– 최근 2달 총 24번 접속, 국내 실전용 해킹은 2회 추정

뉴스타파가 이탈리아 해킹팀 서버의 최근 2달간 접속 기록을 분석한 결과 국정원은 해킹팀 프로그램을 통해 모두 24건의 해킹을 시도했으며 이 가운데 해외 통신망에서 이뤄진 해킹은 15건, 국내 통신망에서 이뤄진 해킹은 2건으로 분석됐다. 또 나머지는 국내에서 테스트용으로 이뤄진 해킹이었던 것으로 나타났다.

유출된 해킹팀 자료에 들어있던 접속 기록은 해킹 목표물이 감염서버로 유인돼 접속하면서 남긴 기록이다. 여기엔 지난 5월과 6월에 이뤄진 전세계 해킹팀 고객의 해킹 시도 기록이 남아 있다.

이 접속 기록에는 감염서버에 접속한 일시와 해킹 목표가 된 단말기의 정보, 아이피 주소, 감염이 이뤄진 웹페이지 주소, 스파이웨어 설치 성공 여부 등이 포함돼 있다.

뉴스타파 취재진은 접속 기록에 포함된 이같은 정보들과 해킹팀이 국정원에 제공한 해킹용 웹페이지 주소와 첨부파일이 일치하는 지 여부를 비교해 국정원이 시도한 해킹 기록 24건을 찾아냈다.

어디를 해킹했나?

전체 24건 가운데 해외에서, 즉 해외통신망을 이용해 이뤄진 해킹이 총 15건으로 가장 많았다. 지역별로는 중국과 유럽, 동남아, 아프리카 등으로 폭넓게 이뤄졌다. 그러나 실제 해킹용 스파이웨어를 설치하는데 성공한 경우는 3건에 불과했고 12건은 실패한 것으로 나타났다.

해외에서 이뤄진 해킹 시도는 모두 국정원이 실전용이라고 해킹팀에 밝힌 것들이었다.

국내 통신망을 이용한 경우는 모두 9건이었는데 이 가운데 6건은 국정원이 테스트용이라고 밝힌 것이었고 실제로 아이피 주소(223.62.169.10, 223.62.169.56)도 겹치는 것이 많았다. 테더링으로 SK텔레콤 이동통신망에 접속해 개통하지 않은 다양한 단말기를 가지고 해킹 시험을 했기 때문에 아이피 주소가 서로 일치했던 것으로 보인다. (테더링: 휴대폰을 무선모뎀으로 활용해 인터넷에 접속하는 방식)

또 아이피 주소 223.62.169.56을 사용했던 갤럭시노트2(SKT모델) 단말기의 경우 국정원은 실전용이라고 밝혔지만 위의 테스트용 아이피주소와 겹치는 것으로 미뤄 역시 테스트용으로 분류했다.

이에 따라 국정원이 국내에서 실전용으로 실제 해킹에 사용한 것으로 보이는 접속 기록은 2건으로 추려졌다.

▲ 아이피 주소 앞 두자리인 223.62.*.*는 SK텔레콤이 국내에서 LTE 대역으로 사용하는 아이피 대역이다.

하나는 국정원이 실전용이라고 밝히면서 메르스 정보 사이트를 이용해 해킹을 요청했던 것으로 브라우저 설정이 한국어로 되어 있다. 또 하나는 영어로 설정된 단말기로 역시 실전용으로 국정원이 요청한 것이다.

▲ 미국 질병통제센터 CDC의 메르스 관련 페이지를 미끼 URL로 해킹 요청한 국정원 관리자의 이메일

물론 국정원이 실전용이라고 해킹팀에 요청했던 갤럭시노트2의 경우 아이피 주소의 앞 세자리(223.62.169.*)가 다른 테스트용(223.62.169.*)과 같은 것으로 볼 때 실제로는 실전용이 아닐 수도 있다. 그러나 다른 테스트용과는 다르게 매우 구체적인 사이트를 명시한 점으로 미뤄 충분히 국내 이동통신가입자를 상대로한 해킹이 아니냐는 의혹을 가질 수 있다

또 두번째 사례의 경우도 아이피 주소와 미끼 URL이 테스트용과 다른 것을 감안할 때 국내에 입국한 해외 교포나 외국인을 상대로 해킹을 시도한 것이 아니냐는 의심이 가는 대목이다.

다른 해킹 사례는 확인이 안되나?

