프로톤메일, 사용자 데이터 공개로 스페인에서 체포 이어져

• 스위스 기반 보안 이메일 서비스인 Proton Mail이 Catalan 독립운동 조직 Democratic Tsunami와 연결된 가명 계정의 복구 이메일 정보를 제공하면서 프라이버시 논란이 다시 커짐
• 스페인 당국은 확보한 복구 이메일 주소를 근거로 Apple에 추가 정보를 요청했고, 연결된 이름·주소·전화번호를 통해 개인 식별로 이어짐
• 요청은 대테러 법률 명목이었지만, Democratic Tsunami의 주요 활동이 시위와 도로 봉쇄였다는 점에서 조치의 비례성과 정당성이 쟁점이 됨
• Proton은 정식 스위스 법원 명령이 있으면 국제 법집행 요청에 협조해야 하며, 2023년에만 5,971건의 데이터 요청에 응함
• 이메일 본문·첨부파일·파일은 암호화되어 Proton도 읽을 수 없지만, 복구 이메일 같은 계정 메타데이터는 사용자가 OPSEC 차원에서 직접 관리해야 함

---

스페인 사건의 흐름

• Proton Mail은 종단간 암호화와 무로그 정책을 내세워 온 스위스 기반 보안 이메일 서비스임
• 이번 사건은 스페인 당국이 Catalan 독립운동 조직 Democratic Tsunami 구성원으로 의심한 인물에 대한 법적 요청에서 시작됨
• 논란의 중심에는 ‘Xuxo Rondinaire’라는 가명을 사용한 Proton Mail 계정의 복구 이메일 주소가 있음
• 해당 인물은 Catalonia 경찰인 Mossos d’Esquadra 구성원으로 의심받았고, 내부 지식을 이용해 Democratic Tsunami 운동을 도왔다는 의심을 받음
• Proton Mail이 복구 이메일 정보를 제공한 뒤, 스페인 당국은 Apple에 그 이메일과 연결된 추가 정보를 요청해 개인 식별에 도달함

관할권과 기술 기업을 거친 식별 과정

• 이 사건은 여러 관할권과 기업을 거친 요청의 연쇄로 구성됨
  • Proton Mail은 스위스에 기반을 둠
  • 스페인 당국은 Proton Mail 계정의 복구 이메일을 확보함
  • 이후 Apple에 해당 이메일과 관련된 추가 정보를 요청함
• 이 흐름은 기술 기업, 사용자 프라이버시, 법집행 기관 사이의 복잡한 상호작용을 드러냄
• 요청은 대테러 법률 명목으로 이뤄졌지만, Democratic Tsunami의 주요 활동은 시위와 도로 봉쇄였다고 정리됨
• 그래서 법집행 조치가 비례적이고 정당했는지가 핵심 논점으로 남음

Proton의 법적 의무와 이전 사례

• Proton Mail의 협조는 스위스 법에 묶여 있으며, 국제 법집행 요청이 정식 경로인 스위스 법원 시스템을 통해 공식화되면 협력해야 함
• 2021년에도 Proton Mail은 프랑스 기후 활동가 체포로 이어진 법적 요청에 응해 논란을 겪음
  • 당시 스위스 법에 따라 특정 개인의 IP 주소 정보를 수집해 스위스 당국에 제공해야 했음
  • 스위스 당국은 해당 정보를 프랑스 경찰과 공유함
• Proton은 과거 RestorePrivacy에 “이메일 본문, 첨부파일, 파일 등은 항상 암호화되어 읽을 수 없다”고 밝힘
• Proton의 투명성 보고서에 따르면 Proton Mail은 2023년에 5,971건의 데이터 요청에 응했으며, 이는 전년보다 소폭 증가한 수치임

