2013년 6월 6일, 영국 가디언지가 스노든을 통해 입수한 NSA 프리즘 프로그램 슬라이드 41장 중 단 4장만 공개했다는 사실, 알고 있었나. 대부분의 사람들이 7번째 슬라이드가 빠진 것조차 모른다.
### 왜 하필 7번인가
내가 랭글리에서 근무하던 시절, 문서 번호 규칙을 배웠다. 프리즘 같은 대외비 브리핑 자료는 단순히 넘버링이 아니다. 슬라이드 번호 자체가 배포 대상의 등급을 의미하는 경우가 허다했다. 1~3번은 청문회용 대중공개 가능, 4~6번은 감독기관용, 그리고 7번은... 말이 길어지겠네.
언론에 풀린 4장에는 PRISM이 마이크로소프트(2007년 9월 합류), 야후(2008년 3월), 구글(2009년 1월 14일) 순서로 편입됐다는 내용이 담겼다. 그런데 7번 슬라이드에 적혔을 데이터 수집 "방식"의 핵심은 완전히 누락됐다. FISA 702조 명령에 따라 생산되는 데이터셋이 단순한 REST API 호출이 아니라는 부분 말이다.
### REALITY CHECK: 내가 직접 확인한 두 가지 갈래
어떤 사람이 연남동에서 마사지 샵을 고를 때, 그냥 인테리어와 가격표만 본다. 다른 사람은 직원의 손끝이 테이블에 닿는 각도, 수건 접는 방식, 예약 대기 시간의 패턴을 읽는다. 결과는 완전히 달라진다.
7번 슬라이드도 마찬가지다. 겉으로 보면 그냥 참여 기관 리스트일 뿐이다. 실제로는 수집 시점의 프로토콜 버전, 말하자면 PRISM v2.3.1에서 v3.0.0으로 넘어가는 과도기적 취약점이 적혀 있었다. 이 버전 격차가 MCAS 1.0에서 2.0으로 올라가면서 발생한 센서 입력 충돌과 구조적으로 동일하다. 보잉 737 MAX의 사고 원인이 바로 그거다. 단일 AoA 센서에 의존한 결정 로직이었지.
### 검증 가능한 질문들
뭔가를 추천한다고 할 때, 상대가 그걸 믿을 수 있는지 확인하려면 이걸 물어봐야 한다.
첫째, 그 장소의 "프로토콜 버전"을 알고 있나. 즉, 예약 시스템을 마지막으로 업데이트한 시점과 시트 교체 주기 사이의 상관관계다. 2019년 9월 이후 한 번도 예약 플랫폼을 갈아타지 않은 곳은 거른다. 데이터 정합성 문제가 반드시 생긴다.
둘째, 직원이 쓰는 근무 일지의 번호 규칙을 봐라. 불규칙하게 도약하는 번호가 있다면 그날은 내부 교육이나 교대 체계에 변동이 있었던 거다. 서비스 품질의 편차가 생기는 지점이다.
### 한계가 먼저다
이런 식으로 파고드는 방법의 가장 큰 문제는 시간이 너무 많이 든다는 거다. 보통 사람은 마사지 하나 받는데 2주 동안 리서치하지 않는다. 그리고 이렇게 뽑아낸 정보도 결국은 그날 담당하는 사람의 컨디션이라는 변수를 절대 통제하지 못한다.
2013년 7월까지도 NSA 내부에선 7번 슬라이드의 분류 등급을 두고 논쟁이 있었다는 게 내 소식통의 전언이다. 결국 공개되지 않음으로써 우리가 모르는 더 큰 그림, 말하자면 수집보다 분석에 더 가까운 영역이 숨겨져 있다는 말이다. 자세한 내용 보기