이제 한 달 조금 넘게 남은 GDPR 시행...부정적 시나리오 등장하기 시작
앰뷸런스 체이서, 카펫 배거, 이메일 피셔 등장 가능성 높아 보여

[보안뉴스 문가용 기자] 유럽연합의 새로운 개인정보 및 데이터 보호 규정인 GDPR이 가까이 다가오고 있다. 2018년 5월 25일부터 시행될 예정이니 이제 한 달 조금 넘게 남은 것이다. 유럽 현지의 분위기는 어떨까? 정말로 GDPR 시행 후부터는 소비자 개인의 정보가 철저하게 보호될 거라는 희망찬 전망에 들떠 있을까?


[이미지=iclickart]

먼저는 새로운 규정에 적응해야 한다는 압박감이 더 무겁게 유럽의 기업들을 옥죄고 있다. 그리고 GDPR에 대한 반작용을 걱정하는 목소리들이 슬슬 나오기 시작했다. GDPR로 인한 ‘네거티브 산업’이 떠오를 것을 전문가들이 걱정스럽게 예측하고 있는 것이다. 그러한 전망들을 본지에서 모아보았다.

시나리오 1 : 앰뷸런스 체이서들의 극성
먼저 유럽의 법조계는 GDPR 시행 이후 이른 바 ‘앰뷸런스 체이서(ambulance chaser)’가 극성을 부릴 것이라고 내다보고 있다. 앰뷸런스 체이서란 네이버 지식백과에 따르면 ‘소송을 부추기는 변호사’를 뜻한다. 교통사고가 났을 때 환자를 운송하는 앰뷸런스를 쫓아가며 법적 분쟁을 부추겨 그것으로 돈을 버는 사람들을 낮춰 부르는 말이다.

2017년만 해도 그 어느 때보다 데이터 유출 사고에 관한 보고가 많았다. 이 증가 추세는 꾸준히 이어져오던 것으로 2018년에 갑자기 데이터 유출 사고가 없어질 리가 없다. 게다가 GDPR은 유출 사고 발생 시 고지의 의무를 강화했기 때문에 올해는 역대 최다의 유출 사고를 접하게 될 가능성이 농후하다. 이에 법적 상담이나 조언, 도움이 필요한 사람이나 기업이 늘어날 것이고, 그러므로 데이터 사고 현장마다 나타나 소송을 부추기는 변호사 부류들이 생길 것이라는 예측은 자연스럽다.

이들은 대부분 소비자들의 편에 서서 “소비자로서 당신은 회사에 이러한 보상을 요청할 수 있다”고 알려주면서 각종 소송을 이끌 것으로 보인다. 비슷한 피해자들을 규합해 각종 집단소송을 만들어 낼 수도 있다. 물론 집단소송 자체가 나쁜 것은 아니다. 사이버 보안에서 처음 있는 일도 아니다. 다만 불필요한 법정싸움이 일어날 부작용도 분명히 존재한다.

시나리오 2 : 카펫 배거들의 극성
GDPR은 데이터 유출 사고와 관련된 세부 사항을 상세 공개하도록 규정하고 있다. 이는 ‘프라이버시 관련 법’을 잘 아는 회사들에게 있어 엄청난 ‘소스’가 된다. 유럽의 보안 전문가들은 이러한 사람들이 기회를 놓치지 않을 것이라고 보고 있다. 가볍게 여행 가방을 싸듯(이를 카펫 배깅(carpet bagging)이라고 한다) 사업을 기획해 ‘프라이버시 전문 변호사가 필요하신가요?’라는 전단지를 돌리고 이메일을 뿌리는 업체가 분명히 나타날 것이라는 예측이다.

이러한 의견을 제일 먼저 트위터를 통해 표명한 건 보안 전문가 퀜틴 테일러(Quentyn Taylor)다. 그는 “보안 사고가 일어났을 때 사람들의 첫 반응은 ‘왜 이런 일이 일어났을까?’를 묻는 것”이라며 “이를 통해 분명히 금전적인 보상을 받을 수 있을 것이라고 기대한다”고 지적한다. “기대감이 충만하면 반드시 허점이 생기기 마련이죠. 정말로 도움을 받을 수 있으면 좋겠지만, 그 심리적 빈틈을 노린 사기 사건들이 발생하지 않을까 우려됩니다.”