Proton의 입장

• Proton은 이번 사건의 핵심 세부사항을 확인했으며, 스페인 테러 사건이 스페인 국왕에 대한 위협 혐의와 관련되어 있음을 인지하고 있다고 밝힘
• 다만 구체적인 사건에는 일반적으로 논평하지 않는다는 입장도 함께 냄
• Proton은 자사가 보유하는 사용자 정보가 최소한이며, 이번 사건에서도 Apple에서 얻은 데이터가 테러 용의자 식별에 사용됐다는 점을 근거로 들음
• Proton은 기본적으로 프라이버시를 제공하지만, 익명성을 기본 제공하지는 않는다고 설명함
  • 익명성을 위해서는 사용자의 OPSEC 조치가 필요함
  • 예시로 Apple 계정을 선택적 복구 수단으로 추가하지 않는 행동을 들음
• 복구 주소 추가는 필수가 아니며, 이 정보는 이론상 스위스 법원 명령에 따라 제공될 수 있음

복구 이메일과 가입 검증의 차이

• Proton은 이메일 계정에 복구 이메일을 추가하는 것이 선택 사항이라고 설명함
• 다만 테스트 결과, VPN 서비스와 Tor를 통해 가입할 때 Proton이 검증 이메일 주소를 요구한 사례가 있음
• Proton의 검증 박스에는 해당 이메일 주소가 “일회성 검증에만 사용된다”고 표시됨
• 복구 이메일과 달리 이 검증 이메일은 계정에 계속 연결되어 있지 않은 것으로 보임
• 따라서 복구 이메일은 계정에 연결될 수 있는 정보이고, 검증 이메일은 일회성 가입 검증 목적으로 구분됨

OPSEC 관점의 사용자 주의점

• Proton Mail 같은 암호화 이메일 서비스도 법적·정부 요청에서 완전히 자유롭지 않음
• 민감하거나 정치적인 활동과 관련된 사용자는 운영 보안(OPSEC) 을 우선적으로 고려해야 함
• 권장 조치는 다음과 같음
  • 개인 신원이나 주요 업무 활동과 직접 연결되는 복구 이메일 또는 전화번호를 피함
  • 추가 익명성 계층을 위해 보조·일회용 이메일이나 가상 전화번호를 검토함
  • 가능한 경우 IP 주소 노출을 줄이기 위해 VPN을 사용함
  • 익명 결제 수단 사용을 검토함
  • 통신 서비스 제공자의 법적 의무와 국제 법집행 요청 대응 정책을 확인함
• Proton Mail과 유사 서비스는 이메일 플랫폼에서 상당한 보호와 종단간 암호화를 제공하지만, 서비스 제공자의 법적 의무와 사용자의 보안 필요 사이에서 신중한 판단이 필요함

[GN⁺]

Hacker News 의견들

• 독자들이 ProtonMail이 실제로 제공할 수 있는 보호와 합법 기업에 기대하는 보호 수준 사이에서 혼란을 겪는 듯함
  ProtonMail과 Apple은 소환장이 부당하다고 판단하면 다투겠지만, 최종 결정권은 없고 합리적으로 접근 가능한 데이터는 제공하도록 강제될 수 있음
  결국 사용자가 서비스 제공자에게 어떤 정보를 넘길지 스스로 설계해야 하며, 감청 가능성까지 고려해 중간자 약점도 평가해야 함. 전화번호나 복구 이메일을 연결하는 건 꽤 큰 단서가 됨
  핵심은 이런 서비스도 자신들이 접근 가능한 작은 정보는 제공하도록 강제될 수 있고, 그 정보가 신원 식별에 유용할 수 있다는 점을 인식하는 것임. 두 번째 교훈은 민주적 자유를 존중하는 정부를 뽑아야 한다는 것일지도 모름

