'정신 상담 치료 기록'이 해킹됐다...세상에 공개된 나의 깊은 비밀

메리-툴리 아우어는 스팸함에서 메일 제목을 보는 순간, 이것이 평범한 스팸 메일이 아니라는 사실을 알아차렸다. 메일에는 그의 이름 전체와 주민등록번호가 적혀 있었다. 주민등록번호는 핀란드 사람들이 공공 서비스와 금융 업무에 접근할 때 사용하는 고유한 번호다.

메일에는 아우어 본인 외에는 알 수 없어야 할 정보들이 가득 담겨 있었다.

발신자는 그가 바스타모라는 정신 치료 전문 업체에서 정신치료를 받아왔다는 사실을 알고 있었다. 이들은 바스타모의 환자 데이터베이스를 해킹했다며, 24시간 안에 비트코인으로 200유로(약 34만 원)를 지불하지 않으면 금액이 48시간 안에 500유로(약 85만 원)로 올라갈 것이라고 했다.

돈을 내지 않으면 그의 이름과 주소, 전화번호, 주민등록번호는 물론, 바스타모 치료사들과 나눈 대화 내용이 담긴 상세한 기록을 모두 공개하겠다고 협박했다.

"그때 공포가 밀려오기 시작했다"고 아우어(30)는 말했다.

"병가를 냈고, 집에 틀어박혀 지냈어요. 밖에 나가고 싶지 않았고, 사람들이 저를 보는 것도 원하지 않았어요."

그는 2020년 10월, 정체를 알 수 없는 얼굴 없는 해커에게 몸값을 요구받은 바스타모 환자 3만3000 명 가운데 한 명이었다.

이들은 자살 시도, 외도, 아동 성폭력 피해 등 가장 사적인 생각과 경험을 치료사들과 공유해왔다.

인구 560만 명의 핀란드에서 주변에 상담 기록을 도난당한 사람이 한 명쯤은 있는 수준이었다. 이 사건은 국가적 스캔들이 됐고, 핀란드 역사상 최대 범죄로 기록됐다. 당시 산나 마린 총리는 대응 방안을 논의하기 위해 긴급 각료회의를 소집했다.

하지만 해커를 막기에는 이미 늦은 뒤였다.

해커는 바스타모 환자들에게 협박 메일을 보내기 전에 바스타모에서 훔친 상담 기록 전체 데이터베이스를 다크웹에 공개했다. 그 결과 누군가가 몇 명이나 이 기록을 읽거나 내려받았는지는 알 수 없게 됐다. 이 상담 노트들은 이후 계속해서 유통돼 왔다.

아우어는 폭음 문제와 자신보다 훨씬 나이가 많은 남성과의 비밀스러운 관계 등, 가장 가까운 가족에게도 털어놓고 싶지 않았던 이야기들을 치료사에게 말했다.

그리고 그의 깊은 두려움은 현실이 됐다.

그런데 이 해킹 사건은 그를 무너뜨리는 대신, 스스로가 생각했던 것보다 훨씬 더 강인한 사람이라는 사실을 깨닫게 했다.

헬싱키 외곽에 살고 있는 아우어의 집은 밝은 분위기다. 선반에는 바비 인형 관련 소품들이 가득 놓여 있고, 거실 한가운데에는 폴댄스 봉도 설치돼 있다. 하지만 아우어는 겉으로 보이는 모습에 속지 말라고 말했다. 그는 삶의 대부분을 우울증과 불안 속에서 보내왔다.

"저는 외향적이고 자신감도 강한 편이고, 사람들과 어울리는 걸 좋아해요."

"하지만 동시에, 사람들이 모두 저를 멍청하고 못생겼다고 생각하고, 제 인생이 실수의 연속이라고 여길 것 같다는 느낌이 늘 따라다녀요."

아우어는 2015년 처음으로 도움을 요청했다. 그는 바스타모 치료사에게 자신의 정신 건강 문제와 음주 습관, 그리고 18살 때 가족에게 숨겼던 나이 많은 남성과의 관계에 대해 털어놓았다. 그는 치료사를 완전히 신뢰했고, 그의 도움으로 실제로 큰 진전을 이뤘다고 말한다. 다만 치료사가 자신과의 대화를 어떤 식으로 기록해 두고 있었는지는 전혀 알지 못했다.

몸값을 요구하는 이메일을 받았을 무렵, 바스타모 해킹 사건에 대한 보도는 이미 세상에 알려진 상태였다. 그리고 사흘 전, 해커는 바스타모에 더 큰 압박을 가하기 위해 다크웹에 상담 기록을 하루 100건씩 나눠 공개하기 시작했다. 비트코인으로 약 7억에 해당하는 거액의 값을 받아내기 위한 수법이었다.

아우어는 결국 기록들을 확인해봐야겠다는 생각이 들었다고 말했다.

"다크웹을 써본 적은 한 번도 없었어요. 하지만 제 기록이 거기에 있는지 직접 확인해야만 할 것 같았죠."

자신의 기록이 올라와 있지 않다는 걸 확인한 뒤에는 파일을 닫았고, 다른 사람들의 기록은 읽지 않았다고 그는 말했다. 다만 다크웹에서 다른 이용자들이 환자들의 고통을 조롱하는 모습을 보게 됐다고 했다.

