CBC 뉴스가 대규모 데이터 유출의 규모를 보도한 다음 날, 온타리오의 최소 6개 경찰 부서가 크라임 스토퍼스 프로그램 사용을 중단했다. 이번 중단은 크라임 스토퍼스 데이터 유출 익명성 논쟁에서 제기된 핵심 질문을 부각시킨다. 프라이버시 보장을 약속하며 만들어진 서비스 자체가 침해당하면 어떻게 되는가?

아래 내용은 지금까지 보도된 범위로 한정된다. 상황은 여전히 진화 중이며, 독자들은 경찰 당국과 프로그램 측의 업데이트를 주시해야 한다.

온타리오 경찰이 크라임 스토퍼스를 중단한 이유

CBC 뉴스에 따르면, 현재 온타리오의 최소 6개 경찰 부서가 크라임 스토퍼스 사용을 중단했다. 이번 중단은 방송사가 프로그램과 관련된 데이터 유출의 규모에 대한 자체 조사를 발표한 지 하루 만에 이루어졌다. 해당 보도에 앞서 나온, 검색 결과에서 확인되는 기사에 따르면 지난 25년간 캐나다에서 크라임 스토퍼스에 제출된 100만 건 이상의 제보가 노출되었다.

중단은 예방적 조치다. 그 자체로 유출이 어떻게 발생했는지, 누가 데이터를 갖고 있는지, 또는 각 기록에 정확히 무엇이 담겨 있는지를 알려주지는 않는다. 제보 채널을 중단하는 경찰 당국은 일반적으로 현재 해당 채널을 이용하는 사람들의 안전을 보증할 수 없다는 신호를 보내는 것이다.

공공의 신뢰에 의존하는 프로그램에게 이 신호는 중요하다. 전화하거나 온라인으로 제보를 제출하는 사람들은 종종 이웃, 지인, 또는 두려워하는 사람들을 신고한다. 자신의 신원이 드러날 수 있다고 생각하면 많은 사람들이 그냥 침묵할 것이다.

익명 제보 라인이 익명이 아니게 되는 방법

익명성은 입구에서 하는 약속이지만, 데이터는 종종 다른 곳에 존재한다. 많은 제보 프로그램이 제출물을 접수, 저장, 경찰로 전달하기 위해 제3자 플랫폼에 의존한다. 즉, 제보자의 프라이버시는 라인을 홍보하는 경찰 당국뿐 아니라 공급업체의 보안에 달려 있다.

사람이 이름을 전혀 입력하지 않더라도 여러 가지가 익명성을 훼손할 수 있다:

  • 자유 텍스트 세부 정보. 특정 사건, 시간, 관계를 설명하는 제보는 그것을 알 수 있었던 한 사람을 가리킬 수 있다.
  • 기술적 메타데이터. 플랫폼에 따라 제출물이 IP 주소나 기기 정보 같은 세부 정보와 연결될 수 있다. 그 여부는 서비스와 구성에 따라 다르다.
  • 장기 보존. 수년간 보관된 데이터는 노출될 수 있는 기간을 더 크게 만든다. CBC가 설명한 유출은 보도에 따르면 25년치 제보에 걸쳐 있다.
  • 후속 연락 채널. 제보자가 업데이트나 보상을 받기 위해 이메일 주소나 전화번호를 제공하면, 그 연락처 정보는 또 하나의 식별 데이터가 된다.

침해 사고는 이 모든 것을 하나의 검색 가능한 풀로 만든다. 이름이 수집되지 않았더라도 내용 속 패턴을 통해 다른 사람들이 누가 무엇을 말했는지 알아낼 수 있다.

이는 또한 대규모 제3자 침해 사고에서 익숙한 패턴으로, 공격자들이 각 고객을 개별적으로 노리는 대신 공유 서비스를 표적으로 삼는 경우다. 165개 기관 클라우드 해킹 사건의 유죄 인정에 대한 우리의 보도는 단일 접근 지점이 어떻게 여러 기관에 동시에 파급될 수 있는지 보여준다.