게다가 GDPR 체제 하에서 보상과 관련된 법정싸움이 벌어지거나 판결이 내려진 적이 없어 판례마저 찾을 수 없다는 것도 문제다. 적절한 보상 액수를 정하는 데도 어려움이 있을 것이라는 뜻이다. “당분간 법정은 앰뷸런서 체이서들이나 카펫 배거들을 쫓아온 집단소송 당사자들과, 금전 보상 액수의 타협점을 찾지 못해 발을 동동 구르는 판사들로 인해 혼란 그 자체로 변할 것입니다. 큰 사회적 비용 손실이 예상됩니다.”

시나리오 3 : 피싱 이메일 공격의 증가
위와 비슷한 맥락에서 한 전문가는 ‘약탈적인 변호사(predatory laywer)’가 득세할 것이라고 예상하고 있다. 데이터 보호 전문가인 로웨나 필딩(Rowenna Fielding)이다. “GDPR이 시행되면 ‘데이터 주체(data subject)’라는 개념이 보편적으로 퍼질 것입니다. 특히 데이터 주체가 갖는 권리에 대해 많은 이들이 더 잘 이해하고 싶어할 것으로 보입니다. 게다가 GDPR 80조 2항에 의하면 비영리 단체들이 데이터 주체로서의 권리를 위임할 수 있게 했거든요. 변호사들이 비영리 단체들로 몰려드는 소리가 벌써 들리는 듯 합니다.”

로웨나 필딩은 이것 자체가 나쁜 것은 아니라고 설명을 이어간다. “데이터 주체로서의 권리를 많은 사람들이 이해하는 건 좋죠. 힘이 약한 단체를 위해 누군가 나서주는 것도 좋을 수 있습니다. 제가 걱정하는 건 이런 환경은 사기꾼들이 판치기 너무나 좋은 것이라는 겁니다. 변호사들이 자기에게 위임해 달라고 비영리 단체를 잘 찾아가면 그나마 다행이겠는데, 사실 이런 변호사를 위장한 피싱 공격자들이 더 많은 이메일을 보낼 겁니다. 보안 업체에서 나왔다던가 법무사무소에서 나왔다던가 하면서 말이죠. 데이터 주체로서의 권리를 더 알고 싶어 하는 사람들이 클릭할만한 제목과 내용을 단 피싱 이메일이 크게 증가할 것으로 보입니다.”

결국 보상액을 산출하는 정확한 기준이 아직까지 정해지지 않았다는 것이 앞으로 생겨날 문제들의 근원이라고 보고 있는 것이다. 그렇기에 로웨나 필딩은 “권리를 대변해주겠다거나 법적인 도움을 주겠다는 전화나 이메일을 받는다면 당분간은 무시하라”고 권고한다. “왜냐하면 GDPR이라는 새로운 체제 아래서는 아무도 피해를 산정하는 법을 모르기 때문입니다. 얼마를 보상해주겠다고 하는 약속은 믿지 않는 편이 좋습니다.”

시나리오 4 : 악성 정보 접근 요청으로 인한 디도스
SAR 혹은 정보 접근 요청(Subject Access Request) 역시 GDPR의 어두운 그늘이 내려앉을 수 있는 분야다. SAR이란 일반 대중들이 새롭게 갖게 될 권리로 기업이 보유하고 있는 기록들이 무엇인지 무료로 요청할 수 있는 것이다. 기업은 정보 요청이 들어오면 이를 투명하게 공개해야 한다. 물론 고객의 정보로 돈을 버는 기업이 당연히 해야 할 책무다. 그러나 만약 수많은 개인이 한 번에 이러한 요청을 한 기업에 하게 되면 어떻게 될까?

이러한 걱정을 하는 것은 법무사무소 코더리(Cordery)의 조나단 암스트롱(Jonathan Armstrong)이라는 법 전문가다. “영국의 정보위원회와 아일랜드의 정보위원회와 이야기를 나눴을 때, 두 조직 다 그러한 사태를 걱정하고 있음을 알 수 있었습니다. 악의를 가지고 있든 아니든, 충분한 인원이 동시다발적으로 한 기업에 정보 공개를 요청한다면, 디도스 공격과 똑같은 효과가 일어날 것이기 때문입니다.”