뉴스타파는 앞서 공개한 자료 <국정원이 해킹팀에 보낸 ‘감염 요청 메일’ 분석 결과> 에서 내국인을 상대로 사용된 것으로 추정되는 미끼 URL과 첨부파일이 모두 43개에 이른다고 보도했다. 이 가운데 2013년에 미국의 안수명 박사를 목표로 한 것으로 보이는 해킹 요청 외에도 지난 3월말과 4월 중순 사이에 한국인을 목표로 했을 것으로 의심되는 사례가 집중돼 있다.

내국인을 상대로 하지 않았다면 미끼 URL로 한글로 된 맛집 소개나 축제 관련 블로그를 사용했을 리가 없기 때문이다.

하지만 이런 미끼 URL을 이용한 해킹 시도가 누구를 대상으로 어디에서 이뤄졌는지 현재로선 확인할 방법이 없다. 해킹팀의 서버에는 접속 기록이 지난 5월과 6월치만 보관돼 있기 때문이다.

또 이동통신사를 대상으로 접속기록을 확인한다고 해도 이동통신사는 인터넷 접속 로그기록을 3개월만 보관하도록 돼 있기 때문에 위에서 언급한 2015년 5월 이전의 의심사례를 확인하는 것은 힘들다.

뉴스타파가 분석한 해킹팀 서버의 해킹 기록은 국정원의 해명대로 해외에서 주로 해킹이 이뤄졌으며 국내에서 테스트용으로 사용한 경우도 있다는 것을 보여주지만 자국민에 대한 해킹의혹을 완전히 해소시켜주는 것은 아니다.

더구나 해킹팀 유출 자료로 분석할 수 있는 접속기록은 최근 2달치에 불과한 반면 국정원이 해킹프로그램을 운용한 기간은 지난 2012년 1월부터 지금까지 3년 6개월에 이른다.

국정원은 지금까지 대테러, 대북 공작을 위해서 해외에서 해킹프로그램을 사용하거나 테스트용으로만 사용했을 뿐 자국민을 대상으로는 사용한 적이 없다고 해명하고 있다.

또 국회 정보위원들이 국정원을 방문하게 되면 그동안의 해킹프로그램 사용기록을 모두 공개하겠다는 입장이다. 과연 해킹팀과 거래를 시작한 2012년부터 현재까지 기록을 투명하게 모두 공개할지 주목된다.

이번에 분석한 접속 기록 관련 자료는 뉴스타파 <국정원과 해킹팀> 데이터 페이지 에서 볼 수 있다.

윤석열과 박형철, 그리고 이시원과 이문성 검사

지난 6일 발표된 법무부 인사에서 국정원 대선개입사건 담당 검사와 간첩증거 조작사건 담당 검사의 운명이 엇갈렸다.

대선개입 사건 특별수사팀에서 팀장과 부팀장을 맡았던 윤석열 검사(23기)와 박형철 검사(25기)에 대해 각각 대구고검에서 대전고검으로, 대전고검에서 부산고검으로 인사 발령이 났다. 또다시 한직으로 여겨지는 고검으로 발령이 난 것이다.

반면 유우성 씨 간첩사건을 수사지휘하다 조작된 증거를 법정에 냈던 이시원 검사(28기)와 이문성 검사(29기)는 모두 1년 5개월만에 지방고검 탈출에 성공했다. 이시원 검사는 대구고검에서 법무연수원 기획과장으로, 이문성 검사는 광주고검에서 전주지검 부장검사로 인사발령이 났다.

대전고검 발령 2년 만에 다시 부산고검으로 인사 통보를 받은 박형철 검사는 다음날(7일) 사표를 제출했다.

윤석열 검사는 뉴스타파와의 통화에서 “박형철 검사는 서울에 있는 가족과 오랫동안 떨어져 있으면서 힘들어했다”면서 “그런데 현재보다 먼 부산으로 내려보냈기 때문에 가족과 논의 끝에 결정을 내린 것으로 안다”고 말했다.

▲ 왼쪽 위부터 시계방향으로 윤석열, 박형철, 이문성, 이시원 검사

유능했다…그러나 모두 정의롭지는 않았다.

이들 4명의 검사들에겐 공통점이 있다. 좌천성 인사를 받고 지방고검으로 내려가기 전에 징계를 받았다는 사실이다.

윤석열 검사와 박형철 검사는 검사장의 승인없이 국정원 직원에 대한 체포영장을 집행했다는 이유로 각각 정직 1개월과 감봉 1개월의 징계를 받았고, 이시원 검사와 이문성 검사는 유우성 씨 간첩사건에서 조작된 증거를 제대로 확인하지 않고 항소심 재판부에 냈다가 각각 정직 1개월의 징계 처분을 받았다.