  • 사용자가 단순히 기업이 당국 요청 데이터 제공 의무를 모른다는 게 전부는 아니라고 봄
    Proton 논란은 스스로를 안전하고 사적인 이메일로 홍보하며 사용자 데이터를 절대 넘기지 않겠다고 약속한 데서 시작됐지만, 실제로는 넘긴 적이 있음. 작년에도 거의 6천 건의 요청에 데이터를 제공했다는 점을 보면 “당국에 절대 고자질하지 않는 이메일”이라는 마케팅과 맞지 않음
    더 큰 문제는 Proton이 이제 요청에 맞서려는 노력조차 별로 안 하는 것처럼 보인다는 점임. Tuta는 법원에서 지더라도 거의 모든 명령에 계속 다투는 사례가 보도됨: https://techcrunch.com/2020/12/08/german-secure-email-provid...
    쟁점은 서비스 제공자가 법원 요청을 따르느냐가 아니라, 거기에 맞서 무엇이라도 해보느냐 아니면 아무 질문 없이 데이터를 넘기느냐임
  • “사용자 책임”이라는 말이 바로 문제임. HN 사용자들은 방법을 조금 알 수 있겠지만, 일반적인 보안 이메일/VPN/Tor 사용자는 예외 상황과 함정을 현실적으로 이해하기 어렵다
    사실 HN 사용자조차 충분히 실수할 가능성이 큼. 그래서 이런 제품을 일반 소비자에게 마케팅하는 데 회의적임
  • 미국 기준으로 민주적 자유는 부당한 수색과 압수로부터 사람을 보호함
    법원 명령으로 제3자에게 고객 정보를 공개하라고 강제하는 것 자체는 지금도, 과거에도, 앞으로도 부당하다고 보기 어려움
    개별 명령이 부당할 수는 있고 그런 경우 다퉈야 하지만, 그런 절차와 권한 자체가 부당한 것은 아님
  • 정보가 제3자에게 저장돼 있다면, 합법적인 소환장에 따라 공개 대상이 될 수 있음
  • 민주적 자유를 존중하는 정부를 뽑는 일은 절대 일어나지 않을 것 같음. 인간 조건이 그렇다고 봄

• 제목에는 Proton Mail이 들어갔지만, 실제 식별 정보인 실명·전화번호 등은 해당 주소 관련 정보 요청에 대해 Apple이 제공한 것으로 보임
  이 경우 이메일 주소가 단서였지만, 통신사가 신원을 밝히게 만드는 데 어떤 정보까지 충분할지 궁금함. 예를 들어 특정 시각에 사용된 IP 주소가 그 순간 Apple을 통해 VPN 처리돼 있었다면 고유 식별 정보가 될 수 있을까?
  또는 Google 광고 쿠키가 비슷한 행동을 보이는 다른 기기와 상관관계로 묶일 수도 있을까? Google이 가구나 관련 계정을 추적하는 방식처럼

  • IP 주소가 신원 자체는 아니지만 위치를 좁히는 데는 쓸 수 있음. 정부와 인터넷 제공자는 누가 어느 주소를 배정받았는지 과거 기록을 모두 보관할 것 같음
  • 왜 ProtonMail이 이 IP와 이메일 정보를 로그에 보관하고 있는지 의문임
  • 핵심과 무관함. Proton Mail은 당국에 사용자 데이터를 제공했음

• 이름에 privacy가 들어간 웹사이트가 사생활 보호와 익명성을 섞어 쓰는 게 마음에 들지 않음. 사생활 보호는 국가로부터 지켜주는 것이 아니라, 대중으로부터 지켜주는 정도에 가깝다고 봄
  국가와 싸우거나 국가의 적이 됐거나, 더 나아가 악의적으로 움직이는 국가기관 요원이라면 단순한 사생활 보호는 아무 소용이 없음. 오히려 그걸 오해하는 게 이번 사례처럼 공격 경로가 됨
  필요한 익명성 조치는 멋진 UI, 좋은 기능, 때로는 합리적인 신뢰성조차 포함하지 않을 수 있음. 흔적을 남기지 않기 위해 그런 것들이 희생되기 때문임

