[김익현의 미디어 읽기] '코로나19 스타' 줌은 왜 '보안 문제아' 취급을 받나

“자고 일어나니 유명해졌다.”

영국 시인 존 바이런이 남긴 말이다. 1812년 ‘해럴드 공자의 순례기’란 시집을 발간한 뒤 갑자기 스타로 떠오르자 이런 명언을 남겼다. 조각 같은 미남이었던 바이런은 당시 유럽을 뒤흔든 '아이돌 시인'이었다.

최근 바이런의 이 말에 가장 어울리는 기업이 미국 화상회의시스템 전문기업인 줌(Zoom)이다. 줌은 2011년 중국계 미국인 에릭 유안이 설립한 기업이다.

그 동안 줌은 화상회의 시스템 분야에서 차근차근 성장해 왔다. 하루 이용자 1천만 명에 이를 정도로 탄탄했다. 지난 해엔 나스닥 상장에도 성공했다. 탄탄한 중소기업이었다.

그런데 코로나19 이후 갑자기 상황이 달라졌다. 사회적 거리두기와 원격교육 바람에 힘입어 하루 이용자 2억 명 수준으로 늘어났다. 순식간에 이용자 수가 20배 증가했다. 바이런 표현대로 “자고 일어나니” 유명해졌다.

그 때부터 시련이 끊이지 않았다. 보안과 사생활 침해 구설수에 휘말렸다. 화면 공유 기능을 이용해 수업이나 회의를 중단시키는 '줌 폭격(Zoom bombing)' 사례가 보고되기도 했다. 문제 하나를 해결하면, 또 다른 곳에서 논란이 제기됐다. 졸지에 ‘보안과 사생활 보호 개념이 없는 기업’이란 낙인이 찍혔다.

중국계 CEO가 이끄는 기업이란 점 때문에 불필요한 오해를 받기도 한다.

■ 순식간에 이용자 20배 증가…곳곳에서 허점 드러나

줌을 둘러싼 논란이 끊이지 않고 있다. 왜 그럴까? 여기선 크게 두 가지 쟁점만 따져보려고 한다.

첫째. 줌은 정말로 보안이나 사생활 보호 개념이 희박한 기업일까?”

둘째. 미국 주요 기업이나 기관이 줌 사용을 금지한 건 (일부 언론 보도대로) ‘중국 기업’이기 때문일까?

정확한 사정은 알 수 없다. 하지만 지금까지 드러난 것만 보면 ‘그렇다’고 하긴 쉽지 않아 보인다. 오히려 ‘자고 일어나니 유명해진’ 기업이나 사람들이 흔하게 겪는 시련에 가까운 것 같다.

줌 보안 논란이 처음 터진 것은 3월 중순이었다. 줌 iOS앱이 이용자 데이터를 페이스북에 전송한다는 내용이었다. IT매체 마더보드가 단독 보도하면서 알려졌다. 줌은 보도 다음날 바로 해당 기능을 삭제하고 사과했다.

곧이어 윈도에서 줌을 쓸 때 패스워드 보안이 취약하다는 보도가 또 나왔다. 전직 해커가 밝혀낸 내용이었다.

하지만 결정타는 과도한 홍보 문구였다. 줌은 그 동안 사이트에 ‘종단간 암호화(end-to-end encryption)’를 하고 있다고 강조해 왔다. 이 말은 A와 B 두 사람이 주고 받는 각종 자료는 완전 암호화돼 있기 때문에 중간에 누구도 볼 수 없다는 의미로 이해됐다. 설명대로라면 시스템 운영업체인 줌 조차 볼 수가 없다.

그런데 이게 사실과 다르다는 주장이 제기됐다. 탐사보도 전문매체인 인터셉트가 밝혀낸 내용이다. 줌도 이 사실을 인정했다.

줌이 사용하는 것은 ‘전송 암호화(transport encryption)’ 수준이라고 해명했다. 외부인이 전송 중인 영상이나 통화를 도중에 엿볼 수 없는 수준이다. 바꿔 말하면 서비스업체인 줌은 중간에 끼어들 수도 있다는 얘기다.

외신 보도를 종합해보면 줌이 ‘고의로’ 속인 것 같진 않다. ‘종단간 암호화’란 용어를 너무 쉽게 사용한 느낌이 더 강하다. 그럼에도 불구하고 이 문제는 줌에겐 큰 악재가 됐다. 이용자 입장에선 엄청난 배신감을 느낄 수밖에 없기 때문이다.

