요약

  • RIPE NCC가 2025년 받은 법 집행기관 요청 99건 가운데 81건은 특정 IP 주소 뒤의 인터넷 이용자 신원을 요구했다. RIPE NCC는 그런 정보를 보유하지 않았다고 밝혔다.
  • 보고서는 이 정보 부재 요청을 비공개 정보 요청 10건, 공개 정보 요청 6건, RIPE NCC와 무관한 요청 1건, 구체적 조치 요구 1건과 구분한다.

IP 주소는 단서처럼 보인다. 하지만 고객 명부는 아니다. 2025년 법 집행기관은 RIPE NCC에 특정 주소와 연결된 인터넷 이용자를 81차례 찾아 달라고 요청했다. RIPE NCC의 연례 보고서는 그 신원을 제공할 기록을 보유하지 않았다고 말한다. 대신 지역 인터넷 등록기관(RIR)으로서의 역할을 설명하고, 공개 RIPE Database에서 주소 블록의 등록 보유자를 확인하는 방법을 안내했다.

같은 IP 주소에서 질문이 시작되기 때문에 두 사안은 쉽게 뒤섞인다. “오후 2시 3분에 이 주소를 사용한 사람은 누구인가?”와 “이 블록의 등록상 보유자는 어느 조직인가?” 둘 다 주소를 묻지만 답은 서로 다른 데이터베이스에 있다.

RIR은 인터넷 번호 자원과 등록 정보를 관리한다. 공개 기록은 자원의 보유자를 가리킬 수 있다. 그렇다고 RIPE NCC가 모든 접속통신사의 가입자 시스템이 되는 것은 아니며, 블록 등록 정보가 특정 통신 세션의 이용자 이름을 알려 주는 것도 아니다. 주소는 검색의 출발점이고, 기록은 보유 기관의 경계에서 끝난다.

2025년 수치는 그 경계를 그대로 보여 준다. RIPE NCC는 법 집행기관에서 요청 99건을 받았다. 81건은 해당 기관이 갖고 있지 않은 정보, 즉 특정 IP 주소의 인터넷 이용자 식별을 요구했다. 비공개 정보 요청은 10건, 공개 정보 요청은 6건이었다. 한 건은 RIPE NCC와 무관했고, 한 건은 특정 조치를 요구했다.

비공개 정보 요청 10건은 법적 구속력과 관할권에 따라 갈렸다. 네덜란드 기관의 구속력 있는 요청 8건에 RIPE NCC는 모두 응했다. 한 건은 회원이 후원하는 최종 이용자, 다섯 건은 현재 회원, 두 건은 전 회원에 관한 것이었다. 네덜란드 밖 기관의 비구속 요청도 두 건 있었다. RIPE NCC는 비공개 정보를 내주지 않고 공개 정보만 제공했으며, 네덜란드 법원 명령을 통한 절차를 설명했다.

공개 정보 요청 6건은 절차나 기관에 관한 질문이었다. 네 건은 비공개 정보를 받는 절차를 물었고, 두 건은 RIPE NCC의 제재 절차를 물었다. 공개된 규정과 자료로 답할 수 있는 내용이다. 구체적 조치 요구는 달랐다. 네덜란드 밖의 한 기관이 회원의 국가 정보를 공개 기록에서 바꿔 달라고 요청했다. RIPE NCC는 네덜란드 법원 명령 또는 네덜란드 법에 따라 집행 가능한 다른 명령이 필요하다고 설명했고, 공개 자료는 해당 기관의 주장을 뒷받침하지 않는다고 밝혔다.

연간 추세에도 꺾임이 있다. 2016년부터 2021년까지는 어느 해도 요청이 60건을 넘지 않았다. 2022년 187건, 2023년 200건으로 늘어난 뒤 2024년 115건, 2025년 99건으로 내려왔다. 계속 올라가는 곡선은 아니다. 정점 이후에는 총량보다 구성표가 더 많은 것을 말한다. 상당수는 다른 기관이 가진 기록을 요구했고, 더 적은 수가 RIPE NCC 자체 자료와 법적 절차에 닿았다.

2025년 국가별로는 프랑스에서 32건이 들어와 가장 많았다. RIPE NCC는 이 요청들이 자신이 보유하지 않은 정보에 관한 것이었다고 설명했다. 이 수치는 요청의 출처를 보여 줄 뿐, 관련 사건이나 사람, 수사 건수를 보여 주지는 않는다. 보고서가 공개한 집계 단위는 요청이다.

2026년 7월 RIPE NCC는 현행 절차 RIPE-865를 발표했다. 회원 정보는 공개 정보와 비공개 정보로 나뉜다. 네덜란드 기관은 구속력 있는 네덜란드 명령에 따라, EU 기관은 eEvidence 규정에 따라 비공개 정보를 받을 수 있다. eEvidence 명령에는 비밀유지 규칙이 적용돼 RIPE NCC는 회원에게 통지할 수 없다. 그 밖의 명령은 법령이나 법원 명령이 통지를 금지하지 않는 한 해당 회원에게 알리는 것이 원칙이다. RIPE NCC는 이 절차를 2026년에 발표했다. 2025년 요청은 그해 연례 보고서에 기록된 내용으로 다룬다.

실무적 결론은 범죄 드라마 속 만능 데이터베이스보다 덜 화려하고 훨씬 쓸모 있다. 등록기관은 자기 기록에 적힌 내용을 확인할 수 있다. 특정 시각에 주소를 사용한 가입자의 신원은 다른 기록 보유자가 관리한다. 법적 권한이 조직 사이에서 데이터를 순간 이동시키지는 않는다. 요청은 실제 기록을 보유한 기관에, 그 기관에 적용되는 절차로 도착해야 한다.

RIPE NCC 보고서는 요청 건수만 공개한다. 확인된 이용자 수나 종결된 수사 건수는 집계하지 않는다. 보고서가 분명히 보여 주는 사실은 81건이 RIR이 보유하지 않았다고 밝힌 신원 정보를 요구했다는 점이다. 인터넷 자원 등록부와 다른 기관의 고객 명부 사이의 경계가 여기서 드러난다.

출처: RIPE NCC, 2025년 법 집행기관 요청 보고서(RIPE-854); RIPE NCC, 법 집행기관 정보 요청·명령·조사 처리 절차(RIPE-865).