임씨 숨져 전모를 알 수 없다? 해킹 관여 최소 4명 더 있다

2013년 7월 국가정보원이 이탈리아 해킹팀에 보낸 원격제어시스템(RCS) 운용 화면이다. 해킹팀 유출 자료에서 발견 된 이 화면에는 국정원의 사용자(Users) 수가 5명으로 표시돼 있다. 좌측 하단의 프로그램 관리자 아이피는 2014년 시티즌랩이 발표한 국정원 아이피와 동일하다. 해킹팀 유출 자료 갈무리

의혹 키우는 국정원 해명

국가정보원이 해킹 프로그램인 원격제어시스템(RCS)을 구입·운용해온 데 대해 27일 국회 정보위원회에서 “민간인 사찰은 없었다”고 해명했지만, 곳곳에서 파장을 축소하려 한 정황이 드러나면서 되레 의혹을 키우고 있다. 국정원은 구체적인 근거도 없이 일방적으로 “믿어달라”고 강변하면서, 숨진 직원 임아무개(45) 과장한테 책임을 떠넘기려는 태도도 보였다. 전문가들은 ‘전형적인 꼬리자르기식 행태’라고 입을 모았다. 여전히 해소되지 않은 의혹의 진상을 밝히는 일은 이제 검찰의 몫이 됐다.

이탈리아 ‘해킹팀’에 보낸 이메일에
프로그램 사용자 5명으로 기록
나나테크 대표도 “5명 안팎” 밝혀

① 임씨 없어서 해킹 전모 모른다? 이병호 국정원장은 “아르시에스 관련 모든 일은 (지난 18일 숨진 채 발견된) 임 과장 주도로 해왔고, 임 과장이 모든 책임을 져왔다”며 “임 과장이 사망하면서 전모를 알 수 없게 됐다”고 국회에 보고한 것으로 전해졌다. 실제 임씨가 아르시에스 도입 과정에서 주도적 구실을 한 것은 사실로 보이지만, 그가 숨지면서 아르시에스 도입과 운용 과정에서 어떤 문제가 있었는지를 구체적으로 파악하기 어렵다는 해명은 설득력이 매우 낮다.

<한겨레>가 해킹팀 유출자료 등을 분석한 결과, 아르시에스 도입·운영에 관여한 국정원 직원은 적어도 5명에 이른다. 한 예로 해킹팀을 꾸준히 접촉한 국정원 직원(devilangel1004, 데블에인절)이 2013년 7월29일 해킹팀에 문의한 전자우편을 보면, (해킹 정보 수집장치인 ‘콘솔’을 쓸 수 있는) 사용자(users) 권한을 5명에게 부여하고 있다. 국정원과 해킹팀을 중개했던 나나테크의 허손구(60) 대표도 <한겨레> 인터뷰에서 “이 일에 관련된 국정원 직원은 5명 안팎으로 안다”고 밝혔다.

다른 전자우편에서도 2010년 12월7일 ‘고객’(customer) 5명과 나나테크 및 해킹팀 직원들이 서울시내 한 호텔에서 만났다는 기록이 있고, 2011년 10월28일 나나테크의 ‘고객’ 2명이 해킹팀 본사를 방문한다는 내용도 있다. 나나테크의 해킹팀 관련 고객은 국정원뿐이다. 2013년 2월말 아르시에스 관련 교육차 한국에 온 해킹팀의 출장 기록에는 “교육에는 부서장을 포함해 국정원(SKA) 직원 4명이 참가했다”는 대목도 나온다. 복수의 국정원 직원이 아르시에스 운영 등에 관여한 정황이 뚜렷한 걸로 봐 “데블에인절은 임씨와 임씨 후임자”라고 한 국정원의 해명은 축소된 것으로 보인다.

무엇보다 아르시에스를 통해 해킹 대상으로 삼은 인물과 수집한 정보에 대해 임씨의 윗선이 모를 리 없다는 점에서 꼬리 자르기라는 지적도 나온다. 정보위 여당 간사인 이철우 새누리당 의원은 28일 <문화방송> 라디오에 나와 “이분은 기술자이기 때문에, 대북 공작하는 데나 대테러 담당하는 데서 대상자를 선정해주면, 거기에 대한 단순한 기술업무만 하는 것”이라고 말했다. 다시 말해 해킹 목표물(타깃)을 선정해 임씨에게 임무를 부여하고, 해킹 대상에 대한 정보를 수집·분석한 부서나 윗선이 따로 있다는 것이다. 결국 임씨 말고도 아르시에스 도입·운영 과정에 민간인 사찰 등의 불법행위가 있었는지 파악할 수 있는 인사가 더 있음에도, 국정원은 임씨에게 모든 책임을 떠넘긴 셈이다.