  • 사생활 보호는 국가, 더 정확히는 국가 권력 남용으로부터도 보호하기 위한 것임. 그건 사생활 보호의 핵심 요소임
    예를 들어 어떤 주제로 대화했는지 드러나지 않게 해 악용되지 않도록 하는 것도 사생활 보호임. 국가는 성소수자, 특정 종교 신자, 불편한 폭로에 관여한 기자 등을 박해해 온 긴 역사가 있음
    그래도 사생활 보호와 익명성은 밀접하지만 다른 개념임. 통신의 사생활 보호가 항상 익명성을 뜻하지는 않지만, 때로는 익명성을 포함하고 또 그래야 할 때도 있음
    다만 합법적으로 운영되는 이메일 서비스가 판사가 뒷받침한 합법 명령으로부터 사용자를 보호해줄 거라 믿는 건 어리석고 이상함
    메타데이터 제공은 최악도 아님. 판사가 암호화되지 않은 수신 메일을 복사하게 하거나, 작성 중인 비암호화 메일을 복사하게 하거나, 다음 로그인 때 암호화를 약화시키라고 명령할 수도 있음
    서비스가 이의를 제기할 수 있고, 법치국가라 부를 수 있는 곳에서 운영된다면 그 자체가 남용 가능성을 줄여줌. 하지만 이메일에는 진정한 사생활 보호가 거의 없고 익명성은 더 적음
    그렇다고 서비스가 쓸모없다는 뜻은 아님. 다만 EU 국가의 정치적 박해를 걱정하거나 범죄를 저지른다면 보호막이 되지 않음
  • 그런 구분이 확립된 것처럼 말하지만, 개인적으로는 명시적으로 들어본 정의가 아님. Wikipedia의 “privacy” 문서 도입부를 보면 이렇게 되어 있음
    “정부, 기업, 개인에 의한 승인되지 않은 사생활 침해를 받지 않을 권리는 많은 국가의 사생활 보호법, 경우에 따라 헌법의 일부다”
    적어도 Wikipedia 기준으로는 사생활 보호가 어떤 경우 국가로부터의 보호를 포함. 그 정의는 어디서 나온 것인지 궁금함
  • 사생활 보호는 국가로부터 일부를 보호하며, 그래서 서구권에는 영장 같은 개념이 있음
    하지만 그 개념이 이미 공유한 데이터의 흔적을 기업이 숨겨준다는 뜻은 아님. 이번 경우에는 복구 이메일 주소가 해당됨
    개인 정보를 넘기고 범죄를 저지른 뒤 그 사람에게 숨겨달라고 요구한다면 익명성을 요구하는 게 아니라 공범을 요구하는 것임
  • 사생활 보호와 현실적 가능성을 혼동하는 듯함. 실제로는 아무것도 완전히 안전하거나 사적이거나 보안적이지 않음
    여기서 중요한 건 Proton이 사용자와 잠재 사용자에게 약속·광고한 내용과 실제로 제공 가능한 것 사이의 차이임. Proton이 이 부분을 더 공개적으로 설명하는지는 모르겠지만, 거의 아무도 읽지 않는 긴 서비스 약관에만 묻혀 있지 않기를 바람
  • 대중은 대부분 신경 쓰지 않음. 오히려 정부가 문제임

• ProtonMail은 복구 주소를 넘겼고, Apple은 그 주소와 연결된 이름·실제 주소·전화번호를 넘겼음

  • Proton에 초점을 맞춘 이상하게 기울어진 기사임. 실제 흐름은 이렇기 때문임
    “그 정보를 받은 뒤 Apple에 이 두 번째 이메일 주소와 관련된 정보를 요청했고, 이름·집 주소·전화번호를 받았다. 이후 Guardia Civil은 해당 전화번호를 담당하는 통신사에도 회선 소유자를 요청했고, Apple이 제공한 이름과 일치했다. 또한 이 사람이 Apple이 제공한 주소와 같은 곳에 등록돼 있음을 확인했다고 한다”

• “가능하면 항상 좋은 VPN 서비스를 사용해 IP 주소를 숨기라”는 조언이 있는데, VPN이 결제수단과 묶여 있다면 경찰이 추적할 중간 단계 하나를 추가했을 뿐이라 이 활동가를 구하지 못했을 것임
  추천 VPN 목록에는 Mullvad가 10개 중 9위로만 들어가 있지만, 아는 한 익명성을 보존하는 결제수단을 제공하는 곳은 Mullvad뿐임

