[지디넷코리아]휴대폰 통화 기록을 판매하는 웹 사이트들은 몇 달간 뉴스거리가 됐으며, 이번 주 국회의원들과 FCC가 조치를 취하는 계기가 됐다. 그러나 일부 비판자들은 휴대폰 사업자들이 개인정보 보호를 위해 더 많은 조치를 취해야 된다고 말했다.

Locatecell.com이나 CellTolls.com과 같은 수많은 사이트들은 100달러 이하의 가격에 휴대폰 송수신 기록을 판매한다는 광고를 하고 있다. 이런 정보는 대개 수사당국이 사용하는 경우가 많다. 그러나 이런 데이터를 온라인에서 받을 수 있다는 것은 스토커, 학대하는 배우자, 신분 도용자 등과 같은 범죄자에 의해 악용될 수 있다고 전문가들은 경고했다.

휴대폰 사업자들은 이들이 고객으로 위장하거나 계좌에 대한 정보요청과 같은 기만적인 방법으로 고객 정보를 빼내고 있다고 주장한다.

미국 의회와 치안 당국은 고객정보를 빼내기 위해 사기행각을 벌이는 사람들을 처벌함으로써 휴대폰 통화기록을 보호하겠다고 다짐하고 있다. 그러나 일부 전문가들은 휴대폰 서비스 업체들이 고객 데이터를 더 잘 보호하지 않는다면 문제는 계속될 것이라고 말한다.

전문가들은 기록요청이 정당한 것인지 확인할 수 있는 단계를 서비스 업자들이 구축할 수 있다고 말한다. 여기에는 고객 패스워드 시스템, 휴대폰에 문자메시지를 보내 요청을 확인하는 방법, 고객 서비스 센터에 감사 시스템을 구축하는 방법이 포함된다.

100달러에 휴대폰 기록 판매
휴대폰 업체로부터 기만적으로 통화기록을 수집한다는 사실은 지난 몇 달간 뉴스가 됐다. 워싱턴 DC의 블로거 존 아라보시스는 그의 아메리칸블로그(Americablog.com)에 그가 자신의 휴대폰 기록을 사는 것이 얼마나 쉬웠는지 그리고 전 미국대통령 후보였던 웨슬리 클라크 장군의 통화기록을 사는 것이 얼마나 쉬웠는지를 적고 있다.

휴대폰 업체들은 이런 정보를 판매하는데 반대하는 입장을 표명하고 있다. 지난 2주간 싱귤러 와이어리스와 버라이존 와이어리스는 기만적인 방법으로 데이터를 수집한 데이터 브로커를 대상으로 법원명령서를 요청했다. FCC 규제사무국은 이번 주 고객의 승인이나 통보없이 통화기록을 수집한 업체들을 조사할 것이라고 말했다.

국회의원들은 여기에 편승해 하원과 상원 모두 고객정보를 불법적으로 수집하는 행위를 처벌하는 법률을 제정하고 있다. 예를 들어, 뉴욕주 민주당 상원의원인 찰스 E. 슈머와 펜실베이니아주 공화당 상원의원 알렌 스펙터, 플로리다주 민주당 상원의원 빌 넬슨은 이번 주 휴대폰 업체에 고객 신분을 위장하거나 직원이 고객 데이터를 판매하는 것을 불법화하는 법안을 내놓았다. 주 정부들의 움직임을 보면 코네티컷 법무장관 리차드 블루멘탈은 고객의 데이터를 불법으로 판매한 혐의를 받고 있는 업체에 대한 조사에 착수했다.

이런 소송, 수사, 입법 활동이 겨냥하고 있는 것은 통화정보를 수집하고 이를 광고하고 있는 업체들이라는 것은 자명하다. 그러나 웹 사이트 몇 개를 폐쇄한다고 해서 문제가 해소되는 것은 아니라고 전문가들은 말했다. 일부는 휴대폰 업체들이 산업계의 입장에서 미국의 거의 2000만명에 달하는 무선 가입자들의 개인정보를 어떻게 보호할 것인지 개선할 필요가 있다고 믿는다.

워싱턴 DC의 EPIC(Electronic Privacy Information Center) 카운슬러인 셔윈 시는 "휴대폰 업체들은 분명히 데이터 보호 측면에서 개선의 여지가 있다. 이러한 개인정보 유출은 중단되어야 한다는 것이 매우 중요하다. 프라이버시 권리가 침해받고 있기 때문"이라고 말했다.

그렇다면 이들 웹 사이트들은 도대체 어떻게 고객정보에 접근하는 것일까?

전문가들은 이런 정보가 몇 가지 방법에 의해 유출된다고 믿는다. 하나는 콜 센터 직원이나 아웃소싱 인력이 데이터를 잘못 다루는 데서 오는 것이다.

기업보안에 있어서 잘못된 고정관념의 하나는 기업이 직면한 가장 큰 위협이 해커들이 민감한 정보를 담고 있는 서버를 공격한다고 보는 것이다. 그러나 연구결과에 의하면 직원, 협력사 직원, 계약직원 등 내부자들이 가장 많은 보안문제를 일으킨다. 본투나 경쟁사 베리셉트와 같은 업체들은 기업네트워크를 통한 이메일, 인스턴트 메시지, FTP 파일, 그 밖의 온라인 통신을 모니터하는 데이터 포착(interception) 제품을 개발했다.