이런 상황에서 ‘전송 우회’ 논란이 터졌다. 일부 이용자의 화상회의 데이터가 중국 서버를 거쳐서 전송됐다는 사실이 또 드러난 것이다. 줌은 이번에도 “실수로 그런 일이 발생했다”고 해명했다.

에릭 유안 CEO의 설명은 이렇다.

“줌은 고객들을 가장 가까운 데이터 센터로 연결해준다. 그런데 이용자가 폭주하거나 다른 문제가 발생할 경우엔 제2의 데이터센터로 인도한다.”

쉽게 설명하면 이렇다. 북미 지역 이용자는 북미 지역에서 머물게 된다. 유럽 이용자는 유럽 내 데이터센터를 이용하고. 이 방식을 줌은 ‘지오펜스’라 칭하고 있다. 중국 데이터센터를 경유한 건 ‘미국’이나 유럽지역에 트래픽이 몰린 때문이다. 줌은 이후 중국 외 사용자와 중국 데이터센터가 연결되지 않도록 조치를 취했다고 밝혔다.

■ '종단간 암호화' 문제가 결정적…과잉홍보 유탄 맞은 셈

문제는 연이어 터진 두 가지 상황이 조금 심각하게 받아들여질 수도 있다는 점이다.

우선 줌은 ‘종단간 암호화’로 한 차례 거짓말을 했다. 의도한 건 아니지만, 결과적으로 그렇게 됐다. 이런 상황에서 중국 데이터센터를 경유하는 트래픽이 발견됐다. 하필 세계에서 가장 국가 검열이 심한 나라다. ‘종단간 암호화’가 확실하게 됐더라면 문제가 되지 않았을 수도 있다.

그런데 ‘전송 암호화’ 수준이라면 얘기가 달라진다. 중국 정부가 줌을 압박해 중간에서 데이터를 가로챌 수도 있기 때문이다.

이런 점 때문에 줌은 최근 ‘엉터리 보안’에 ‘못 믿을 기업’으로 낙인 찍히게 됐다.

물론 줌도 억울할 순 있다. 의도한 거짓말은 아닐 수도 있기 때문이다. 웬만한 사이트는 갑자기 트래픽이 20배 늘어나면 혼란에 빠지기 쉽다.

화상회의 앱 줌이 설명한 보안방식. 종단간 암호화와는 거리가 멀다. (사진=줌)

그럼에도 불구하고 ‘줌의 시련’은 자초한 측면이 적지 않아 보인다. ‘종단간 암호화’ 같은 민감한 용어를 너무 쉽게 사용했기 때문이다.iOS 앱이 페이스북에 데이터를 전송해서 문제가 된 부분도 마찬가지다. 충분히 문제가 될 부분을 방치한 측면이 있다. 줌은 사건 발생 직후 "개인정보를 보낸 건 없고, 사용 기기 같은 정보만 전송했다"고 해명했지만 이용자들이 쉽게 받아들일 수 있는 설명은 아니었다. 오히려 케임브리지 애널리티카 악몽만 되살렸다.

■ '유니콘' 꿈꾸는 많은 기업들에겐 훌륭한 반면교사

과도한 비유란 비판을 무릅쓰고 얘기를 이어가 보자.

하루 아침에 스타가 됐다. 갑자기 무대 맨 중앙에 서게 됐다. 그저 그런 수준일 때는 그냥 넘어갈 수도 있었던 온갖 구설수가 쏟아졌다. 시선이 집중되면서 실수가 반복됐다. 갑자기 달아오른 사랑은, 상황이 달라지면 더 심한 미움으로 바뀔 수도 있다.

지금 줌이 딱 그런 상황이다. 과연 이런 위기를 어떻게 타개할까? 그게 '자고 일어나니 유명해진' 줌 앞에 놓여진 과제다.

줌은 보안 문제가 불거진 뒤에도 우왕좌왕하는 모습을 보였다. 선제적으로 대응하지 못하고 늘 뒷북을 쳤다. '새로운 허점 발견→후속 조치→CEO 사과' 공식이 반복됐다. 그러다보니 중요한 일을 맡기기엔 미덥지 않은 기업이란 이미지가 생기고 말았다.

이런 줌의 모습은, '유니콘 기업'을 꿈꾸면서 준비하고 있는 이 땅의 많은 기업들에게도 반면교사가 될 수 있을 것 같다.

[덧글]