[김재섭의 뒤집어보기] KT '경찰청 보디캠' 납품 잡음·국가기간망 보안 국감, '중국산 마녀사냥'으로 흘러선 안된다

[비즈니스포스트] 중국산과 닮아서 문제라고? 미국·일본산과 닮았으면 괜찮고?

지난 추석 명절 연휴 전, 경찰청 '보디캠' 보급 사업과 관련한 연합뉴스 보도가 눈길을 잡았다.

'경찰의 190억 원대 '보디캠' 사업에 중국산 장비가 납품됐다는 의혹과 관련해, 해당 제품이 중국산일 가능성이 높다는 공공기관의 검토 결과가 나온 것으로 뒤늦게 확인됐다.'

'수사당국에 따르면, 산업통상부 산하 한국산업기술시험원은 일선 경찰에 보급된 보디캠이 중국 모 업체의 제품과 동일 제품일 가능성이 높다는 취지의 유사성 검토 결과를 지난 6월 경찰청에 통보했다. 산업기술시험원은 두 제품이 외관과 부품, 조립방식 등이 거의 똑같아 사실상 같은 업체에서 제조한 것으로 보인다는 결론을 내린 것으로 전해졌다.'

경찰 보디캠은 경찰관의 공권력 행사 과정과 범죄 현장을 기록해 증거를 확보하는 수단으로 활용되는 장비다. 경찰관과 시민 간의 분쟁 해결 도구로도 쓰인다. 2024년 개정 경찰관직무집행법에 따라 공식 장비로 도입되었고, 2025년부터 전국 경찰관에게 보급되고 있다.

연합뉴스 보도에 따르면, 앞서 경찰청은 현장 경찰관들이 사비로 구매해 쓰던 보디캠을 정식 장비로 대체하기 위해 2029년까지 총 194억8600만 원의 예산을 투입하는 보디캠 도입 사업을 추진했다.

경찰청은 2026년 7월 통신사 KT와 단말기 조달업체 ㄱ사 등으로 짜여진 컨소시엄(이하 KT 컨소시엄)을 보디캠 납품 사업자로 선정하고, 같은 해 하반기 1차로 1만4천여대의 보디캠을 지구대·파출소 등에서 근무하는 경찰관들에게 보급했다.

그런데 경찰에 납품된 보디캠이 중국 ㄴ업체 제품과 기능과 외형이 유사하다는 제보가 있었고, 경찰청은 사실 확인을 거쳐 지난 6월 KT 컨소시엄 등을 특정경제범죄 가중처벌 등에 관한 법률(특경법)상 사기와 위계에 의한 공무집행 방해 혐의로 경기남부경찰청 안보수사과에 수사를 의뢰했다.

경찰청은 수사와 별도로 납품받은 보디캠의 보안 취약 요인에 대한 정밀 검사를 민간 전문업체에 의뢰했다. 정밀 검사를 통해 백도어(Backdoor·시스템에 무단 접근할 수 있는 일종의 뒷문) 내장 여부 등을 파악하고, 보디캠으로 촬영된 영상의 유출 여지가 없는지 살펴보겠다는 것이다.

문득 궁금하다. 문제의 핵심이 뭘까. KT 컨소시엄이 경찰에 납품한 보디캠이 중국 ㄴ업체 제품과 유사한 거? 아니면 이 장비에 백도어 등 보안 취약점이 있을 수 있다는 거? 두 가지 다?

경찰청이 KT 컨소시엄과 보디캠 납품 계약을 맺으며 '한국 기업이 한국산 부품만을 사용해 제조하고, 펌웨어(동작 프로그램)도 한국 기업에서 개발된 것을 설치해야 한다'는 조건을 달았는데도, KT 컨소시엄이 중국산 부품·프로그램을 썼거나, 아예 중국산 제품을 케이스만 바꿔 납품했다면 계약 위반에 해당한다. 몰래 그렇게 했다면 사기 등을 통한 공무집행 방해 혐의로 처벌받는 게 당연하다.

