뉴스타파는 지난 1월 초 한 30대 남자로부터 친형의 죽음에 얽힌 비밀을 풀어달라는 제보를 받았다. 제보자는 형이 죽기 몇 시간 전 한국으로 보냈다는 노트북과 외장하드, 그리고 수십여 장의 송금 영수증 등을 갖고 왔다. 제보자는 “이 자료들은 형이 진실을 파헤쳐 달라며 죽기 몇 시간 전 인편으로 한국에 부친 것”이라고 말했다.

형이 동생에게 남긴 자료는 방대했다. 모두 620기가바이트 분량. 각종 전화통화 녹음과 동영상, 회사 대외비 자료가 담겨 있었다.

제보자의 형이 일했던 회사는 오픈 블루. 공교롭게도 지난해 뉴스타파가 보도한 ‘조세도피처의 한국인들’에서 등장했던 회사 가운데 한 곳이다.

조세도피처에 페이퍼 컴퍼니 ‘오픈블루’를 만든 설렁탕집 류순열 사장. 류 사장은 당시 뉴스타파와의 인터뷰에서 “오래전 일이라 기억이 안 난다. 그냥 동생들과 놀러 가서 어떤 서류에 사인한 것뿐”이라고 말했다. 그러나 죽은 허재원 씨가 남긴 자료에는 설렁탕집 사장이 왜 조세도피처에 페이퍼 컴퍼니를 세웠고, 이 페이퍼 컴퍼니를 통해 어떤 사업을 벌였는지 자세히 기록돼 있었다.

오픈블루라는 페이퍼 컴퍼니는 허 씨의 죽음과 어떤 관련이 있을까. 이 비밀을 풀기 위해 취재진은 인도네시아로 향했다.

수도 자카르타의 한 고층 아파트. 이 아파트 29층에 살던 허 씨는 지난해 11월 아파트 옆 공사장에서 죽은 채 발견됐다. 시신은 다리와 골반이 비틀어진 채 엎드려 있었다.

허 씨의 사망진단서를 발급한 의사는 사망 원인을 자세히 기억하지 못했다. 당시 사고 현장을 조사한 현지 경찰은 허 씨의 죽음이 자살이라고 단정했다.

경찰은 허 씨의 유서가 발견됐고, 이전에도 허 씨가 자살소동을 벌인 적이 있다며 타살의 가능성을 일축했다. 허 씨는 죽기 수개월 전부터 심각한 재정난을 겪었고, 사기 혐의로 현지 경찰로부터 조사를 받았다. 이처럼 극도의 스트레스를 견디다 못해 극단적인 선택을 했다는 게 현지 경찰의 분석이다.

그러나 허 씨의 동생은 느닷없는 형의 죽음에 이상한 점이 한두 가지가 아니라고 했다. 그는 “사실 저는 형님을 알아볼 수 없을까 하는 걱정을 많이 했는데 생각보다 굉장히 형님의 시신이 깨끗했고, 형님이 난간에서 떨어졌으면 지문검식을 해야 되는데, 지문검식도 이루어지지가 않았다”고 말했다. 그는 특히 형이 사망한 당시 CCTV가 작동하지 않은 것에 대해 의문을 제기했다. 허 씨 동생의 말이다.

제가 현장에 도착을 했을 때가 형님 사건이 나시고 이틀 뒤였는데 현장에 갔을 때에는 CCTV가 작동하고 있었어요. 아파트 19층, 29층에서부터 거기까지 다 작동을 하고 있었는데 유독 저희 형님이 사건 당하시기 하루 전부터 사고를 당하신 그다음날까지 CCTV가 작동을 하지 않았단 말이지요.

취재진은 허 씨가 생전에 살던 아파트를 찾았다. 하지만 사건 현장에는 접근할 수 없었다. 계단의 철문은 굳게 닫혀 있고, 건물 관리 책임자는 경찰의 허가 없이 촬영을 허용할 수 없다며 난색을 표했다. 그뿐 아니다. 아파트 경비원들은 취재진이 이동하는 곳마다 따라붙으며 촬영을 방해했다.

그때 취재진의 카메라에 이상한 점이 포착됐다.