  • 이메일 전송처럼 대역폭이 낮은 작업이라면 무료인 Tor가 첫 선택이어야 함
    다만 그걸 나머지 신원과 완전히 분리해야 함. 예를 들어 Tor로 Proton 이메일 주소를 만든 뒤 평소 쓰는 이메일 주소를 복구 주소로 넣으면 안 됨
  • VPN 제공자가 로그를 갖고 있을 때만 해당함
    대부분은 로그가 없다고 주장하고, PIA도 적어도 한 번 소환장을 받았지만 로그가 없다고 답한 적이 있음
  • 신용카드로 Mullvad 이용권을 사고, 그 뒤 서로 관련 없는 Proton Mail 계정에 Mullvad를 통해 접속한다고 해보자
    경찰이 그 중간 단계를 넘어 어떻게 나를 찾을 수 있는지 모르겠음
  • 완전히 틀렸음. 모든 VPN이 사용자의 온라인 활동, 모든 IP 주소, 모든 웹사이트를 기록하고 모든 사용자에 대해 저장한다고 가정하고 있는데, 전혀 사실이 아님
    그런 일을 하는 평판 좋은 VPN 하나라도 보여달라. 실제로 그런 일이 벌어진 사건도 보여달라. Mullvad를 포함한 좋은 VPN은 무로그 VPN이라 VPN을 통한 활동이 기록되지 않고 사용자와 연결될 수 없음
    여러 VPN은 감사로 이를 검증받았을 뿐 아니라, 법원이나 실제 테스트에서도 맞다는 것이 입증됨. Mullvad가 좋은 예임: https://restoreprivacy.com/mullvad-vpn-says-customer-data-is...
    VPN 계정 결제가 곧 VPN이 사용자 활동을 기록한다는 뜻은 아님. 결제 기록 보관과 VPN 서버를 통한 사용자 활동 로깅은 다름. 그리고 유명 VPN 대부분은 암호화폐 결제도 허용함

• 핵심은 이 부분임:
  “스위스 법에 따라 Proton Mail은 해당 개인의 IP 주소 정보를 수집해 스위스 당국에 제공하도록 강제됐고, 스위스 당국은 이를 프랑스 경찰과 공유했다”
  어떤 사생활 보호 보장을 내세우든, 그 보장이 암호학으로 보장되지 않는다면 빈 제스처임. 사용자의 사생활을 지키려고 감옥에 갈 사람은 없음

  • 그건 작년 사안이고, 이번 핵심은 다름
    이번 논란의 중심은 Proton Mail이 ‘Xuxo Rondinaire’라는 가명을 쓰던 개인의 Proton Mail 계정에 연결된 복구 이메일 주소를 스페인 경찰에 제공했다는 점임. 이 인물은 Mossos d’Esquadra, 즉 카탈루냐 경찰 소속으로, 내부 지식을 이용해 Democratic Tsunami 운동을 도왔다는 의심을 받고 있음
    스페인 당국은 Proton Mail에서 복구 이메일을 받은 뒤 Apple에 그 이메일과 연결된 추가 정보를 요청했고, 그 결과 신원을 식별하게 됨
  • 합법 기업이 법으로부터 사용자를 막아주리라 기대하는 건 터무니없음. 국가는 이 정보를 얻을 권리가 있음
    숨기고 싶다면 법의 테두리 안에서 운영되지 않는 제공자를 찾아야 함. 다만 합법 거래가 아니게 되면 많은 편의가 사라짐. 지불한 서비스를 받을 수 있다는 보장도 없고, 주요 보안을 잃었을 때 계정 복구도 기대하기 어려워짐
  • Mullvad가 주장하듯 무로그로 운영해야 한다고 봄. 갖고 있지 않은 것은 공유할 수 없음
  • Proton Mail은 이메일 본문을 줄 수 없고, 이메일 주소나 IP 주소 같은 것만 제공할 수 있음
    이메일 본문은 암호화돼 있고 Proton Mail은 접근할 수 없음
  • 이메일과 VPN 같은 서비스를 서로 다른 제공자로 나눠 써야 한다는 뜻인지 궁금함. 한 곳에서 이메일·VPN·기타 서비스를 모두 쓰지 말라는 의미처럼 들림

• 이런 사건을 생각할 때는 항상 병행 구성을 염두에 둬야 함: https://en.m.wikipedia.org/wiki/Parallel_construction
  당국이 이미 이 정보를 갖고 있었을 가능성이 꽤 있음. 심지어 인터넷 제공자의 합법 감청을 통해 평문 이메일을 봤을 수도 있음. Proton/Apple 경로도 나쁘지만, 실제 출처는 그보다 더 나빴을 수 있음