같은 조건에서는 미국산, 일본산, 유럽산 부품·프로그램을 썼거나 이들 나라 기업의 완제품을 껍데기만 바꿔 납품했어도 불법이다. 경찰청은 계약 조건에 맞는 제품으로 다시 납품받고, 공무집행방해 혐의에 대한 수사·형사처벌과 별개로 KT 컨소시엄에 사업 차질에 따른 손해 배상도 요구하는 게 마땅하다.

경찰청에 납품된 보디캠에 백도어 등 보안 취약점이 있어도 문제다. 보안 취약점이 있다는 것은 품질 불량 제품을 납품했다는 뜻이기 때문이다. 혹시 백도어가 설치돼 있다면, 사후 해킹을 통한 정보 유출 의도가 있었다는 의심을 받아도 할 말이 없다.

당연히 납품 과정에 대한 수사·감사와 더불어 전량 보안 취약점을 해결한 제품으로 다시 납품받아야 한다.

하지만 '국산 부품·프로그램 사용과 국산 완제품 납품' 조건이 없고, 보안 취약점도 발견되지 않았다면?

왜 '중국산'이라는 잣대로 설명(경찰청)하고 보도(연합뉴스)했는지가 설명돼야 한다. 아니면 '중국산 마녀사냥' 지적을 피하기 어렵다. 이미 사회 문제는 물론 나라 간 갈등 부작용까지 빚고 있는 '혐중 정서'에 올라타려고 했다는 비판을 받을 수도 있다.

사실 경찰청 보디캠 사업과 관련해 중국산 부품·프로그램 사용 가능성이 이미 예견됐다. 중국 업체들이 유사 제품을 만들어 팔아왔고, 일선 경찰들이 이들 제품을 사비로 구입해 사용해오고 있었던 탓이다. KT 컨소시엄 측에서 보면, 기존 업체들의 손을 빌리면 비용과 시간을 크게 줄일 수 있다. 물론 제품 모양 디자인과 최종 조립은 컨소시엄 참여 국내 업체가 했을 수 있다.

경찰청은 보디캠 납품 사업자를 선정할 때 이 점을 살펴야 했다. 혹시 보안과 국내 일자리 창출 효과 등을 감안해 국산 장비를 고집했다면, KT 컨소시엄과 계약을 맺을 때 이를 분명히 명시해야 했다. 시중에 나와 있는 제품들과 성능·기능 및 보안 수준 차별화를 통해 이 목적을 달성할 수도 있다.

2020년대 초반 '코로나19' 창궐 시기, 바이러스 감염 확산 예방 차원에서 정부기관과 기업들이 건물 입구마다 카메라 열화상 체온 측정기(이하 열화상 측정기)를 설치했다. 대상자의 얼굴 체온을 측정하는 방식으로, 발열(코로나19 주요 증상 가운데 하나)이 의심되는 사람의 출입을 막아 건물 내 감염 확산을 막기 위한 것이었다.

이후 여러 사람이 이용하는 시설에 출입할 때는 열화상 측정기 앞을 통과하는 게 일상이 됐다.

당시 긴급 상황이라 개인정보 침해나 정보 유출 우려 등은 뒤로 밀렸다.

열화상 측정기 수급 상황이 좀 안정된 뒤, 열화상 측정기를 통한 개인정보(얼굴 영상) 유출 가능성에 대한 제보를 받았다. 열화상 측정기에 통신 기능이 달려 있고, 이를 통해 열화상 측정기에 얼굴 영상이 나라 밖 어디론가로 보내진다는 것이었다.

얼핏 이해가 되지 않았다. 열화상 측정기는 카메라를 통해 대상자의 얼굴 체온을 측정해 일정 온도를 넘는지를 가리는 장비인데, 통신 기능이 왜 필요해?

제보자에게 믿기 어렵다고 했더니 직접 눈으로 볼 수 있게 시연해주겠다고 했다.

제보자는 경기도의 한 중소업체 연구소 연구원들이었다. 혹시 하는 호기심으로 점검해봤는데, 통신 기능이 활성화돼 데이터를 나르더라고 설명했다. 이 중소기업은 열화상 측정기 사업을 하고 있지 않았다.