아파트 3층에 검은색 대리석으로 마감한 테라스. 이 테라스 아래는 지하 주차장으로 연결된 통로가 있다. 이를 감안하면 테라스의 폭은 최소 3미터. 그런데 허 씨의 시신은 이 테라스외벽으로부터 다시 3, 4미터 정도 떨어진 공사장 바닥에서 발견됐다. 즉 허씨가 낙하하면서 도합 6, 7미터 정도를 수평 이동했다는 얘기다.

유성호 서울대 의대 법의학 교수는 “추락사의 경우 대개 벽에서 2~3미터 내외에 시신이 위치한다”며 “일반인이 달려가는 반동을 이용해 뛰어 내려도 6미터를 이동하기는 어렵다”고 말했다. 유 교수는 “허씨가 떨어질 때 아파트 3층 테라스 벽에 부딪혀 튕겨 나갔을 경우라면 6미터 정도 이동할 수 있다”고 말했다. 하지만 당시 사건을 조사했던 인도네시아 경찰은 테라스 외벽에 시신이 부딪힌 흔적을 찾지 못했다고 말했다.

1970년대 초 미국에서는 유명한 법의학 실험이 있었다. 고층 아파트 발코니에서 추락한 여인이 스스로 떨어졌는지 아니면 다른 사람에 의해 떠밀려 추락했는지를 규명하는 실험이었다. 법의학자들은 여인의 몸무게와 똑같은 인형을 제작해 반복 실험했다. 발을 헛디뎠을 때와 스스로 몸을 던졌을 때, 떠밀려 추락했을 때, 이렇게 세 가지로 나눠 실험했다. 발을 헛디뎠을 때 인형은 3.2미터, 뛰어내렸을 때는 4.3미터 이상을 벗어나지 못했다. 당시 시신이 위치했던 5미터에는 크게 못 미쳤다.

이 실험결과를 바탕으로 경찰은 남편이 10만 달러의 보험금을 타기 위해 아내를 난간 밖으로 밀었다는 자백을 받아냈다. 아이리스 시거 사건이다.

아이리스 시거 사건의 실험결과에 비춰보면 허 씨의 죽음은 자살이라고 단정하기 어렵다. 허 씨의 시신은 아파트에서 6,7미터나 떨어져 발견됐기 때문이다. 그런데 허 씨의 죽음만큼이나 이상한 의문의 추락 사망 사고는 또 있었다.

허재원 씨가 죽은 5일 뒤 자카르타에 있는 글로라 붕까르노 경기장에서 또 한 명의 한국인이 죽은 채 발견됐다. 이 남자는 바로 죽은 허재원 씨와 같은 회사에서 근무하던 동료였다. 경찰은 4층 높이의 경기장 옥상에서 한국인 김 모 씨가 투신자살한 것으로 결론내렸다. 부검은 하지 않았다. 영안실에서 김 씨의 시신을 목격했다는 한 교민은 김 씨의 온몸에 멍자국이 있었다고 말했다.

붕까르노 경기장은 내년 자카르타 아시안게임을 앞두고 리모델링 공사가 한창이다. 안전 사고 예방을 위해 외부인의 출입이 통제되어 있고, 밤에는 아예 출입이 차단된다. 그런데 경찰은 김 씨가 혼자 몰래 경기장에 들어가 스스로 목숨을 끊었다며 단순 자살 사건으로 결론 내렸다.

이상하게도 김 씨의 유가족 역시 진실 규명에 적극적이지 않았다. 사인 조사를 위해 부검을 맡기기는커녕 김 씨의 시신을 서둘러 화장했다. 뉴스타파의 취재도 거부했다.

취재진이 김 씨의 사망 당시의 사진을 입수해 확인해보니 김 씨의 턱 밑에 멍 자국이 보였다. 법의학 전문가는 턱 밑의 상처는 추락으로 인해 발생한 게 아니라고 분석했다.

그런데 더 이상한 것은 김씨의 죽은 모습이다. 사진 속 김씨의 양 손은 가슴에 모여 있었다.

유성호 교수는 “추락사일 경우 대부분 즉사를 하는데 이 경우 온몸에 힘이 풀린다”며 “죽기 전 힘을 줘 손을 모은 자세는 매우 부자연스러운 것”이라고 말했다.

