사이버 전문가들, 자메이카가 허리케인 기부 사이트 Support Jamaica를 소유하지 않는다고 경고

사이버보안 전문가들은 허리케인 멜리사 생존자 기부를 모으는 데 사용된 Support Jamaica 웹사이트를 자메이카 정부가 소유하지 않는다고 경고하고 있다. 이는 재난대비비상관리청(Office of Disaster Preparedness and Emergency Management, ODPEM)의 증언 이후 기부자 정보를 누가 통제하는지에 대한 새로운 의가 제기된 데 따른 것이다.

2026년 2월 기준, 해당 플랫폼을 통해 약 $1.4 billion이 모금됐다. 온라인으로 기부하는 사람들은 이름, 이메일 주소, 전화번호, 카드 정보를 제공해야 한다. 사이트에는 Amber Group이 구축해 기증했다고 명시돼 있다.

의회 공공회계위원회에서 소유권에 대해 추궁받자, ODPEM 청장 Commander Alvin Gayle은 민간 개발업체가 여전히 웹사이트를 보유하고 있다고 밝혔다. 해당 업체가 플랫폼을 구축해 서비스로 제공하며, 1년간의 무료 이용도 포함된다고 했다. 그는 현재는 공식 협약이 체결돼 있다고 확인했지만, 사이트 개발·출시가 급하게 이뤄지던 초기에는 그런 협약이 없었다고 말했으며, ODPEM은 이후 웹사이트와 그 운영 방식을 다루는 서명 협약을 반드시 마련하라고 요구했다고 했다.

한 사이버보안 전문가는 이 같은 구조를 「모범 관행에 대한 명백한 위반」이라고 부르며, 사이트가 「정부를 대신해 자금을 모으는 국가 인프라」의 일부이므로 「정부에 이관됐어야 한다」고 주장했다. 보안 관점에서 보면 「논리적으로 타당하다」고 해당 전문가는 말했다.

또 다른 전문가는 Amber Group 계약 내용을 안다고 주장하지는 않으면서도, 바람직한 모델은 정부 개발자가 애플리케이션을 구축하고, 프라이버시 보호를 위한 보안 테스트를 실시하며, 정부의 프라이빗 클라우드나 내부 시스템에 호스팅한 뒤, 그때서야 대외에 공개하는 것이라고 말했다. 그 접근법이라면 「모든 보안, 모든 데이터, 모든 호스팅 체계가 정부의 소유·관리하에 있게 된다」고 해당 전문가는 설명했다.

Commander Gayle은 위원회에, 개인정보 처리방침에 따르면 개발업체와 ODPEM 모두 데이터에 접근할 수 있다고 밝혔다. 그는 데이터 보호 협약이 플랫폼 사용이 종료된 뒤 정보를 어떻게 삭제해야 하는지를 규정하고 있으며, 그때부터는 개발업체가 접근할 수 없다는 보장이 있다고 말했다. 다만 개발업체가 데이터를 열람할 때 자동 알림은 없다. 그는 또한 권한이 부여된 ODPEM 담당자가 특정 기록을 누가 열람했는지 확인할 수 있도록 사이트를 감사할 수 있어야 한다고 덧붙였다.