두 번째 방법은 고객을 가장하는 것이다. 예를 들어, 고객서비스에 전화를 걸어 지난 몇 달간의 청구서를 요청하는 것이 한 가지 방법이 될 수 있다. 그리고 이를 이메일, 팩스, 그리고 계좌에 없는 다른 우편주소로 요청을 한다. ‘프리텍스팅(pretexting)’이라 불리는 이런 방법은 이미 금융정보에 이용되는 것이 불법화돼 있다. 새로운 법안들은 이런 관행에 대해 더 엄격하며 휴대폰 청구서를 얻기 위해 신분을 가장하는 것을 명백히 불법으로 규정할 것이다.

본투의 기업통신 디렉터인 키트 로빈슨은 "콜센터의 정보들과 이들 센터에서 일하는 사람들이 인터넷에 접속할 수 있다는 점을 고려하면 데이터 유출 가능성이 크다고 볼 수 있다. 모든 기업에서 데이터 보호의 핵심은 민감한 데이터를 처리하는 방식과 이를 인적 및 기술적 측면에서 규제하는데 있다"라고 말했다.

프라이버시 보호 위한 대책 동원
전문가들은 이들 문제를 완화시키는 데 있어서 휴대폰 업체들이 몇 가지 조치를 취할 수 있다고 말한다.

고객 소유인지 서비스 업체가 파악할 수 없는 팩스번호나 이메일 계좌로 청구정보를 보내지 않는다. 이는 계좌에 나타난 주소로만 기록을 보내도록 함으로써 가능하다.

고객들이 통화기록이나 청구서를 보기 위해서 암호입력을 하도록 한다. 청구서에 대해 누군가 전화를 하는 경우 데이터 접근을 위해 안전한 개인 식별 번호를 입력해야 한다. 고객은 이를 추가할 수는 있지만 대부분의 휴대폰 사업자들은 이를 의무화하지 않고 있다.

개인정보를 요청할 때 마다 문자메시지를 고객 폰에 보내는 방법이 있다. 이들 메시지에 응답을 하면 정보가 제공된다.

콜 센터에 내부 감사 도구를 구축한다. 일부 업체들은 특정 직원이 데이터를 잘못 다루고 있는지 직원의 행위에서 이상한 점을 찾는 소프트웨어를 제공하고 있다. 예를 들어 특정 직원이 근무시간이 끝날 때 마다 수십 개의 파일에 접근한다면 아마도 이들을 복사하여 판매하고 있을 공산이 크다.

인터넷에서 얻을 수 있는 수많은 청구서 정보들에도 불구하고 싱귤러와 버라이존은 이미 많은 안전장치를 구축하고 있다고 주장한다. 그리고 계속 보안을 강화하고 있다고 말한다.

버라이존 대변인 제프리 넬슨은 "계속 정책과 절차를 검토해 이들이 고객과 우리 회사와의 상호작용에 있어서 관련이 있는지 검토하고 있다. 내부적으로 고객정보 보호를 위해 구체적으로 무엇을 하고 있는지 밝힐 수는 없다. 그러나 산업계에서 우리 보다 더 민감한 정보를 다루고 있는 기업들의 베스트 프랙티스를 분석하고 있다. 이미 개선을 위한 조치를 취하고 있다"라고 말했다.

싱귤러는 고객 데이터 처리 개선을 위해 이미 노력하고 있으며 직원들이 민감한 정보를 원하는 사람들을 어떻게 대하는지 교육시키고 있다고 말했다.

싱귤러 대변인 마크 시겔은 "우리가 취하고 있는 조치의 일부는 교육이라는 측면에서 그리고 직원들이 더 엄격한 가이드라인을 따르도록 하고 있기 때문에 더 인간적이라고 볼 수 있다. 이번 사태를 보안강화와 직원들이 이미 잘 하고 있는 업무를 개선할 수 있는 기회로 삼고자 한다"라고 말했다.

정책, 절차 마련에 절치부심
그러나 국회의원을 포함한 일부 인사들은 고객정보 보호를 위해 더 많은 조치가 취해져야 한다고 말한다.

텍사스주 공화당 하원의원이자 하원 에너지 및 상공 위원회 의장인 조 바튼은 "개인정보의 보호는 내게 있어서 높은 우선순위에 있다. 기업들은 우리의 삶을 정의하는 데이터를 축적하고 유지해야 하는 타당한 이유들을 갖고 있지만 마치 자신들의 정보처럼 이를 보호해야 할 책임도 있다"라고 말했다.

바튼은 전화기록을 얻기 위한 프리텍스팅을 불법으로 규정하는 하원법안을 상정하고 있다. 그는 또한 개인정보를 제대로 보호하지 못하는 휴대폰 사업자들을 처벌하도록 요구하고 있다.

그는 "개인 통화 기록을 거래하는 사람들을 좌절시키는 가장 타당한 조치는 프리텍스팅을 불법화하는 것이다. 이를 위한 법안을 상정할 것이며 만약 전화업체들이 고객의 동의없이 통화기록을 내준다면 이를 훨씬 더 강력하게 처벌하도록 할 것"이라고 말했다.@