올해 초 애플은 한 개발자에게 App Store Connect 접근을 거부했다. 이유는 그가 미국 정부의 제재 대상 명단에 오른 인물과 일치한다는 것이었다. 애플의 설명은 단호했다. "귀하가 제공한 정보가 미국 정부 통합 스크리닝 목록(Consolidated Screening List) 또는 다른 정부의 제재 명단에 오른 하나 이상의 제한 당사자와 완전히 일치합니다."
당사자인 숀 조지프 번(Sean Joseph Byrne)은 정보보안 분야에서 경력의 상당 부분을 미국에서 쌓은 뒤 현재 아일랜드에서 일자리를 찾고 있다. 그는 전체 법적 이름을 제시하고 운전면허증을 올렸으며, 정부 기록에 적힌 주소는 자신이 한 번도 살아본 적 없는 곳이라고 반박했다. 문제는 이 오인이 처음이 아니라는 데 있다. 통합 스크리닝 목록에서 'Sean Byrne'을 검색하면 정확히 하나의 결과, 즉 아일랜드 슬라이고 카운티 드럼클리프의 클룬멀 하우스 주소를 가진 항목이 뜬다. 상무부 산업안보국(BIS)의 엔티티 리스트(Entity List)에 2009년 7월 등재된 이 항목은 수출관리규정(EAR) 대상 전 품목에 대해 '거부 추정' 라이선스 정책이 적용된다.
애초에 실존하지 않았던 이름
이 항목은 아일랜드 항공부품 업체 맥 에이비에이션(Mac Aviation) 기소에서 비롯됐다. 2009년 미 법무부는 숀 번을 이 회사의 영업 담당자로 지목하고 토머스·숀 맥긴 부자와 함께 미국산 항공장비를 이란으로 불법 수출한 혐의로 기소했다. 그러나 맥 에이비에이션은 드럼클리프 마을 외곽 오두막에서 일하던 부자(父子) 두 사람이 전부였고, 회사를 실제보다 크게 보이도록 가공의 직원 이름을 서류에 서명해 넣었다. 숀 번은 그 가짜 이름 중 하나였다. 선데이 타임스의 존 무니는 이 이름이 서류에 하도 자주 등장해 미국 당국이 번이 실존한다고 믿고 기소하려 했다고 보도했다.
결국 2010년 대체 기소장에서 숀 번은 피고인 명단에서 빠졌다. 대체 기소장은 오히려 숀 번을 공모자들이 사용한 가명으로 열다섯 번 넘게 명시했다. 미국 정부가 어느 시점엔 이 이름이 실존 인물이 아님을 파악한 것으로 보이지만, 엔티티 리스트 항목은 16년이 지나도록 살아남았다. 생년월일도, 여권번호도, 중간 이름도 없이 흔한 아일랜드 이름과 슬라이고 주소만 남았다. 그 주소마저 실은 토머스 맥긴의 집이자 회사의 등록 우편 주소였다.
반복되는 오인과 애플의 예외성
동명이인은 여러 번 곤욕을 치렀다. 나스닥은 공개매수를 통한 주식 매도 과정에서 이름 매칭이 걸리자 캘리포니아 거주 증빙을 추가로 요구했고, 담당자는 전화로 맥 에이비에이션을 직접 언급했다. 캘리포니아에서 주문한 스타링크 거치대는 SpaceX를 대신한 DHL이 제한 당사자 매칭을 이유로 여권을 요구한 뒤에야 배송됐고, 미국에서 산 모자 하나조차 여권 사본 없이는 아일랜드로 부쳐지지 않았다. 이들은 모두 오탐(false positive)을 인지하고 충분한 정보를 받아 문제를 해소했다. 반면 애플은 이미 여권을 보유한 상태에서 운전면허증과 상세한 설명까지 받고도 그가 제한 당사자와 '완전히' 일치한다고 통보한 뒤 대화를 중단했다.
이런 오인은 새로운 현상이 아니다. 2006년 CBS '60분'은 항공편 탑승에 번번이 걸린 열두 명의 로버트 존슨을 한자리에 모았는데, 그들이 혼동된 대상은 실존 인물이 아니라 토론토 폭탄 모의로 유죄를 받고 복역 후 추방된 이의 알려진 가명이었다. 소비자 신용 분야에서는 관련 소송도 있었다. 샌드라 코르테스 사건에서 트랜스유니온은 이름만 대조하고 27년 차이 나는 생년월일을 비교하지 않아 배상 판결을 받았고, 법원은 생년월일 미비교를 '비난받아 마땅하다'고 표현했다. 법원이 요구한 해법은 생년월일과 중간 이름 대조였다. 그러나 이번 사례에는 비교할 생년월일 자체가 없다. 완벽하게 작동하는 스크리닝 시스템조차 흔한 아일랜드 이름과 국가라는 단 두 가지 사실만으로 그를 영원히 걸러낼 것이다.
채용 스크리닝이라는 새로운 확산 경로
실무자 관점에서 주목할 지점은 여기서부터다. 원격 채용은 신원 위조 문제, 그리고 북한 IT 인력 문제를 안게 됐다. 북한 노동자들이 도용·조작된 신원과 미국 내 '노트북 팜'을 이용해 미국 기업에 원격 취업했고, 법무부는 100곳 넘는 기업에 인력을 심은 조직을 기소했다. 이에 대응해 지원자관리시스템(ATS) 안에 들어가는 새로운 채용 스크리닝 제품군이 등장했다. Tofu는 채용 담당자가 이력서를 열기 전 40여 개 신호로 지원자를 선별하고 제재 매칭 시 컴플라이언스로 자동 라우팅하며, 배경조사 단계는 이미 늦으니 지원서 제출 시점에 검사해야 한다고 주장한다. 한 고객사가 표시한 후보자는 API를 통해 고객 네트워크 전체에 공유된다고도 한다. Brainner는 35억 개 데이터 포인트 대조를 내세운다.
이 벤더들이 설명하는 제재 스크리닝은 대체로 OFAC의 SDN 목록을 대상으로 하며, 이들이 BIS 엔티티 리스트를 조회한다는 증거는 없다. 그러나 이들의 핵심 논리, 즉 도용된 신원은 SDN 검사를 무사히 통과하므로 더 이르게 더 많이 검사해야 한다는 주장은 오직 한 방향만을 가리킨다. 조작된 인물과 일치하는 실존 지원자에 대한 고려는 어디에도 없다. 나스닥·SpaceX·애플은 최소한 무언가에 걸렸다고 알려주기라도 했지만, ATS는 지원자에게 아무것도 알려주지 않는다. 오탐이 사람 손을 거치기 전에 발생하고 고용주 네트워크로 전파될 때, 무고한 후보자는 자신이 왜 탈락했는지 영영 알 수 없다.
당사자는 BIS 최종사용자검토위원회에 원항목 재검토를 요청했지만 결과를 낙관하지 못한다. 정상 절차는 등재된 본인이 삭제를 요청하는 상황을 전제로 설계돼 있는데, 그는 등재된 숀 번이 아니며 그 인물은 애초에 존재한 적이 없을 가능성이 크다. 존재하지 않는 사람을 명단에서 지우는 표준 경로가 없다는 이 역설이, 이름 기반 스크리닝을 더 이르고 더 광범위하게 밀어붙이는 산업이 놓치고 있는 사각지대를 정확히 드러낸다.