암호화 백도어 논쟁은 끝났습니다 — 이제 정부는 '해킹'으로 들어옵니다

10년 넘게 이어진 논쟁이 하나 있습니다. 정부가 암호화에 백도어를 넣어야 하느냐는 문제인데요. 결론부터 말하면 이 싸움에서 기술 진영이 사실상 이겼습니다. 그런데 이겼는데도 프라이버시가 나아진 것 같지 않다는 게 문제입니다. 존스홉킨스대 암호학자 매튜 그린(Matthew Green)이 오랫동안 지적해온 지점이 바로 여기입니다. 정부는 문을 열어달라고 요구하는 대신, 벽을 뚫는 법을 배웠습니다.

먼저 한 가지 짚고 갑니다. 이번 주제는 커뮤니티 반응을 폭넓게 모으기가 어려웠습니다. 최근 30일 사이 레딧에서 이 주제를 직접 다룬 스레드를 찾지 못했고, X 데이터도 인증 문제로 확보하지 못했습니다. 그래서 이번 글은 실시간 반응 요약이라기보다, 지난 10여 년간 쌓인 사건들과 그린이 반복해서 던져온 논지를 정리하는 쪽에 가깝습니다. 숫자로 된 커뮤니티 지표를 기대하셨다면 미리 양해를 구합니다.

“Going Dark"라는 말이 어디서 나왔나

Going Dark는 미국 FBI가 2010년대 초부터 밀어온 프레임입니다. 직역하면 “어두워진다"인데, 수사기관이 영장을 받아도 내용을 볼 수 없게 되는 상황을 뜻합니다. 통신은 늘어나는데 감청은 안 된다는 거죠.

발단은 스마트폰 기본 암호화였습니다. 애플이 2014년 iOS 8부터 기기 잠금해제 없이는 자사도 데이터를 꺼낼 수 없게 만들었고, 구글도 뒤따랐습니다. 왓츠앱은 2016년 전체 사용자에게 엔드투엔드 암호화를 켰습니다. 시그널 프로토콜이 사실상 업계 표준이 된 것도 이 무렵입니다.

수사기관 입장에서는 갑자기 벽이 생긴 셈입니다. 그래서 나온 요구가 “예외적 접근(exceptional access)“이었습니다. 합법적 영장이 있을 때만 열리는 특별한 열쇠를 만들어달라는 것이었죠.

암호학자들이 이 요구를 거부한 이유

여기서 그린을 포함한 암호학자들의 답은 일관됐습니다. 그런 열쇠는 만들 수 없습니다.

기술적 이유는 단순합니다. 암호 시스템에 “좋은 사람만 통과하는 문"을 만드는 방법이 없기 때문입니다. 수학은 요청자의 신분증을 확인하지 않습니다. 열쇠가 존재하면 그 열쇠는 훔칠 수 있고, 복제할 수 있고, 강요로 얻어낼 수 있습니다.

2015년 그린을 비롯한 15명의 저명 보안 연구자들이 발표한 “Keys Under Doormats” 논문이 이 논지를 정리했습니다. 문 앞 매트 밑에 열쇠를 숨겨두는 것과 같다는 비유였습니다. 우리 집 열쇠 위치를 아는 사람이 우리만은 아니게 된다는 거죠.

실제 사례도 쌓였습니다. 2004년부터 2005년까지 그리스에서 벌어진 이른바 아테네 사건이 대표적입니다. 통신사 장비에 내장된 합법 감청 기능이 침해돼 총리를 포함한 100여 명이 도청당했습니다. 감청용으로 만든 통로를 정체불명의 제3자가 썼습니다. 2024년 미국에서 드러난 솔트 타이푼(Salt Typhoon) 사건도 비슷한 구조였습니다. 중국계로 지목된 공격 그룹이 미국 통신사의 합법 감청 인프라에 침투했다는 보도가 나왔습니다.

정리하면 이렇습니다. 백도어를 만들면 결국 적국 정보기관이 그 문을 씁니다. 이 논거가 정책 논쟁에서 상당한 무게를 갖게 됐습니다.

그래서 정부는 다른 길을 찾았습니다

2016년 샌버너디노 총격 사건 때 FBI는 애플에 iPhone 잠금해제 도구를 만들라고 법원 명령을 요구했습니다. 애플은 거부했고, 법정 다툼이 예고됐습니다.

그런데 재판은 열리지 않았습니다. FBI가 갑자기 소송을 취하했거든요. 이유는 제3자에게서 해킹 도구를 샀기 때문이었습니다. 이 한 장면이 다음 시대를 예고했습니다. 법으로 문을 열게 하는 대신, 돈으로 취약점을 사서 직접 들어가는 방식입니다.

이후 벌어진 일들을 보면 흐름이 분명합니다. 이스라엘 NSO그룹의 페가수스(Pegasus)가 클릭 한 번 없이도 iPhone에 침투했습니다. 2021년 국제 탐사보도 컨소시엄이 공개한 페가수스 프로젝트에서는 잠재적 표적으로 지목된 전화번호 5만여 개가 목록에 올랐습니다. 언론인, 인권 활동가, 정치인이 포함됐습니다.

이스라엘 캔디루, 이탈리아 해킹팀, 최근 몇 년간 이름이 오르내린 인텔렉사/프레데터까지 시장은 계속 커졌습니다. 미국 상무부는 2021년 NSO그룹과 캔디루를 수출 통제 목록에 올렸고, 2023년 바이든 행정부는 상업용 스파이웨어 사용을 제한하는 행정명령에 서명했습니다. 애플은 2021년 NSO그룹을 제소했고, 취약한 사용자를 위한 잠금 모드(Lockdown Mode)를 내놨습니다.

