Chat Control: 누가 실제로 당신의 메시지를 읽는가, 그리고 브뤼셀에서 방금 무슨 일이 있었나.

스캔이 불법이었던 석 달

거의 아무도 알아차리지 못했습니다. 2026년 4월 4일부터 7월 9일 사이, 주요 메시징 서비스들은 유럽에서 더는 당신의 대화를 분석할 수 없게 되었습니다. 2021년부터 이를 허용해 온 규정, 이른바 Chat Control 1.0은 봄에 만료될 예정이었습니다. 3월 26일, 유럽의회는 연장을 거부했습니다. 그 결과, 석 달 동안 아무런 법적 근거가 없었습니다. 아무도 제대로 대비하지 못한 법적 공백이었습니다.

그 뒤 이 안건이 되돌아왔고, 이번에는 게임의 규칙이 바뀌어 있었습니다. 2차 독회에서 이사회(Council)의 입장을 거부하려면 출석 의원 과반수 이상이 필요합니다. 전체 720명 의원의 절대 과반, 즉 361표가 필요합니다. 7월 9일, 314명의 의원이 거부에 찬성했고, 276명이 거부에 반대했으며, 17명이 기권했습니다. 47표가 모자랐습니다. 따라서 이 법안은 채택된 것으로 간주되고, 자발적 스캔은 2028년 4월 3일까지 다시 합법이 되었습니다.

같은 표결에서 주목할 만한 대목이 하나 있습니다. 의원들은 종단간 암호화 메시징을 규정의 적용 범위에서 명시적으로 제외하는 수정안을 채택했습니다. 하지만 이사회가 여전히 이를 받아들여야 하며, 이 글을 게재하는 시점에는 아직 발효되지 않았습니다.

이 법이 실제로 허용하는 것

공식 명칭은 규정 (EU) 2021/1232입니다. 2021년 7월에 채택된 이 규정은 당신의 전자 통신 기밀성을 보호하는 법인 ePrivacy 지침에 대한 한시적 예외를 둡니다. 실무적으로는, 이메일 및 메시징 제공자가 아동 성 착취물을 탐지하고 신고하며 아동에게 접근하려는 성인을 포착하기 위해, 자사 서버를 통과하는 내용을 분석할 수 있도록 허용합니다.

먼저 몇 가지 오해를 짚고 넘어갈 만합니다. 어떤 메시징 서비스도 무언가를 스캔하도록 의무화되지는 않습니다. 규정은 이를 선택하는 서비스에 한해 금지를 풀어줄 뿐이며, 대부분의 대형 미국 플랫폼은 2021년보다 훨씬 전부터 이를 하고 있었습니다. 또한 이 예외 조항은 그 밖의 다른 것을 찾는 일을 허용하지 않습니다. 당신의 정치적 견해나 격한 언쟁은 표적이 아닙니다. 이 도구들은 대개 당신의 이미지를 당국이 이미 식별한 자료의 지문(fingerprint) 데이터베이스와 대조합니다.

그러면 '한시적'이라는 단어가 남는데, 이 말은 따옴표를 붙일 만합니다. 이 규정은 3년간 지속될 예정이었습니다. 2024년에 연장되었고, 2026년 4월에 만료되었으며, 이제 막 2년 더 갱신되었습니다. 이토록 많은 예외적 연장을 거치고 나니, 예외가 점점 관행처럼 보이기 시작합니다.

실제로 누가 무엇을 스캔하는가

Gmail, Outlook, Facebook Messenger, Instagram 또는 Snapchat을 사용한다면, 서버를 암호화되지 않은 채로 지나가는 사진과 메시지는 그 지문 데이터베이스와 대조될 수 있습니다. 그 규모는 신고를 집계하는 미국 기관 NCMEC의 수치에서 드러납니다. 2024년 2,050만 건으로, 거의 전부가 플랫폼의 자동 스캔에서 생성된 것입니다.

종단간 암호화 메시징은 차원이 다릅니다. WhatsApp, Signal, iMessage, 그리고 2023년 말부터의 Messenger. 이 서비스들에서는 대화 내용을 전달하는 서버조차 그 내용을 읽지 못합니다. 오직 당신의 기기와 상대방의 기기만이 열쇠를 갖고 있습니다. 그것은 규제가 아니라 수학이며, 어떤 규제도 그것을 바꾸지 못합니다.

바로 그렇기 때문에 최근 몇 년간의 진짜 논쟁은 훨씬 더 침해적인 아이디어로 옮겨갔습니다. 암호화되기 전, 당신의 휴대폰에서 직접 메시지를 스캔하는 것입니다. 이에 대해서는 아래에서 더 다룹니다.

오류를 내는 기계들

이 정도 규모에서는 자동 스캔이 필연적으로 오류를 만들어내며, 그 오류는 드물지 않습니다. Amazon은 자사 표현에 따르면 높은 비율의 오탐(false positive)을 낳는, 일부러 폭넓게 잡은 탐지 임계값을 사용한다고 인정합니다. Stanford 연구진은 2025년 상반기에 NCMEC로 보내진 '생성형 AI'로 분류된 신고 중 거의 80%가 실제로는 AI가 생성한 아동 성 착취물을 전혀 포함하지 않았다는 사실을 밝혀냈습니다.

통계 뒤에는 사람이 있습니다. 가장 잘 알려진 사례는, 팬데믹 기간에 의사에게 보내려고 아들의 감염 부위를 사진으로 찍은 한 미국인 아버지입니다. 클라우드에 자동 백업된 그 사진들이 Google의 알고리즘을 작동시켰습니다. 그의 계정은 하룻밤 사이에 폐쇄되어 10년치 이메일과 사진이 사라졌고, 경찰 수사가 시작되었습니다. 수사는 당연한 결론을 내렸습니다. 신고할 만한 것은 아무것도 없다고요. Google은 계정을 끝내 복구해 주지 않았습니다.