또 한 가지 공통점은 이들이 모두 검찰 안팎에서 인정받는 유능한 검사였다는 점이다.

윤석열 검사는 대검 중수부 1.2과장과 서울지검 특수1부장을 지내며 현대차 비자금 사건, 론스타 헐값 매각 사건 등 대형사건을 처리했던 ‘특수통’이었고 박형철 검사는 선거법 분야에서 이시원 검사는 공안기획분야에서 검찰조직으로부터 능력을 인정받으며 기수 동기들 중에서도 에이스급으로 꼽히던, 속된 말로 ‘잘 나가는’ 검사였다.

그러나 이들이 맡았던 사건의 성격은 서로 달랐다.

대선개입 사건은 파고들수록 권력자를 불편하게 만들었고, 유우성 씨 간첩증거 조작사건은 어떻게든 검사의 잘못을 최소화해야 검찰이나 국정원의 체면을 살릴 수 있는 사건이었다.

또한 수사 검사의 의지도 판이했다. 윤석열 검사와 박형철 검사는 국정원이라는 권력기관의 불법 행위에 대해 좌고우면하지 않고 법대로 처리하려고 했다. 특별수사팀을 지원하는 대신 권력자의 눈치를 보며 오히려 국정원을 옹호하는 장관과 맞서 싸웠다.

그러나 이시원 검사와 이문성 검사는 국정원 직원의 증거 조작이라는 불법 행위를 처음부터 끝까지 애써 눈감아주려고 했다. 자신들이 수사를 지휘하고도 증거 조작을 부인했고, 증거 조작 사실이 확연히 드러나자 증거 조작에 가담했거나 방조했다는 의혹으로부터 빠져나가기 위해 무던히도 애를 씀으로써 검찰 조직을 보호했다.

그 결과 지방고검으로의 문책성 전보 이후, 이번 인사에서 이들의 운명은 갈렸다.

“찍히면 끝이라는 인식 검찰 내부에 팽배”

검찰 내부 사정에 밝은 검사 출신의 한 변호사는 “고검에서 고검으로 이동하는 경우가 전혀 없는 것은 아니지만 그런 경우는 보통 기수가 높아서 검찰에서 나가야 하는데 자진해서 안 나가는 검사들의 경우지 박형철 검사처럼 한창 일할 나이의 능력있는 검사가 2번씩이나 지방고검을 떠도는 것은 상식적으로 이해하기 힘들다”고 말했다.

또 “이시원, 이문성 검사의 경우 이번 인사가 혜택이라고 볼 수는 없으나 법무연수원은 한번은 들러야 되는 곳이고, 고검에서 지검 부장검사로 갔다는 것은 현장에서 일할 기회를 주었다는 점에서 어느 정도 배려는 해주었다고 봐야할 것”이라고 해석했다.

윤석열 검사는 “내 인사는 어차피 이렇게 날 것으로 예상했지만 박 검사의 경우는 최소한 서울고검이나, 아니면 지방 차장검사 정도는 갈 것이라는 의견이 검찰 내부에서도 많았고 박 검사 본인도 그렇게 예상했다. 무슨 비리가 있었던 것도 아니고 장관의 지시가 위법하다고 본 팀장의 지시에 부팀장으로서 따라온 것 뿐인데 너무 가혹할 뿐 아니라 납득하기 힘든 인사”라고 평가했다.

박형철 검사는 검찰 내부통신망인 ‘이프로스’에 사직의 변도 올리지 않았다. 오랫동안 검찰에 몸담았던 검사들은 조직을 떠나면서 쓴소리든 단소리든 내부통신망에 소회를 밝히는 것이 일반적이다. 윤 검사는 “글을 올리게 되면 동료, 후배 검사들이 그 글에 대해 댓글을 달아도 부담이고 안 달아도 부담이 되는 상황이 현재 검찰 분위기라며 그런 이유 때문에 박 검사가 아무런 글도 남기지 않은 것으로 안다”고 전했다.

이프로스에는 2013년 징계 때와는 달리 이번 인사에 대해 성토하는 글이 현재까지 단 1건도 올라와 있지 않다. 한 변호사는 “청와대에 파견됐던 검사들이 이번 인사를 통해 다시 승승장구하는 모습을 보면서 괜히 한마디 했다가 찍히면 끝장난다”는 인식이 검찰에 팽배해 있다고 말했다.