해킹 유출 자료 보도에는 공통된 윤리 규칙이 없다

해커가 훔쳐 공개한 자료는 전쟁과 감시 산업, 사이버 범죄를 취재하는 데 중요한 단서가 되지만, 이를 다루는 언론의 공통된 기준은 아직 없다. 필립 디 살보(Philip Di Salvo)는 미국과 유럽의 기자 10명을 인터뷰해 이 보도가 사례별 판단에 기대고 있으며, 출처와 자료를 검증하고 불확실성을 공개하는 원칙이 필요하다고 분석했다.

해킹과 유출(hack-and-leak)은 해커가 사이버 공격으로 얻은 정보를 공개하는 방식이다. 2010년대 핵티비스트 활동이 활발했던 시기 어나니머스와 연계 단체들이 기업과 국가 기관을 침해해 훔친 자료를 주요 뉴스로 만들었다. 핵티비스트 활동에 관한 연구

우크라이나 침공을 취재하는 기자들은 서로 다른 성향의 해커가 러시아 기관에서 빼낸 문서를 다뤄 왔다. 핵티비스트가 감시 기술 업체와 스파이웨어 기업을 침해해 내부 자료를 기자들에게 독점적으로 제공한 사례도 있다. 이런 기업 가운데 일부는 억압적인 정부에 제품을 판매한다. 감시 도구 판매 관련 문서 보도 랜섬웨어 조직과 사이버 범죄자, 국가 연계 해커도 훔친 자료를 인터넷에 공개하거나 Distributed Denial of Secrets 같은 중개자를 통해 유포한다.

필립 디 살보는 해킹 자료를 다루거나 다뤄 본 미국과 유럽 기자 10명을 인터뷰했다. 이 가운데는 사이버 문제를 전문으로 취재하는 기자도, 시사와 국제 분쟁을 주로 다루는 기자도 있었다. 인터뷰 대상은 탐사보도 매체부터 종합 매체와 기술 전문 매체까지 다양한 곳에서 일했다. 연구는 Journalism Practice에 발표됐다.

인터뷰에서 드러난 것은 정착된 방식이 아니라 새롭게 형성되는 취재 관행이었다. 해킹 자료를 보도할 때 따를 고정 지침이나 업계에서 공유하는 절차는 없다. 기자들은 사건마다 방법을 만들어 가고 있었다. 한 탐사보도 기자는 대규모 유출 자료를 파고드는 전통적 탐사보도와, 다크웹 자료나 붙여넣기 사이트, 보안이 설정되지 않은 클라우드 저장 공간의 자료를 추적해 침해와 취약점, 디지털 프라이버시 문제를 빠르게 보도하는 기술 중심 취재를 구분했다.

해커도 언론과의 관계를 전략적으로 다루고 있다. 특정 사이버 분야를 취재하는 한 기자는 해커 가운데 상당수가 자신의 능력을 과시하고 공을 인정받으려 하지만, 그 욕구가 커졌는지는 확실하지 않다고 말했다. 다만 일부 해커는 기사가 어떤 방식으로 보도되고 퍼질지를 고려하며, 자료를 이해하고 후속 취재를 이어 갈 기자와 매체를 골라 접근한다고 설명했다. 해커와 언론의 관계에 관한 연구

해커의 동기와 정체는 하나로 묶기 어렵다. 인터뷰에 응한 기자들은 금전적 이익을 노리는 사이버 범죄자의 유출은 다른 형태의 협박과 다를 바 없을 때가 있다고 봤다. 국가 연계 행위자는 독립적인 핵티비스트인 것처럼 가장해 정치적 목적의 유출을 신뢰할 만한 보도로 포장할 수도 있다. 반면 감시 기업을 겨냥한 활동으로 알려진 Phineas Fisher처럼 정치적·공익적 이유로 부정행위나 범죄를 폭로하려는 해커도 있다. 그러나 해커의 정체와 의제는 트롤링을 포함해 서로 뒤섞일 수 있으며, 해커를 흰 모자·회색 모자·검은 모자로 나누는 구분만으로 의도를 명확히 판단하기는 어렵다.

해킹 자료는 상당한 회의적 태도로 다뤄야 한다. 기자들은 이메일 주소가 기업 기록에 있는지 확인하고, 알려진 사실과 대조하거나 파일이 조작된 흔적을 살피는 등 통상적인 검증 방법을 쓴다고 답했다. 출처를 확인할 수 없다면 그 불확실성도 보도에서 더 투명하게 밝혀야 한다. 한 기자는 출처가 누구인지 모르며 러시아 연방군 총정찰국(GRU)일 수도 있지만, 자료가 진짜이고 무엇을 보여 주는지는 확인했다고 독자에게 알려야 한다고 말했다. 출처에 대한 불확실성 자체가 기사의 중요한 내용이 될 수 있다는 설명이다.

해커를 취재원으로 보호하는 방식에도 차이가 있다. 일부 기자는 스스로 범죄자라고 밝힌 해커에게도 다른 취재원과 같은 보호를 제공하고, 수사 기관에 협조하지 않는다. 다른 기자들은 양쪽에 미칠 피해를 줄이기 위해 취재원에 관해 가능한 한 적게 알려고 한다. 반면 사이버 범죄 포럼이나 다른 온라인 저장소에 이미 퍼진 자료만 다루는 기자들은 출처를 추적할 수 없고 자료가 이미 공개됐다는 이유로 취재원 보호를 별개의 문제로 본다.

디 살보가 인터뷰에서 도출한 핵심은 해킹 자료 보도의 윤리 판단을 엄격한 규칙으로 미리 정하기 어렵다는 점이다. 자료 공개가 정당한지는 사건의 구체적인 상황에 달려 있다. 개인의 컴퓨터에 침입해 자료를 훔치는 행위는 일반적으로 잘못일 수 있지만, 중대한 범죄를 폭로하는 경우에는 정당화될 수 있다는 것이 한 기자의 견해였다. 기자들은 정해진 규정이나 체크리스트를 참고할 여유가 없는 상황에서 구체적인 사안을 읽고 판단하는 실천적 지혜가 필요하다고 말했다.

디 살보는 뉴스룸이 불법적으로 얻은 정보에 맞는 검증 기준을 마련하고, 불확실성을 감추지 않고 공개하는 원칙을 세우며, 기자들이 사례마다 개별적으로 내리는 윤리 판단을 공유할 언어를 발전시킬 필요가 있다고 제안했다.

필립 디 살보는 스위스 세인트갈렌 대학교 미디어·커뮤니케이션 관리 연구소의 선임 연구원이자 강사다. 세인트갈렌 대학교 소개