4대 그룹 주력 계열사가 입주해 있는 서울 시내 대형 건물 입구에 설치된 것과 똑같은 열화상 측정기를 구입해 시연을 부탁했다. 진짜로 통신 기능이 활성화되고, 데이터가 날아갔다. 어디로 유출되는지는 확인하지 못했다. 정확히 말하면, 추적에 실패했다.

당시 제보자는 기자에게 "주요 국가기관과 국책연구소들은 물론 삼성·현대자동차·SK·LG 등 주요 대기업에선, 건물에 누가 드나들었는지 정보가 국가 비밀이나 기업 비밀일 수 있다. 그 정보가 어디론가 빠져나가고 있다는 거다. 열화상 측정기를 통과한 사람 측에서는 민감한 얼굴 정보가 새는 꼴이다"라며 상황의 심각성을 전했다.

기사화했고, 정부가 즉각 대책 시행에 나섰다. 통신 기능을 죽이거나 데이터 유출을 막도록 했다.

제보자는 그 뒤로도 "정부가 납품받는 각종 센서·카메라 장착 제품을 구해 정보 유출 가능성을 검증해보고 있다"고 했다. "국내외 시장에 나와 있는 것을 구해 껍데기만 새로 디자인해 바꾼 게 많다"고 했다. "케이스를 새로 디자인한 뒤, 유사한 기능의 제품을 이미 개발해 판매 중인 기업에 새로 디자인된 케이스에 맞도록 모듈(주기판에 장착된 형태) 모양을 바꿔 만들어달라고 하고, 최종 조립만 직접 해 납품하는 경우가 많다"고 했다.

당연히 제보자가 꼽은 제품 중에는 중국산이 많다. 하지만 당시 제보자와 기자 모두 보안 취약점에 주목했을 뿐, 중국산이라는 점은 중요하게 여기지 않았다. 당연하다고 생각했다.

제보자는 "군용으로 납품돼 전방 감시나 부대 경비용으로 쓰고 있는 장비들도 검증해볼 필요가 있다"고 했다. 시연을 부탁하자 "군사 비밀 내지 기업 비밀 침해 소지가 있어 무섭고, 정부에 납품된 장비를 구하는 것도 어렵다"고 했다.

당시 열화상 측정기의 보안 문제를 취재하며 만난 보안 전문가들은 "통신 모뎀과 각종 센서·카메라 장비 중에는 이미 시중에서 나와있는 제품을 디자인(케이스)을 바꾸고 한글화해 납품한 경우가 많다"며 "국가·정부기관이나 기업이 민감한 정보를 다루거나 비밀스러운 곳에 설치하는 장비를 도입할 때는 백도어 실행이나 의도하지 않는 데이터통신 실행을 완전 차단하는 보안 프로그램을 별도 보안업체에 맡겨 개발해 장착하는(번들링) 등의 대책을 병행해야 한다"고 주문했다.

전례도 있다.

마이크로소프트(MS) 개인용컴퓨터(PC) 운영체제(OS) '윈도' 보급 초기, 중국은 이 프로그램에 백도어가 숨겨져 있을 수 있다며, 중국에서 PC에 윈도를 깔 때는 별도 보급 보안 프로그램을 같이 판매하도록 요청했다는 뒷말이 있었다. MS는 황당하다는 반응을 보이면서도, 중국 PC 운영체제 시장을 포기 못해 수용한 것으로 알려졌다.

이와 관련해선 다른 뒷얘기도 있었다. 중국이 보안 프로그램을 명분 삼아 PC 사용자 감시·추적 기능을 심었다는 얘기가 돌았다.

당시 구글 본사 관계자는 기자에게 "중국 출장을 갈 때는 회사 노트북을 가져가지 않는다. 출장 중 노트북이 필요하면 현지에서 구입해 사용한 뒤 폐기한다. 미국 빅테크 가운데 상당수가 이렇게 하고 있는 것으로 알고 있다"고 전했다.

물론 중국이 실제로 이렇게 했는지, 구글 관계자 말대로 글로벌 빅테크 기업들이 중국 출장자의 회사 노트북 휴대를 막고 있는지는, 공식 확인된 바 없다.

