상파울루 감시 카메라 5만8천여 대 무단 접근 가능…기밀정보 11개월 노출

[좋은아침] 브라질 상파울루시의 인공지능(AI) 감시 시스템 ‘스마트 삼파’(Smart Sampa)의 기밀정보가 약 11개월간 인터넷에 노출돼 5만8천 대가 넘는 감시 카메라 영상에 무단으로 접근할 수 있었던 것으로 드러났다. 노출된 정보에는 사용자 계정과 비밀번호뿐 아니라 보안 인력의 개인정보도 포함됐다.

20일 브라질 매체 UOL과 G1 등에 따르면 취재진은 인터넷에 공개된 정보를 이용해 스마트 삼파 시스템에 접속하는 데 성공했다. 도로뿐 아니라 학교와 어린이집, 병원 등에 설치된 카메라 영상도 확인할 수 있었다.

노출된 정보에는 시스템 사용자 계정과 비밀번호 181개, 보안 인력 6천여 명의 관련 정보가 포함됐다. 시스템을 다른 컴퓨터나 휴대전화에서 구현할 수 있는 기술 정보도 공개돼 있었다.

취재진은 공개된 정보를 바탕으로 별도의 접속 화면을 만들어 실제 영상을 확인했다. 상파울루 도심 캄푸스 엘리지우스 지역에서는 카메라 8대에 촬영된 자신의 모습을 확인하기도 했다.

상파울루시정부는 정보 유출 사실을 인정하면서도 시스템 자체의 보안 결함은 아니라고 주장했다.

시정부는 정식 접근 권한을 가진 직원이 정보를 불법으로 공개했다며 “해당 직원의 신원을 확인해 직무에서 배제했으며, 시경비대(GCM) 감찰부가 조사하고 있다”고 밝혔다.

또한 인터넷에 공개됐던 데이터 저장소를 폐쇄하고 보안 조치를 강화했다고 설명했다. 사용자별 고유 비밀번호와 2단계 인증을 도입하고, 비밀번호를 새로 설정할 때 문자메시지(SMS) 인증번호를 입력하도록 했다는 것이다.

그러나 노출된 정보에 비밀번호는 없었다는 시정부의 설명은 사용자 계정과 비밀번호를 확인했다는 UOL의 보도와 배치된다. 시정부는 이번 정보 유출과 별개로 플랫폼이 부정하게 이용된 사례는 없었다는 입장이다.

제툴리우 바르가스 재단(FGV)의 치안 전문가인 하파에우 아우카지파니 교수는 시민 보호를 위해 구축한 감시 체계가 오히려 범죄에 악용될 위험이 있다고 경고했다.

그는 범죄자가 카메라 영상을 통해 경찰 순찰차의 위치나 특정 인물의 이동 경로를 파악할 수 있다며 정보 접근 권한을 엄격하게 관리해야 한다고 강조했다.

스마트 삼파는 히카르두 누네스 상파울루 시장(브라질민주운동당·MDB)의 주요 치안 사업으로 2024년 도입됐다. 같은 해 7월 문을 연 통합관제센터는 24시간 운영되며 공공·민간 카메라 영상을 전송받는다. 운영 비용은 월 약 1천만 헤알이다.

이 시스템은 AI 안면인식 기술을 이용해 카메라에 포착된 인물을 수배자·실종자 데이터베이스와 대조한다. 강도·절도 피해 차량과 번호판 복제가 의심되는 차량도 식별할 수 있다.

시정부는 올해 6월 시민이 휴대전화 카메라로 도난 차량 등을 식별하는 데 참여할 수 있는 ‘스마트 삼파 시다당’(Smart Sampa Cidadão) 애플리케이션도 출시했다. 당시 누네스 시장은 감시 장비를 탑재한 헬리콥터를 월 약 200만 헤알에 임차하는 사업도 발표했다.

시정부의 최신 발표에 따르면 스마트 삼파는 지금까지 도피 중인 수배자 3천628명을 검거하고 실종자 284명을 찾는 데 기여했다.

그러나 막대한 예산을 투입한 스마트 삼파가 실제 범죄를 줄였는지는 의문이다.

치안·시민권연구센터(CESeC)는 지난해 발표한 연구에서 스마트 삼파 도입 이후에도 절도·강도·살인 발생률이 통계적으로 유의미하게 감소하지 않았다고 밝혔다. 현행범 체포와 체포영장 집행 건수에서도 뚜렷한 증가가 나타나지 않았다.

연구진은 상파울루시와 감시 시스템을 도입하지 않은 주내 다른 도시들을 비교해 이 같은 결론을 내렸다.

범죄 예방 효과는 확인되지 않은 반면, 안면인식 오류에 따른 시민 피해 사례는 드러났다. 잘못된 얼굴 식별과 갱신되지 않은 수배 정보로 무고한 시민이 경찰의 검문이나 조사를 받았다는 것이다. 연구진은 특히 흑인에 대한 안면인식 오류 가능성과 개인정보 침해 위험을 지적했다.

UOL이 확인한 시정부 자료에 따르면 2024년 11월부터 올해 5월까지 안면인식 경보에 따라 경찰서로 연행됐다가 풀려난 사람은 268명이다. 이 가운데 181명은 갱신되지 않은 체포영장 정보, 75명은 안면인식 불일치, 12명은 등록정보 오류와 관련됐다.

상파울루시정부는 연구 방법과 결론을 반박했다. 사회·경제적 여건과 범죄 양상이 다른 상파울루시와 다른 도시들을 비교하는 것은 부적절하다는 주장이다.

스마트 삼파는 브라질 대선 후보인 플라비우 볼소나루 상원의원(자유당·PL)의 치안 공약에도 참고 모델이 됐다.

볼소나루 의원은 선거운동 기간 전국의 감시 카메라와 범죄 관련 데이터베이스를 연계하는 ‘스마트 브라질’(Smart Brasil) 구축을 공약했다. 주정부·시정부와 협력해 카메라 100만 대 이상을 설치하고 AI 안면인식 시스템을 전국으로 확대한다는 구상이다.

이번 정보 노출 사건으로 대규모 감시 시스템의 보안 관리와 개인정보 보호 문제가 다시 주목받고 있다.