중앙아시아와 라틴아메리카에서 러시아 감시 기술 배포 추적

요약:

중앙아시아와 라틴 아메리카의 여러 국가들은 러시아의 첩보 수사 시스템(SORM, System for Operative Investigative Activities)을 기반으로 디지털 감시 역량을 구축하고 있으며, 이는 러시아의 감시 기술이 러시아 근접 해외와 동맹국 사이에서 확산되었음을 나타냅니다. Insikt Group은 최소 8개의 SORM 제공업체가 이 지역으로 수출하고 있으며, 최소 15개의 통신 회사가 고객일 가능성이 높다는 증거를 발견했습니다. Citadel, Norsi-Trans, Protei와 같은 러시아 최대 SORM 제공업체들은 아프리카, 라틴 아메리카, 중동 전역에 수출하고 무역 박람회에 참가하면서, 전 세계로 확장하려는 노력을 기울이고 있습니다. 이러한 시스템이 합법적인 보안 용도로 사용될 수도 있지만, 이 보고서에 언급된 정부들은 효과적이거나 독립적인 감독 없이 정치적 반대파, 언론인, 활동가를 탄압하는 등 감시 기능을 오용한 전력이 있습니다. SORM은 서비스 제공업체가 모르는 사이에 당국이 광범위한 인터넷 및 통신 트래픽을 감청할 수 있도록 하여 감시 운영의 투명성과 감독을 감소시키고 악용 가능성을 증가시킵니다. 이들 국가에서 운영 중이거나 물리적 사업장을 설립하려는 기업은 감시 위험을 평가하고, 현지 법률이 허용하는 범위 내에서 암호화 및 VPN과 같은 개인정보 보호 도구를 채택하여 민감한 통신이 감청되는 것을 방지해야 합니다.

SORM이란 무엇입니까?

러시아의 SORM은 모든 통신 및 ISP 회사가 엄격한 정부 감독하에 모니터링 장비를 설치해야 하는 러시아 연방의 전자 감시 체계를 뒷받침합니다. 보안 및 정보 서비스는 감청 관련 정보에 액세스할 권한이 없는 서비스 제공업체를 우회하면서, 설치된 장비를 통과하는 통신 트래픽에 직접 액세스할 수 있습니다. SORM은 유선 및 모바일 통신 감청에서 인터넷 트래픽, Wi-Fi, 소셜 미디어 모니터링으로 발전했으며, 최신 버전(SORM-3)에서는 트래픽 및 가입자 메타데이터를 수집하고 검색 가능한 데이터베이스에 장기적으로 저장할 수 있습니다. 이 시스템을 통해 법 집행 기관과 보안 서비스는 전화번호, 지리적 위치, IP 주소, 사용자 이름과 같은 식별자로 데이터를 필터링할 수 있으며, 이는 모두 규정 준수를 의무화하는 법적 프레임워크에 의해 지원됩니다. 통신 및 인터넷 인프라에 SORM이 통합됨에 따라, 잠재적 감청이 용이해지고 감시 작업의 가시성이 감소하며, 특히 감독이 제한적이거나 없는 국가에서 남용의 위험이 증가하고 있습니다.

러시아 정부의 접근 위험성

러시아산 부품을 사용하는 SORM 기반 감시 시스템을 해외에 배치하면, SORM 제공업체와 러시아 정부 간의 긴밀한 관계 및 이러한 시스템을 통해 가로챈 정보의 높은 가치를 고려할 때 러시아의 접근 위험이 초래될 가능성이 큽니다. 모스크바가 수출된 SORM 기술에 접근할 수 있다는 추정을 뒷받침하는 이전의 사례들이 있으며 그 한 예가 Kaspersky 수출 악용 의심 사례입니다. 2024년 6월, 미국 상무부 산업안보국(BIS)은 국가 안보에 대한 '용납할 수 없는' 위험 요소를 이유로 Kaspersky Lab이 미국 내 또는 미국인에게 기술 및 서비스를 제공하는 것을 금지했습니다. SORM 제공업체에도 비슷한 우려가 있으며, 그중 한 예로 러시아 보안 서비스, 특히 연방보안국(FSB) 및 블라디미르 푸틴 대통령 측근의 소수 권력층과 연계되어 있는 Citadel이 있습니다. Citadel이 러시아 SORM 시장 통합에서 주요 역할을 맡고 있다는 점은 러시아 정부와 연결되었을 가능성을 시사합니다. 특히 카자흐스탄과 키르기스스탄은 러시아 제조업체가 해외에 배포된 시스템에 대한 액세스를 유지했다는 증거를 제시하며 SORM 장비의 백도어에 대한 우려를 제기했습니다.

완화 조치

SORM 기반 시스템을 사용하는 국가에서 운영하는 기업은 평판이 좋은 암호화 도구로 온라인 통신을 보호하고, 해당 국가의 최상위 도메인을 사용하는 호스팅 서비스는 피하며, 출장 중 민감한 기업 데이터에 대한 접근을 제한하거나 제거하고, 출장자에 대한 악의적인 오용 증거에 중점을 두어 국가의 디지털 및 물리적 감시 역량에 대한 포괄적인 평가를 수행함으로써 감청 위험을 완화해야 합니다.

이 보고서에서 Insikt Group은 기업이 SORM의 맥락에서 데이터 개인정보 및 감시 위험을 평가하는 데 사용할 수 있는 지표 목록을 제공했습니다. 이러한 요소 중 어느 것도 특정 국가가 SORM을 사용한다는 것을 보장하지는 않지만, 여러 지표가 존재하면 국가 감시 위험이 높다는 것을 나타냅니다. 이러한 지표에는 알려진 러시아 SORM 제공업체로부터의 수입, SORM과 유사한 감청 기술 설치를 요구하는 법률, 러시아 SORM 제공업체와의 공동 통신 프로젝트, 통신 인프라에 대한 국가 통제, 침입적이거나 악의적인 감시에 대한 보고, 암호화 기술에 대한 제한이 있습니다. Recorded Future의 Country Risk 기능은 이러한 위험을 평가하기 위해 정기적으로 업데이트되는 분석 및 완화 지침을 제공합니다.

전망

주요 SORM 제공업체의 마케팅 자료와 무역 박람회 참가를 보면, 이러한 조직들은 해외 확장 기회를 계속해서 모색할 가능성이 매우 높습니다. 러시아와 긴밀한 관계를 유지하는 국가들, 특히 사이버 보안이나 정보 협력 또는 통신 분야 공동 프로젝트의 역사를 가진 국가들은 러시아 공급업체로부터 디지털 감시 구성 요소를 계속 조달할 가능성이 높습니다. 이러한 지역에서 SORM가 배포되면 데이터 보안 위험을 계속 야기할 가능성이 높으며, 특히 정부 감시가 취약한 곳일수록 더욱 그러합니다. 더 넓게 보면, 러시아의 감시 기술 수출에 따른 결과로 잠재적 접근 정도는 불분명해도, 모스크바는 특히 '근접 해외'에서 영향력을 확대하고 잠재적으로 정보 수집 능력을 강화할 기회를 계속 얻게 될 것입니다.

전체 분석 내용을 읽으려면 여기를 클릭하여 PDF 보고서를 다운로드하세요.