국 입장에서는 다행히도(?) 로간의 배후에 별 다른 세력이 있는 것으로 보이지 않는다는 것이다. “지금까지 조사한 바에 의하면 로간은 단독 범죄자입니다. 공범이 한둘 있을 수는 있겠지만 거대 세력이나 대규모 범죄 조직은 아닙니다. 또한 18세 이상인 것으로 보이며, 국제적으로 여행이나 출장을 자주 다니는 편인 듯 합니다. 그리고 사이버 보안 업체에서 근무 중일 확률이 높습니다.”

아직 로간이 몇 명과 거래를 했는지는 루킹글래스 측에서 밝혀낼 수 없었다고 한다. 마찬가지로 ‘거래를 마친 자들’이 유권자 정보를 가지고 뭘 할 것인지도 아직은 알 수가 없다. “그런데 눈에 띄는 건 로간이 돈도 받지만 다른 정보들과 맞교환도 한다는 겁니다. 특히 신용카드나 로그인 크리덴셜과 유권자 정보를 바꾸는 사례가 종종 있었습니다. 유권자 정보에 신용카드 정보를 더 한다는 건 불길한 징조죠.”

하필이면 이러한 소식은 트럼프 행정부가 각 주에 유권자 정보를 달라고 요청해 논란이 일고 있는 상황 가운데 터져버렸다. 트럼프 정부는 공개된 유권자 기록을, 지난 대선의 교훈도 있고 하니, 안전을 기하기 위해 제공해달라고 각 주 정부에 요청했고, 이 요청에 응한 주는 24개인 상태다. 콜롬비아 특별구와 17개 주는 이 요청에 거부했으며, 미국시민자유연맹(ACLU)과 같은 시민 단체는 선거위원회를 고소하기도 했다.

미국의 투표법인 HAVA(Help America Vote Act)는 현재 미국의 50개 주 전부가 중앙 유권자 파일을 전자 형식으로 보관하도록 규정하고 있다. 하지만 이 데이터 안의 내용과 공개 여부 및 정도는 주마다 천차만별이다. 어떤 주는 특정 단체나 공무원에게만 정보를 공개하거나, 어떤 주는 사회보장번호나 생년월일, 운전면허증 번호 등은 빼고 공유한다든가 하는 식으로 저마다 다른 원칙 아래 HAVA를 지키고 있는 것이다. 게다가 현재 19개 주는 생년월일을 공개 가능한 정보로 새롭게 정의하느냐 마느냐를 두고 고심 중이고, 6개 주는 유권자 인종 정보를 이미 공개 하고 있으며, 당 선호도를 공개하는 주도 32개나 된다.

또, 전체 주의 유권자 정보는 합법적으로 구매가 가능하기도 하다. 단 이 정보를 구매할 자격이 되는 사람이나 단체는 정식 등록된 정당, 정치 위원회, 등록된 후보 및 해당 후보의 위원회 등으로 한정되어 있다. 모든 유권자의 등록 정보의 가격은 1억 2650만원이다. 직접 정치에 참여하지는 않지만 정치와 관련이 있는 비영리 단체나 후보자 등도 해당 정보를 구매할 수 있는데, 이때는 약 1억 3600만원을 지급해야 한다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>