국정원 실험용? ‘해킹팀’에 보낸 이메일에 “실제 타깃” 썼다

② SKT 아이피 3개는 국정원 테스트용? 해킹팀 유출 자료에서 드러난 에스케이텔레콤(SKT) 아이피(IP) 주소 3개는 민간인 사찰 의혹을 증폭시킨 유력한 단서였다. 27일 정보위에서 국정원은 ‘국정원 소유 스마트폰으로 실험용으로 썼던 아이피들’이라고 설명한 것으로 전해졌다. 그러나 이런 설명과 달리 국정원은 당시 해킹팀에 보낸 전자우편에서 해킹 대상이 “실제 타깃”(real target)이라면서, 중동호흡기증후군(메르스) 관련 웹페이지나 중국 음란물 누리집 등을 스파이웨어 감염용 미끼로 만들어 달라고 했다. 다른 전자우편에서 실험용에 대해선 “테스트”라고 명시한 것과 뚜렷한 대조를 이룬다.

SKT 아이피 3개는 국정원 휴대폰?
SKT쪽 “서버기록 확인 없었다”

실시간 카톡 감청 안된다?
해킹팀 “채팅 내용 가로챌 수 있어”

삭제자료 31건, 직원사찰용 가능성
검찰 수사로 의혹 밝혀야

또 특정 스마트폰이 특정 시간에 어떤 아이피를 쓰고 있었는지는 통신사의 서버 기록을 확인해야만 알 수 있는 기록으로 법원의 영장 없이는 당사자라도 알지 못한다. ‘국정원이 이에 대한 공식적인 확인을 했느냐’는 <한겨레> 질문에 에스케이텔레콤 관계자는 “그런 사실이 없다”고 답했다. 국정원은 자신들의 에스케이텔레콤 가입 스마트폰을 대상으로 실험을 한 시간과 이탈리아 해킹팀 서버에 기록된 공격 성공 시간이 일치한다는 점을 근거로 대지만 이는 ‘셀프 검증’에 불과하다는 얘기다.

③ 의혹만 증폭시킨 자살 동기 임씨의 사망과 관련해서도 국정원은 기존 태도와 다른 모습을 보였다. 이철우 의원은 “임씨가 파일을 지운 시각이 17일 새벽 1시에서 3시 사이인데, 국정원장이 17일 오후 원본 파일을 모두 공개한다고 하자 엄청 (심리적) 압박을 받아서 (이튿날인) 18일 순박한 사람이 극단적 선택을 한 것”이라고 말했다. 이 말대로라면 야당의 압박보다는 국정원의 원본 공개 방침과 이어질 수 있는 책임 추궁에 대한 우려가 스스로 목숨을 끊게 된 직접적 원인이었던 셈이다. 그동안 ‘야당과 언론의 압박’ 탓에 임씨가 극단적인 선택을 했다는 주장과는 다소 다른 설명이다.

설령 그렇다 해도 국정원 해명대로 해킹 행위 상당수가 실험용이었고 성공한 건 대북·대테러 용도였던 게 분명했다면 임씨에게 돌아올 책임은 크지 않다. 또 다른 국내 정보기관 관계자는 “상부의 지시를 받은 일만 했다면 이런 사건에서 절대 실무자가 책임지도록 하지 않는다. 그렇게 하면 영이 서지 않아서 조직이 붕괴된다”며 의혹을 제기했다.

④ 실시간 카톡 감청 안 된다? 이날 정보위에서 국정원장은 “아르시에스로 실시간 카카오톡 도청은 불가능하다”고 말했다고 정보위원들은 전했다. 하지만 아르시에스는 관리자 권한을 가로채는 해킹 프로그램이기 때문에 국정원장의 해명은 ‘말장난’에 불과하다는 게 전문가들의 의견이다. 유출된 아르시에스의 설명서를 보면 이 프로그램은 해킹 대상의 모든 키로그(채팅창 입력 내역 등)를 가로채고 스크린 캡처도 가능하다. 감시자가 마음만 먹으면 대상의 카카오톡 화면도 캡처할 수 있다는 뜻이다. 그런데도 ‘실시간’으로 불가능하다는 사실을 앞세우는 건 불법 감청 논란을 피해가기 위한 의도로 풀이된다. 개발자 이준행씨는 “국정원 설명은 ‘몇 초 늦게 수신한 도청은 실시간 도청이 아니다’라는 말과 같은데 본질과 멀어 보인다”고 말했다.

⑤ 실험용 31건은 내부 직원 감찰용? 국정원은 임 과장이 삭제한 51건 가운데 31건은 ‘자체 실험용’이었다고 설명했다. 하지만 이 실험이 스마트폰 소지자가 아는 상태에서 한 실험인지, 모르는 상태에서 한 실험인지는 확인되지 않았다. 야당 관계자는 “(실험 대상이라는 해명이) 내부 직원 사찰용일 가능성도 있다고 본다”고 말했다. 이 역시 불법이다. 로그 기록으로는 실험인지 사찰용인지 구분하기 쉽지 않기 때문에 추가 조사가 필요하다.

김외현 권오성 조승현 기자 [e-mail]