제보 및 신고 서비스가 당신에 대해 수집하는 것

모든 서비스가 같은 정보를 수집하는 것은 아니며 정책도 동일하지 않다. 다른 국가의 범죄 제보 프로그램 공개 프라이버시 페이지는 익명을 유지하려는 개인의 선택을 존중하겠다는 약속을 설명하며, 일부는 IP 주소나 위치를 추적하지 않는다고 명시한다. 이는 정책에 대한 진술이다. 읽어볼 가치는 있지만, 기반 시스템의 침해를 막아주는 보장은 아니다.

어떤 제보 또는 신고 서비스를 이용할 때는 그것이 무엇을 수집할 수 있는지 고려하라:

  • 이름, 장소, 날짜를 포함한 메시지 내용
  • 후속 연락이나 보상을 선택한 경우 연락처 정보
  • 연결이나 기기에서 생성되는 기술 정보
  • 내장 데이터를 포함할 수 있는 사진 등의 첨부 파일
  • 제출 시점과 방법에 대한 기록

CBC 보도에 따르면 제보자들은 플랫폼이 익명이고 안전하다는 말을 들었다. 교훈은 모든 제보 라인이 안전하지 않다는 것이 아니라, 라벨만으로는 데이터가 어떻게 처리, 저장, 보호되는지 알 수 없다는 것이다.

온라인으로 제보할 때 노출을 제한하는 방법

서비스의 보안을 통제할 수는 없지만, 무엇을 넘길지는 통제할 수 있다.

  • 먼저 프라이버시 정책을 읽어라. 무엇이 수집되는지, 얼마나 오래 보관되는지, 누가 처리하는지 확인하라.
  • 필요한 것만 공유하라. 신고에 필수적이지 않다면 당신만 알 수 있는 세부 정보는 피하라.
  • 선택적 연락처 정보는 건너뛰어라. 보상이나 회신이 필요 없다면 해당 항목을 비워두라.
  • 첨부 파일 메타데이터를 제거하라. 사진과 문서에는 위치나 기기 세부 정보가 포함될 수 있다. 가능하면 제거하라.
  • 채널을 고려하라. 특정 프로그램이 중단된 경우, 대체 신고 방법에 대한 지역 경찰 당국의 안내를 따르라.
  • 프라이버시 도구를 신중히 사용하라. VPN은 방문하는 웹사이트로부터 IP 주소를 숨길 수 있지만, 제보 자체에 작성한 내용을 보호하거나 서비스의 데이터베이스를 안전하게 만들 수는 없다.

이것이 당신에게 의미하는 것

과거에 크라임 스토퍼스에 제보를 제출한 적이 있다면, 무엇을 포함했는지 그리고 그것이 당신을 식별할 수 있는지 묻는 것이 합리적이다. 보도는 아직 개별 제보자에게 무엇이 노출되었는지 명시하지 않았으므로, 최악의 상황을 가정하지도 말고, 당신이 안전하다고 가정하지도 말라. 지역 경찰 당국과 프로그램의 공식 발표를 주시하라.

지금 긴급하거나 위험한 일을 신고해야 한다면, 응급 서비스에 연락하거나 지역 경찰의 안내를 따르라. 프로그램 중단이 긴급 상황에서 도움을 구하는 것을 막아서는 안 된다.

핵심 요점

크라임 스토퍼스 데이터 유출 익명성 사건은 프라이버시 약속이 그것을 뒷받침하는 시스템만큼만 강력하다는 것을 일깨워준다. 어떤 제보 또는 신고 서비스에 정보를 제출하기 전에, 그것이 어떤 식별 데이터를 수집하는지, 얼마나 오래 보관하는지, 선택 항목을 비워둘 수 있는지 검토하라. 최소한으로 필요한 것만 공유하고, 메시지 내용이 잠재적으로 당신을 식별할 수 있다고 간주하라.

대규모 제3자 데이터 침해가 어떻게 발생하는지에 대한 맥락은 165개 기관 클라우드 해킹 사건에 대한 우리의 보고서를 읽어보라.