NYT 기밀정보 평가에 정통한 美관리 인용 보도
가입자에 날씨 예보 제공한다며 위치 정보 추적
음성·사진·친구 이름도 탐지… 종말 암호화 안해인기 메시지 앱인 토톡(ToTok)이 아랍에미리트(UAE) 정부를 위해 가입자의 대화와 이동, 관계, 약속, 음성과 사진까지 추적하는 감시도구라고 뉴욕타임스가(NYT)가 기밀정보 평가에 정통한 미국 관리들의 말을 인용해 22일(현지시간) 보도했다.

보도에 따르면 수개월 전에 나온 토톡은 중동, 유럽, 아시아, 아프리카와 북미 등 전세계의 스마트폰 이용자 수백만명이 애플 및 구글 앱스토어를 통해 내려받아 설치했다. 토톡 이용자 대다수는 UAE 국민이지만 지난주 미국에서 가장 많이 내려받은 소셜 앱이라고 NYT가 연구기관 앱 평가사 등을 인용해 전했다.

토톡은 부유한 권위주의 정부에서 ‘디지털 군비 경쟁’에 해당한다. 각국 정부는 외국의 적, 범죄자 및 테러리스트 조직망, 기자들과 비평가들을 감시할 더 효과적이고 편리한 방법을 추구하고 있다.

사우디아라비아와 UAE, 카타르와 같은 페르시아 만 국가들은 과거엔 이스라엘과 미국 하청기업들 포함해 사기업에 경쟁자와 자국민을 해킹하도록 했다. 하지만 토톡의 개발로 이들 정부는 중간 단계를 생략하고, 의도하지는 않았지만 자발적으로 자신의 정보를 넘겨주는 가입자들을 표적으로 직접 감시할 수 있게 됐다는 것이 전문가들의 진단이다.

컴퓨터 보안 전문가의 기술 분석과 인터뷰에 따르면 토톡 배후의 회사는 ‘브리지 홀딩스’인데 이는 아부다비에 있는 사이버 정보 및 해킹 회사인 ‘다크 매터’의 연관 기업으로 추정된다. 다크 매터에는 UAE 정보 관리들, 전직 국가 안전기구 직원들. 전직 이스라엘 군사 정보 요원들이 일하고 있다. 법집행 당국 관리에 따르면 다크 매터는 사이범 범죄를 저질렀을 가능성으로 현재 미국 연방수사국(FBI)의 조사를 받고 있다.

미국 정보평가 및 기술 분석에 따르면 토톡은 또 다크 매터와 연결된 것으로 보이는 아부다비에 있는 데이터 채굴 기업인 팩스 에이아이(Pax AI)와도 연결돼 있다. 팩스 에이아이의 본사는 최근까지 다크 매터가 있었던 아부다비의 같은 빌딩에서 활동했다. 이는 팩사 에이아이가 에미리트의 정보 기구임을 시사한다는 NYT가 전했다.

UAE는 와츠앱과 스카이페와 같은 특정 기능의 앱을 차단하면서 토톡이 이 나라에서 특히 인기 높게 만들었다. 중동에서 활동하는 한 디지털 보안 전문가는 UAE 고위 관리가 자신에게 토톡은 국내외 이용자들을 추적하기 위해 개발된 앱이라고 말했다고 설명했다.

토톡은 정확한 날씨 예보를 제공한다며 사용자의 위치를 추적한다. 또 가입자가 앱을 작동할 때마다 친구들과의 연결을 돕는다는 구실로 새로운 접촉을 추적한다. 이는 인스타그램이 페이스북 친구들을 보여주는 것과 마찬가지다. 가입자의 음성 전화, 카메라, 달력 그리고 전화에 보관된 다른 데이터에 접근한다. 심지어 중국 인기 앱인 틱톡을 띄우면 이름도 나온다.

토톡은 “빠르고 안전하다”고 홍보하지만 와츠앱이나 시그널, 스카이페처럼 종말 암호화를 하지 않고 있다.

토톡은 “여러분 개인 정보 데이터는 그룹의 다른 회사들과 공유할 수 있다”는 경고가 개인 정보 유출을 시사하는 유일한 알림이다. 토톡은 가입자 수백만명의 개인 정보를 공짜로 UAE 정부에 넘겨주고 있다.

이기철 선임기자 chuli@seoul.co.kr