다만, 혹시 중국 정부가 외산 PC 운영체제에 백도어가 숨겨져있을 수 있다고 판단해 보안 프로그램을 함께 판매토록 하고, 구글이 혹시 있을지 모르는 중국 정부의 감시·추적을 피하기 위해 회사 노트북의 중국 반입을 금지한 게 사실이라면, 보안 측면에서는 배울 점이다.

사실 PC·통신장비·휴대전화 등을 공격 목적으로 악용한 사례는 잦았다. 이스라엘은 폭탄을 장착한 무선통신 기기를 적대적 관계 나라에 보급한 뒤 원격으로 터트리기도 했다.

하지만 마녀사냥 식은 안 된다. 국회 과학기술정보방송통신위원회 최형두 국민의힘 의원은 국정감사 보도자료를 통해 "미국 하원 미-중전략경쟁특별위원회 보고서를 정밀 분석한 결과, 미국 통신망 심층부에 잔존하는 중국산 장비가 국가 안보를 직접적으로 위협하고 있음이 실증됐다"고 주장했다.

최 의원은 "보고서에 따르면 차이나텔레콤(CTA) 등은 미국 정부 규제에 따라 화웨이 전송장비의 약 75%를 시에나·노키아 장비로 교체했으나 약 25%의 잔존장비(화웨이 스위치·광전송장비)가 여전히 미국 네트워크에 연결돼 있었다"며 "해커 조직은 이 잔존 화웨이 장비를 발판 삼아 통신사 내부 네트워크로 은밀히 이동했으며, 종국에서는 미국 정부의 감청시스템(CALEA)과 백악관 등 주요 인사의 통화기록·위치정보에 접근한 것으로 밝혀졌다"고 설명했다.

최 의원은 이어 "국내 기간통신망과 공공·금융 인프라에 잔존한 화웨이 등 중국산 핵심 통신장비에 대해서도 정부 차원의 전면적 연결망 점검과 공급망 보안 대책이 시급하다"고 주장했다.

최 의원은 또 "과학기술정보통신부는 기간통신사뿐 아니라 중앙부처, 지방자치단체, 공공기관, 공기업, 금융망에 도입된 화웨이·ZTE 등 L1~L3 스위치·라우터·전송장비 운용 현황을 전면 파악해 국회에 보고하라"고 요구했다.

과방위 소속 의원으로서 통신망 보안의 중요성을 강조하며 미리 철저한 대비를 주문한 점은 존중돼야 한다. 문제는 '중국산 장비'를 대상으로 마녀사냥을 하는 모습을 보였다는 것이다.

차라리 국내 기간통신망과 금융·행정망 등에 사용된 네트워크 장비 실태를 공급 내역까지 꼼꼼히 파악해 빈틈없이 관리하고, 특히 도입 단계에서는 물론 이후 장비 작동 프로그램 업데이트 과정에서도 보안 취약점이 끼어들지 못하도록 철저하게 감시해야 한다고 주문했으면 더 좋았겠다.

우리나라를 포함해 세계 통신망과 금융·행정망의 패시브(전송) 구간에는 화웨이 스위치·라우터·광 전송 장비 등이 상당수 설치돼 있다. 한 통신사 관계자는 비즈니스포스트와 만나 "미국 시스코 네트워크 장비에 견줘 가성비가 뛰어난 것으로 평가돼 많이 보급됐다. 우리나라 기간통신망과 금융망 등의 패시브 구간에도 많이 설치돼 있다"고 말했다.

LG유플러스는 일부 지역 5G 무선망 구간에 화웨이 장비를 쓰기도 했다.

당연히 해당 업체들은 못마땅해 한다. 한 업체 관계자는 비즈니스포스트와 통화에서 최 의원 보도자료와 관련해 "왜 하필 중국산만 발라내라고 했겠냐. 혐중 정서에 기대 마녀사냥을 하려는 것 아니겠냐. 최 의원 요구대로 중국산 네트워크 장비를 쓰고 있는 업체 명단이 국회에 보고되면, 어디 어디가 중국산 장비를 쓰고 있다고 언론에 대서특필될 것"이라고 말했다.

주무 부처인 과학기술정보통신부는 이와 관련해 "도입 당시 보안 검수를 통과했고, 현재까지 보안 침해 사고가 없었다"고 설명했다고 최 의원실은 전했다.