• Proton Mail은 스위스 법이 요구하고 스위스 수사기관이 요구할 때만 정보를 제공함. 스위스 사생활 보호법은 꽤 괜찮은 편임
  어떤 회사도 그보다 더 엄격한 사생활 보호 정책을 기대하기는 어려움
  Proton Mail은 이메일 본문을 제공할 수 없고, 이메일 주소나 IP 주소 같은 것만 제공할 수 있음

  • Proton Mail은 이메일 본문도 넘길 수 있음. 다만 암호화돼 있고 암호화 키를 갖고 있지 않을 뿐임
    누군가가 저장한 것은 무엇이든 넘겨질 수 있음. 그 정보가 유용할 수도, 쓸모없을 수도, 지금은 쓸모없지만 내일 키를 확보하면 유용해질 수도 있음

• Tor로 ProtonMail 계정을 만들어보면 전화번호로 계정 확인을 요구함. 프록시가 아닌 IP를 쓰면 이 단계를 건너뜀
  결국 사용자가 누구인지 알고 싶어 하는 것이고, 수년 전부터 그랬음. 오래전부터 미끼 서비스였다고 봄

  • 사실이 아님. 대부분의 경우 필요한 것은 CAPTCHA를 푸는 것뿐임. 어떤 경우에는 시스템이 네트워크에서 수상한 점을 감지하면 추가 이메일 주소를 요청함
    그런 경우에도 이메일 주소는 계정에 묶이지 않고, 이메일의 암호학적 해시만 저장함. 해시 함수는 단방향이기 때문에 해시에서 원래 데이터를 되돌릴 수 없음: https://proton.me/support/human-verification
    과거에는 전화 인증을 사용했지만, 더 이상은 그렇지 않음. 전화번호도 이메일 주소와 같은 방식으로 저장됐기 때문에, 마찬가지로 해시에서 되돌릴 방법이 없음
  • Proton은 스팸의 큰 표적임.
    이런 절차를 두는 이유는 스팸 방지임. 안타깝게도 악용될 수 있고 실제로 악용된 적도 있음
  • 전혀 놀랍지 않음. 처음부터 그런 의도가 아니었더라도, 시간이 충분히 지나면 침해되거나 타협될 가능성을 의심해야 함
    이메일을 조금이라도 사적으로 유지하는 거의 유일한 방법은 GPG 키와 함께 자체 호스팅 서버를 쓰는 것임. 하지만 그 서버의 보안 업데이트를 조금이라도 놓치면 거의 즉시 침해될 수 있음
    그 이상으로 할 수 있는 일은 떠오르지 않음
    이메일은 항상 평문으로 이동하는 것처럼 다뤄왔음. 현재 제공자인 Fastmail도 당국에 의해 타협 가능함. 호주에 기반을 두기 때문에 Australian Privacy Act 1988의 영향을 받고, 서버가 뉴욕에서 운영되므로 PRISM에도 걸림
  • Tuta는 Tor를 통해 익명 계정을 만들 수 있고 전화번호나 연락용 이메일 주소를 요구하지 않음. 몇 주 전에는 방법을 설명하는 YouTube 튜토리얼 영상도 올렸음: https://youtu.be/oXv3llPIfvo
    계정을 계속 Tor로만 사용한다면 추적 가능한 정보가 남지 않을 것임
  • 시도할 때마다 다름. Tor 출구 노드의 국가를 쓸 수도 있고, 다른 지문 인식을 할 수도 있으며, cockli처럼 하루에 제공하는 익명 계정 수를 제한할 수도 있음
    어떤 때는 전화번호가 필요하고, 어떤 때는 이메일 주소가 필요하며, 어떤 때는 CAPTCHA만으로 끝남

• 복구 이메일을 연방기관에 제공한 건 이번이 처음이 아님
  https://www.forbes.com/sites/thomasbrewster/2023/08/08/proto...
  아카이브: https://web.archive.org/web/20230814144638/https://www.forbe...