이것이 이 시스템의 맹점입니다. 자동 신고는 증거가 아니지만, 그 결과는 즉각적으로, 때로는 영구적으로 들이닥칩니다. 사람이 무엇 하나 제대로 확인하기도 전에 말입니다.

진짜 논쟁은 끝나지 않았다

2022년 5월에 제안되어 Chat Control 2.0이라는 별칭이 붙은 영구 규정은 원래 훨씬 더 나아갔습니다. 이는 강제 탐지 명령을 규정하고 있었습니다. 암호화된 서비스를 포함해 메시징 서비스가 이용자의 통신을 분석하도록 강제할 수 있는 권한이었죠. 바로 이 법안이 3년간 암호학자, 정보보호 당국, 그리고 시민사회 상당수를 결집시켰고, 이 안건을 이사회에서 교착 상태에 묶어두었습니다.

2025년 11월, 이사회는 마침내 협상 입장에서 강제 스캔을 철회했습니다. 여전히 테이블에 남아 있는 것은 결코 사소하지 않습니다. 자발적 스캔을 위한 영구적 틀, 암호화된 서비스에도 적용될 연령 확인 의무, 암호화에 압박을 유지할 만큼 모호한 '위험 완화' 의무, 그리고 전담 EU 센터입니다. 의회와 이사회 간 협상은 아일랜드 의장국 아래 2026년 9월에 재개됩니다.

요컨대, 1.0은 연장되었고, 2.0은 여전히 협상 중이며, 핵심 질문은 한 치도 움직이지 않았습니다. 암호화된 메시징 서비스가 이용자의 메시지 내부를 들여다보도록 강제될 수 있는가, 예인가 아니오인가?

당신에게 무엇이 달라지는가

→종단간 암호화가 아닌 서비스(일반 이메일, 소셜 네트워크 개인 메시지)에서는 당신의 콘텐츠가 탐지 알고리즘에 의해 합법적으로 분석될 수 있습니다. 2026년 4월 이전에도 그랬고, 지금 다시 그렇습니다.
→종단간 암호화 메시징에서는 서버가 당신의 대화를 읽을 수 없습니다. 암호화가 실제로 켜져 있는지만 확인하세요. WhatsApp, Signal, iMessage에서는 기본값이지만, 그 밖의 모든 곳에서 그런 것은 아닙니다.
→계정은 사람의 개입 없이 자동 신고 하나만으로 정지될 수 있습니다. 모든 것을 하나의 생태계에 맡기기보다는, 정말 중요한 것: 사진과 문서, 을 독립적으로 백업해 두세요.
→그리고 논쟁은 계속될 것입니다. 영구 규정에 대한 협상이 재개되면 기기 내 스캔(on-device scanning)이 다시 테이블에 오를 것입니다.

종단간 암호화는 사기꾼의 도구가 아닙니다. 그것은 당신의 은행, 의료, 가족 간 대화를 보호하는 기술입니다. 유럽의 이 모든 논쟁은 결국 스캔을 허용하기 위해 이를 '아주 조금만' 약화시킬 수 있느냐로 귀결됩니다. 암호학자들은 10년째 같은 답을 내놓고 있습니다. 한 가지 목적을 위해 약화된 암호화는 모두를 위해 약화된 것이라고요.

Trasimène이 하는 일, 그리고 하지 못하는 일

솔직하게 말씀드리겠습니다. 어떤 백신도, 어떤 VPN도 메시징 서비스가 자사 서버를 거쳐 가는 내용을 분석하는 것을 막지는 못합니다. 스캔은 당신이 이미 넘겨준 콘텐츠를 대상으로 플랫폼 쪽에서 이루어집니다. VPN은 당신의 기기와 서버 사이의 경로를 암호화할 뿐, 플랫폼이 그 이후에 당신의 데이터로 무엇을 하는지까지 암호화하지는 않습니다. 누군가 당신에게 "Chat Control 방어"를 판매하려 든다면, 그 판매자를 경계하시기 바랍니다.

Trasimène의 영역은 바로 그 반대편에 있습니다. 당신의 휴대폰에 설치된 스파이웨어, 당신의 데이터를 빼내 가는 앱, 당신의 계정을 노리는 피싱, 그리고 당신이 통제할 수 없는 네트워크에서 오가는 트래픽의 기밀성이 바로 그것입니다. 서버 측 스캔에 맞서는 가장 강력한 지렛대는 한 문장으로 요약됩니다. 종단간 암호화(end-to-end) 메시징을 선택하고, 각 서비스가 당신의 콘텐츠로 무엇을 할 수 있고 무엇을 할 수 없는지를 정확히 파악하십시오.

주변의 소음보다는 이 사안의 큰 그림을 기억해 두세요. 오늘 시행 중인 것은 암호화되지 않은 서비스에서 아동 성 착취물에 한정된 자발적 스캔이며, 2028년 4월까지 연장되었습니다. 아직 결정되지 않은 것은 암호화 메시징의 운명으로, 9월부터 브뤼셀에서 논의됩니다. 그 사이 좋은 습관은 변하지 않습니다. 사적인 것은 종단간(end-to-end) 암호화 메시징으로, 소중한 것은 독립적인 백업으로, 그리고 각 플랫폼이 당신의 콘텐츠로 무엇을 하는지에 약간의 주의를 기울이는 것입니다.

출처

Trasimène: 모바일 보안

Trasimène이 보호하는 것 보기

Trasimène 다운로드 →