CIA 국장 스캔들의 결정적 증거는 ‘이메일 추적’

Computerworld
이메일 추적은 생각보다 쉬울 수 있다. 때문에 어떤 메일을 보내든지 이를 항상 염두에 둬야 한다.

미국 내에서 가장 촉망 받던 군인 중 한 사람이었던 데이비드 퍼트레이어스 CIA 국장을 사임하게 한 불륜 스캔들의 중심에는 그의 이메일이 있었다.

이 사건은 사이버 범죄, 온라인 사생활, 디지털 포렌식(digital forensics) 등의 주제를 재조명하면서 많은 이들에게 ‘미국 정보기관 수장과 전직 방첩활동요원인 그의 여자친구 이 메일이 저렇게 쉽게 털렸다면, 우리 같은 일반인들의 온라인 사생활을 침해하는 건 일도 아니지 않을까?’라는 의문을 안겨주었다.

보안 업체 소포스(Sophos)의 대변인 댄 링은 “안전하게 사생활을 보호하고 싶다면, 차라리 인터넷 세계에 ‘사생활’이란 것이 아예 없을 수도 있음을 인정하는 게 가장 빠르다”라고 말했다. “간단히 말해, 개인 정보가 유출되는 게 싫다면 인터넷에 개인 정보를 올리지 않으면 된다.”

14개월 전 미국 중앙정보국장으로 부임했던 퍼트레이어스는 최근 자신의 혼외정사 추문에 대한 책임을 지고 사퇴했다.

페트레이어스와 그의 전기 작가이자 예비군이었던 파울라 브로드웰 사이의 추문은 FBI의 사이버 범죄 수사 도중에 밝혀지게 되었다.

지난 여름 미 국방부 기금 모금자 질 켈리는 FBI에 근무하는 자신의 측근에게, 5~10통 가까이 되는 익명의 협박성 이메일을 받았다고 털어놓은 것으로 알려졌다. 이에 FBI는 수사에 착수했다.

그러나 FBI가 찾은 것은 뜻밖에도 추문 사실을 숨기려는 페트레이어스와 브로드웰이 주고받은 일련의 이메일이었다.

페트레이어스는 필명을 사용해 여러 개의 이메일 계정을 개설해(그 중에는 지메일 계정도 있었다) 브로드웰과 이메일을 주고받은 것으로 나타났다. 이들은 그 중에 한 계정을 공유해 임시 보관함에 이메일을 저장하는 형식으로 메시지를 주고받기도 했다.

아마도 드롭 박스와 비슷하다고 알려져 있는 이메일 임시 보관함에 미송신 메시지를 저장하는 방식을 이용하면 흔적이 남지 않으므로 추적당하거나 발각될 염려가 적다고 생각한 모양이었다.

그러나 질 켈리에게 온 협박 이메일에 대한 수사를 시작한 FBI는 임시 보관함 계정까지 전부 찾아냈다.

월스트리트저널에 따르면 FBI는 메타데이터 흔적을 통해 이메일이 발신된 곳을 알아냈다고 한다. 발신지는 브로드웰이 그녀의 남편과 함께 쓰던 이메일 계정이었다. FBI는 이 정보를 통해 브로드웰의 이메일 계정을 감시할 영장을 발급 받았다.

이 사실을 통해 많은 것이 분명해졌다.

이메일은 흔적을 남긴다
“대부분 이메일을 보내는 평범한 사람들의 계정을 추적하기란 별로 어렵지 않다”라고 존스 딕스트라&어소시에이트(Jones Dykstra & Associates)의 공동 소유주이자 컴퓨터 포렌식 수사관인 키이스 존스는 말했다. “모든 (이메일) 서버를 통해 발송되는 이메일은 흔적을 남긴다. 누가 언제 이메일을 보냈는지 알려주는 ‘연계 보관성(chain of custody)’의 일종이다”라고 존스는 전했다.

쉽게 말해, 이메일은 대개 흔적을 남긴다는 것이다. 어디서 이메일을 보낸 것인지부터 도착할 때까지 어떤 서버들을 거쳤는지 까지 말이다.

그렇지만 약간의 주의만 기울이면 이런 흔적을 감추는 것도 가능하다고 존스는 덧붙였다.


“추적을 피하는 건 생각보다 아주 쉽다”라고 존스는 말했다. 그는 자신이 디지털 수사를 피해 이메일을 작성할 수 있다고 주장하고 있다. “약간의 주의만 기울이면, 이메일의 발신지를 실제 당신의 계정이 아닌 다른 곳처럼 보이도록 할 수 있다. 익명 프록시를 사용하는 것이다.”

익명 프록시는 이메일과 같은 온라인 활동의 추적을 불가능하게 만들기 위해 고안된 도구다. 익명 프록시를 사용해 이메일을 보낼 경우, 발신인을 대신해 인터넷에 접속함으로써 발신인에 대한 정보를 감출 수 있다.

이는 마치 누군가가 대신해서 내 편지를 전달해 주는 것과 마찬가지라고 존스는 설명했다. 누군가가 나를 대신해 우편물을 전달해 주며 겉봉투에도 내 주소 대신 자신의 주소를 적는 것이다.

그러나 문제는 대부분 사람들이, 기업 마케팅 플랜에 대한 이메일이든, 협박성 이메일이든, 혹은 불륜 상대와 주고받는 이메일이든 익명 프록시를 사용하기 귀찮아 한다는 점이다. 그리고 자신들이 보낸 이메일을 받는 사람 이외에 그 누군가가 볼 수도 있다는 생각은 절대 하지 못한다.

“대부분의 개인이나 기관들은 개인적인, 혹은 중요 정보를 담은 이메일을 보내는 것에 대해 깊이 생각하지 않는다”라고 무어 인사이트&스트레티지(Moor Insights & Strategy)의 애널리스트 패트릭 무어헤드는 말했다. “그저 자신의 PC, 핸드폰, 혹은 이메일 비밀번호를 아는 사람이 한 명만 있어도 사생활이 무방비 상태에 노출되는 것이다”라고 무어헤드는 강조했다.

이메일은 누구나 볼 수 있다
기업이나 단체에서 발송하는 이메일의 경우도 아무도 보지 않는다고 생각해선 안 되며 반드시 보안에 주의를 기울여야 한다.

“업무상 이메일을 보낼 때는 반드시 누군가가 당신의 메일을 볼 수 있거나 이미 보고 있다는 가정 하에 행동하라”고 무어헤드는 충고했다. “대부분 기업들은 회사 규칙에 맞지 않는 욕설이나 부적절한 사진이 들어간 이메일을 걸러내는 필터링 시스템을 갖추고 있다.”

존스는 또 불법적인 이메일을 보내는 사람들은 상당히 쉽게 적발될 수 있다고 지적했다.

“불륜을 저지를 때는 문자메시지를 사용할 수도 있지 않은가”라고 존스는 덧붙였다. “내가 불륜을 저지른다면, 이메일보다는 문자 메시지를 활용하겠다. 문자 메시지 보존 기간은 매우 짧아서 고작해야 몇 일 후면 기록이 사라진다. 바람을 피우거나 누군가를 협박하려 한다면 이메일은 그다지 좋은 수단은 아니다”라고 그는 말했다. ciokr@idg.co.kr