우리나라는 수출로 먹고 산다.

수십 년에 걸쳐 가속돼온 세계화 흐름에 따라 전 세계의 모든 게 분업화됐다. 요즘 우리나라 경제 성장과 주가를 이끌고 있는 반도체만 봐도, 핵심 소재와 기술은 일본에서, 핵심 제조 장비는 네덜란드에서 각각 만들어지고, 우리나라에선 이 소재와 장비를 가져와 반도체 제품을 만든다.

삼성전자 갤럭시 스마트폰에도 일본에서 만들어진 핵심 소재와 기술이 다수 사용됐다. 대부분 중국에서 만들어지는 애플 아이폰에도 일본 소재·부품·기술이 사용된다. 삼성전자 갤럭시 스마트폰은 한국산이고, 애플 아이폰은 미국산이라고 할 수 있을까.

1990년대 이전 한국전기통신공사(지금은 KT)가 미국 루슨트테크놀로지와 스웨덴 에릭슨 등의 통신장비를 주로 도입하고, 교환기 등 핵심 통신장비의 유지보수 능력이 떨어지던 시절에는 원격 유지보수가 일반적이었다.

미국·스웨덴 통신장비 업체 엔지니어들이 장비 납품 때 미리 심어둔 원격 유지보수 프로그램을 이용하거나 전화로 KT 엔지니어들을 수족처럼 활용하는 방식으로 유지보수를 진행했다. 한국통신은 장비 공급업체 엔지니어를 서울까지 부르는데 따르는 비용을 줄이고, 외산 통신장비 업체들은 엔지니어 인력 운용의 효율성을 높일 수 있었다.

국가 기간통신망을 외산 장비업체 엔지니어 손에 맡겨두는 꼴이었다. 보안 측면에서 보면 위험하기 짝이 없는 선택이었다. 하지만 '우방' 나라 업체라는 이유로 별 문제의식을 갖지 않았다.

지금도 통신 3사는 외산 장비를 많이 사용한다. 삼성전자 장비와 함께 미국의 루슨트테크놀로지·시스코, 스웨덴 에릭슨 등의 장비도 쓴다. 중국 화웨이 장비도 사용하기도 한다. 전 세계 대다수 나라가 이렇게 하고 있다.

그런데 우리나라에서 유독 중국 화웨이 장비를 쓴 게 문제가 될 때가 많다. '보안'을 근거로 삼는다. 그럼 다른 장비는 보안에 문제가 없을까. '우방국' 업체가 공급한 장비니까?

미국의 패권이 무너지며 전 세계가 우방에 기댈 수 없는, 아니 우방에 기대다 뒤통수를 맞는 상황이 가속화하고 있다. 국가 안보뿐만 아니라 통신망 보안 역시 이런 관점에서 재검토되고 재정비돼야 한다는 지적이 많다.

보안 관점에서는 중국산이냐, 미국산이냐, 일본산이냐를 따져 분리 대응하는 게 무의미하다. 다 보안 취약점이 있을 수 있다고 전제하고 대응하는 게 맞다. 마찬가지로 정부나 기업이 통신 기능을 가진 장비를 납품받을 때도 백도어 등이 숨겨져 있다고 가정해 보안 프로그램 요구 등 적극적으로 대응하는 게 맞다.

엔지니어들의 말을 들어보면, 프로그램 개발자들은 '백도어' 등 자신의 흔적을 남겨두려는 유혹을 많이 받는다고 한다. 영웅담 소재로 삼아지기도 한단다. 미켈란젤로가 천지창조 등을 그리며 몰래 자신의 흔적을 남긴 것처럼 말이다.

근거 없이 '중국산'이란 말부터 앞세워진, 경찰청 보디캠 보급 사업 잡음에 대한 경찰 수사와 최형두 의원의 과기정통부 대상 국정감사 지적 및 주문이 앞으로 어떻게 전개될지 주목된다. 계약 내용과 보안 취약점에 집중해야지, 맹목적 '중국산 마녀사냥'이 되지 않길 기대한다. 김재섭 선임기자