규제와 소송이 이어졌다는 건 그만큼 시장이 실재한다는 뜻입니다. 이게 그린이 말하는 요점입니다. 암호화 논쟁이 끝난 자리에 정부 해킹이라는 산업이 들어섰습니다.

백도어보다 나은가, 더 나쁜가

여기서 흥미로운 반론이 나옵니다. 오히려 해킹이 낫지 않냐는 겁니다.

논리는 이렇습니다. 백도어는 모든 사용자를 동시에 약하게 만듭니다. 반면 특정 기기 해킹은 표적을 정해 접근합니다. 전체 시스템의 보안을 낮추지 않으니 덜 나쁘다는 주장이죠. 실제로 일부 법학자와 정책 연구자가 “예외적 접근보다 정부 해킹이 프라이버시 침해가 적다"는 취지의 논문을 내기도 했습니다.

그린 계열의 반박은 세 가지입니다.

첫째, 취약점은 소진되지 않습니다. 정부가 제로데이를 사서 쓰려면 그 취약점이 패치되지 않은 상태로 남아야 합니다. 수사기관의 이익과 모든 사용자의 보안이 정면으로 충돌하는 셈입니다. 우리 모두가 취약한 상태여야 수사가 가능한 구조입니다.

둘째, 감독이 훨씬 약합니다. 백도어 논쟁은 최소한 공개적이었습니다. 의회가 다루고 법원이 판단하고 언론이 보도했습니다. 반면 익스플로잇 구매는 계약과 예산 항목 뒤에 숨습니다. 무엇을 샀는지, 몇 명에게 썼는지 외부에서 확인하기 어렵습니다.

셋째, 확산을 막을 수 없습니다. 취약점 시장은 국경이 없습니다. 민주주의 국가가 사는 도구를 권위주의 정부도 삽니다. 페가수스 사례에서 반복해 확인된 패턴입니다. “우리 정부만 쓰는 도구"라는 전제가 성립하지 않습니다.

기술 커뮤니티에서 이 논의가 나올 때마다 갈리는 지점이 여기입니다. 표적 해킹의 원리적 정당성을 인정하는 쪽과, 실행 과정에서 반드시 남용된다고 보는 쪽이 부딪힙니다. 개인적으로는 후자 쪽 근거가 더 두텁다고 봅니다. 지난 10년간 나온 사례 대부분이 “표적 수사"가 아니라 언론인과 활동가 감시였기 때문입니다.

2026년의 전선은 어디인가

논쟁은 아직 안 끝났습니다. 형태만 바뀌었습니다.

유럽에서는 아동 성착취물 탐지를 명분으로 한 이른바 채팅 컨트롤(CSAR) 규정이 몇 년째 표류 중입니다. 기기 안에서 메시지를 미리 스캔하는 클라이언트 사이드 스캐닝이 핵심 쟁점인데요. 암호화를 깨지 않고 암호화 이전 단계에서 본다는 발상입니다. 그린을 포함한 연구자들은 이것도 결국 백도어라고 봅니다. 스캔 대상 목록을 누가 정하는지, 그 목록이 확대되지 않는다는 보장이 무엇인지가 답이 없기 때문입니다.

영국은 온라인 안전법(Online Safety Act)에 유사한 권한을 넣어뒀습니다. 시그널과 왓츠앱은 요구가 강제되면 영국에서 서비스를 접겠다는 입장을 밝힌 바 있습니다. 2025년 초에는 영국이 애플에 아이클라우드 암호화 백도어를 요구했다는 보도가 나왔고, 애플은 영국에서 고급 데이터 보호 기능을 아예 내리는 것으로 대응했습니다.

동시에 AI가 새 변수로 들어왔습니다. 취약점 탐색 자동화가 빨라지면 익스플로잇 공급이 늘어납니다. 반대로 방어 측도 같은 도구를 씁니다. 어느 쪽이 더 이득을 보는지는 아직 결론이 안 났습니다. 다만 취약점 발굴 비용이 내려가면, 지금까지 국가급 예산이 필요했던 능력이 더 낮은 문턱으로 내려온다는 건 분명합니다.

그래서 우리는 무엇을 봐야 하나

암호화 자체는 지켜졌습니다. 시그널은 여전히 안전하고 왓츠앱 메시지는 여전히 서버에서 읽히지 않습니다. 문제는 엔드포인트입니다. 메시지가 아무리 튼튼하게 암호화돼도 화면을 보는 기기가 뚫리면 그만이니까요.

그래서 앞으로 봐야 할 질문은 “암호화를 지킬 것인가"가 아니라 “정부 해킹을 어떻게 통제할 것인가"입니다. 누가 어떤 절차로 승인하는지, 표적이 몇 명인지 사후에 공개되는지, 알려진 취약점을 언제 벤더에 알려야 하는지 같은 규칙이 필요합니다. 미국에는 취약점 공개 절차(VEP)라는 게 있지만 실효성 논란이 계속 있습니다.

한 가지 더. 이 논쟁은 대부분 미국과 유럽 기준으로 진행됐습니다. 한국에서도 통신 감청과 디지털 증거 확보를 둘러싼 논의가 있지만, 정부가 어떤 해킹 역량을 어떤 절차로 쓰는지에 대한 공개 논의는 상대적으로 얕습니다. 백도어 없는 시대의 감시가 어떤 모습인지 먼저 겪은 나라들의 사례를 참고할 이유가 여기 있습니다.

기술로 이긴 싸움이 정책으로 되돌아오는 걸 우리는 지금 보고 있습니다. 여러분은 어느 쪽이 덜 위험하다고 보시나요. 모두가 조금씩 약해지는 백도어인가요, 아니면 소수가 완전히 뚫리지만 감독은 흐릿한 해킹인가요.