호주의 프라이버시 활동가이자 변호사인 맥스 슈렘즈(Max Schrems)가 보여준 사례가 많은 기업들을 걱정하게 만들고 있다고 암스트롱은 설명을 잇는다. 슈렘즈는 페이스북이 유럽의 프라이버시 관련 법을 어겼다고 고소한 사람으로, 페이스북은 이 법정 공방에지지 않기 위해 수천만 달러를 투자하고 있다. “페이스북이나 되니까 그 정도 돈을 쓸 수 있는 것이지요. 페이스북은 세계에서 열 손가락 안에 드는 회사고요. 옳고 그름을 떠나 단 한 사람이 그 정도까지 사업체 하나를 흔들 수 있다는 것이 GDPR을 앞둔 기업들을 떨게 만들고 있습니다.”

정보 요청 한 건에 응하는 데 걸리는 시간은 기업 당 평균 100~300 시간일 것으로 예상된다고 암스트롱은 말한다. “그러면 100명이 이를 요청했다고 하면, 어떻게 될까요? 시간이 아주 오래 걸리겠죠. 그러면 곧바로 수사가 들어올 수 있습니다. 기업은 한 달 내에 SAR에 대한 응답을 해야 하거든요. 소송이 시작될 수도 있고요. SAR이 소비자 보호에는 좋지만, 기업을 큰 위험에 노출시킬 수도 있다고 봅니다.”

물론 이를 ‘지나친 걱정’이라고 말하는 이들도 있다. 누군가는 분명 이 제도를 악용하겠지만 그렇다고 디도스 공격과 같은 효과가 일어날 거라는 건 너무 앞서간 생각이라는 것이다. 은행이나 사람들의 미움을 받아왔던 기업들이 조금 바빠질 수는 있겠지만 업무가 마비되거나 정상적인 사업 운영이 크게 불편해지는 일이 생길 가능성은 그리 높아 보이지 않는다고 이들은 주장한다.

로웨나 필딩이 바로 이런 의견을 가진 쪽이다. “SAR의 악용이 없진 않을 겁니다. 사람들은 선용보다 악용에 익숙하거든요. 그러나 이것이 큰 문제가 되지는 않을 것으로 보고, 사실 그래서도 안 됩니다. 적절한 데이터 관리 툴과 정책을 가지고 있는 기업이라면 SAR을 충분히 소화할 수 있어야 하거든요. 악의적인 SAR이 많이 접수될 것 같다고 해도 미리 대비할 수 없는 게 아닙니다. 게다가 한 달 내에 SAR에 대한 자료를 줘야 하지만, 기업이 기한 연장도 요청할 수 있습니다.”

이제 한 달 조금 넘게 남은 GDPR의 시행. 부정적인 전망이 구체적으로 하나 둘 나오기 시작하는 건 2012년 GDPR이 처음 발표되고 나서부터 거의 처음 있는 일이다. 로웨나 필딩은 “혼란한 틈을 타 주머니를 빠르고 쉽게 채우려는 자들이 분명히 생길 것”이라며 “이는 ‘그럴지도 모른다’의 문제가 아니라 ‘그런 사람들이 얼마나 많이 생길까’의 문제”라고 주장한다.

“피싱 공격자들과 온라인 사기꾼들이야 늘 우리 곁에 있어왔지만, 그 사람들이 대폭 늘어난다고 생각해보세요. GDPR과 관련된 이메일은 아무 것도 누를 수가 없게 될 겁니다. 우리는 정보와 소식이 더 필요할 텐데 말이죠. 이 사기꾼들 덕분에 정보 유통이 원활하게 이뤄지지 않을 수도 있어요.”

앰뷸런스 체이서들이 많아지는 것 또한 그리 긍정적이진 않다. “일부 변호사들이 GDPR 전문가가 되어 사람들을 돕는 건 좋습니다만, 데이터 유출 사고 하나에 변호사들이 교통사고 현장에 레카차들처럼 몰린다고 상상해보세요. 그들이 피해자들 눈앞에서 ‘소송거세요!’를 외친다면 사건 해결에 도움이 될까요? 짜증만 나죠. 앰뷸런스 체이서들이 생길 건 분명한데, 이들이 지나치게 많아진다면 데이터 유출 사고의 원만하고 합리적인 해결 방법을 배울 기회가 훨씬 늦춰질 겁니다. 그게 GDPR이 가지고 있는 부정적 측면이라고 봅니다.”
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>