"10살짜리 아이가 상담을 받았다는 사실을 두고, 사람들이 웃고 있었어요."

그리고 며칠 뒤, 바스타모 환자 전원의 상담 기록이 모두 공개됐다는 사실이 분명해지자 그의 정신 상태는 급격히 악화됐다.

누가 책임자인지, 또 누가 자신의 가장 사적인 생각을 읽었을지 알 수 없는 상황에서 그는 대중교통을 타는 것조차 두려워졌고, 집을 나서거나 우편배달원이 문을 두드리는 것조차 감당하기 어려워졌다. 해커가 붙잡힐 것이라는 기대도 점점 사라졌다고 말했다.

핀란드 수사 당국 역시 방대한 데이터를 일일이 분석해야 했던 만큼 용의자를 찾아낼 수 있을지 우려했다.

핀란드 경찰에서 수사를 이끈 마르코 레포넨 형사가 "규모를 상상조차 할 수 없었다. 일반적인 사건이 아니었다"고 말했다.

하지만 2년간의 수사 끝에, 2022년 10월 경찰은 마침내 용의자를 특정했다. 이미 사이버 범죄로 알려진 인물인 율리우스 키비마키였다.

지난 2023년 2월 키비마키는 프랑스에서 체포돼 기소를 위해 핀란드로 송환됐다.

소를 제기한 바스타모의 전 환자 2만1000 명을 모두 수용할 수 있는 법정은 없었다. 그래서 영화관 등 공공장소에서 재판을 시청할 수 있도록 상영회가 열렸다.

아우어는 키비마키가 법의 심판을 받는 모습을 직접 보기 위해 상영회 가운데 하나에 참석했고, 그의 평범한 외모에 놀랐다고 말했다.

"정말 평범한 핀란드 젊은이처럼 보였어요. 누구라도 그럴 수 있었겠다는 생각이 들었어요."

그가 유죄 판결을 받고 징역 6년 7개월을 선고받았을 때, 아우어는 그 판결이 자신의 고통이 법적으로 인정받았다는 확인처럼 느껴졌다고 말했다.

"어떤 형벌도 모든 일을 보상해줄 수는 없어요. 하지만 법원이 피해자들의 고통을 인정했다는 점, 그 점이 고마웠어요."

키비마키는 계속해서 해킹 사건에 대한 책임을 부인하고 있다.

해킹 사실을 알게 된 뒤 몇 달 후, 아우어는 바스타모에 자신의 상담 기록을 종이 문서로 요청했다.

상담 기록이 공개된 지 5년이 넘었지만, 바스타모 환자들은 지금도 피해를 입고 있다. 누군가는 다크웹에서 이름만 입력하면 상담 기록을 찾을 수 있는 검색엔진까지 만들어 놓았다.

아우어는 유출된 자신의 상담 기록 일부를 BBC에 공유했다.

그는 치료사가 처음 몇 차례 상담에서 남긴 기록을 읽어줬다.

"환자는 대체로 분노가 많고 충동적이며 냉소적이다. 과거를 산만하게 회상한다. 또래에게서 흔히 나타나는 미숙한 성향 때문에 대인관계에 어려움이 있다."

처음 이 기록을 읽었을 때 마음이 무너졌다고 말했다.

"상담사가 저를 이렇게 묘사했다는 사실이 상처가 됐어요. 예전의 제 모습이 너무 안쓰럽게 느껴졌죠."

그는 이번 유출 사건으로 환자들의 신뢰가 크게 훼손됐다고 말한다.

"수년 동안 상담을 받아왔던 바스타모 이용자들 가운데, 이제 다시는 상담 예약을 하지 않겠다고 말하는 사람들이 많아요."

해커를 상대로 한 민사 소송에서 피해자들을 대리하고 있는 변호사는 상담 기록이 도난당했다는 사실을 알게 된 뒤 스스로 목숨을 끊은 사례가 최소 두 건 있다고 말했다.

아우어는 자신의 두려움과 정면으로 마주하기로 결심했다. 그는 소셜미디어에 해킹 피해 사실을 직접 알리며, 자신 역시 피해자 중 한 명이라는 점을 공개했다.

"이미 저를 아는 사람들이 다 알고 있다는 사실이 오히려 훨씬 편했어요."

그는 유출된 기록에 담긴 내용, 그동안 가족에게도 말하지 않았던 비밀스러운 관계에 대해서도 가족과 솔직하게 이야기했다.

"사람들은 정말 많이 지지해줬어요."

마침내 그는 자신의 이야기에 대한 주도권을 되찾기 위해, 자신의 경험을 담은 책을 출간했다. 제목을 직역하면 '모두가 알게 된다'는 뜻이다.

"이야기로 엮어냈어요. 적어도 제 입장에서의 이야기는 제가 직접 말할 수 있잖아요. 상담 기록에는 드러나지 않는 이야기 말이에요."

아우어는 이제 자신의 비밀이 영원히 온라인 어딘가에 남아 있을 것이라는 사실을 받아들이게 됐다고 말한다.

"제 마음의 안정을 위해서는 그거에 대해서 그냥 생각하지 않는 게 나아요."