물론 한 장의 사진만으로는 정확한 사인을 규명하기 어렵다. 그렇다고 인도네시아 경찰처럼 쉽게 자살로 단정하기도 힘들다. 분명한 것은 김 씨가 죽기 전 신변의 위협을 느꼈다는 점이다. 김씨는 허씨가 죽은 뒤 한국에 있는 허 씨의 동생에게 국제전화를 걸었다. 그리고 녹음을 부탁했다.

그가 남긴 녹음은 자신이 곧 어딘가로 옮겨질 것이라는 내용이었다. 그는 부검을 통해 허 씨가 자살했는지 아니면 타살됐는지 확인하고자 했으나 그럴 상황이 안됐고, 지금까지의 조사 결과를 보면 자신이 허 씨를 죽였다는 것으로 결론 나고 있어 억울하다고 했다.

김 씨가 숨지기 전, 김 씨를 직접 만났던 허 씨의 동생은 실제로 김 씨가 인도네시아 현지인들로부터 반 감금상태에서 감시를 받았다고 말했다.

허 씨의 동생은 눈시울이 벌개진 김 씨로부터 “나는 어디론가 옮겨질 것 같다. 그리고 죽음을 당할 것 같다”는 말을 들었다고 전했다. 같은 유령회사에서 근무하던 한국인 2명이 불과 5일 간격으로 사망한 이유는 무엇일까? 인도네시아 경찰의 말대로 극도의 스트레스를 받아 스스로 목숨을 끊은 걸까?

취재진은 허씨가 남긴 녹음에서 한 가지 단서를 찾았다.

허 씨는 죽기 하루 전 PT CKA의 실질적 오너는 자신이며, 모든 권한은 김 모 씨에게 넘긴다고 했다. 허재원 씨가 죽기 하루 전 육성 녹음을 통해 자신의 소유라고 밝힌 PT CKA의 광산은 자카르타 서쪽의 한 석회광산이다. PT CKA는 이 광산의 지분 51%를 소유한 페이퍼 컴퍼니다.

PT CKA가 소유한 석회광산의 추정 매장량은 무려 1억7천만 톤. 국내 한 회계법인은 2020년 이후 이 광산에서 매년 300억 원이 넘는 영업이익이 날 것으로 평가했다. 한마디로 황금알을 낳는 거위라는 말이다.

허 씨는 육성 녹음을 통해 광산의 명목상 주주를 현지인으로 만들어놨지만, 실소유주는 자신이고, 그 소유권을 김 씨에게 넘긴다고 말했다. 실제로 페이퍼 컴퍼니 PT CKA의 주주 명부를 살펴보니 허 씨의 생전 증언대로 주주 4명 중 3명이 허 씨 회사의 현지 직원들인 것으로 확인됐다.

외국인들의 광산 소유를 제한하는 인도네시아 법망을 피하기 위해 직원들의 이름을 빌려 투자한 것이다. 그런데 그렇게 허 씨로부터 소유권을 이전받은 김 씨도 허 씨가 사망한 지 5일 만에 차가운 시신으로 발견됐다.

매장량 1억7천만 톤의 석회광산은 대체 누구에게 넘어간 걸까?

취재진은 인도네시아에서 자신이 석회광산의 소유권을 넘겨받았다고 주장하는 한국인을 만날 수 있었다. 리마스 퉁갈이라는 회사의 사업 파트너다. 그는 자신이 소속된 리마스 퉁갈이 파드마 등 허 씨 회사 직원 3명이 갖고 있던 지분을 통째로 넘겨받았다고 주장했다.

그러나 이 진술은 허 씨가 죽기 하루 전 남겨둔 육성녹음과는 상반된다. 죽은 허 씨가 실제 소유주는 자신이라며 받아놓은 사실 확인서의 내용과도 배치된다. 그러나 광산의 실소유주로 보이는 허 씨와 김 씨가 모두 죽은 뒤여서 이 광산이 넘어가는 걸 법적으로 막을 방법은 없어 보인다.

허 씨와 김 씨의 죽음으로부터 누가 부당한 수혜를 봤는지 확정할 증거는 아직 없다. 다만 분명한 것은 조단위의 가치를 지녔다는 석회광산을, 유령회사를 통해 소유하면서 일확천금을 노렸던 사람들은 허망하게 죽었다는 사실이다.

국정원이 민간인 해킹 의혹을 풀 핵심 열쇠인 로그파일 공개를 계속 거부하고 있는 가운데, 보안 전문가들은 국정원 RCS 로그파일이 이미 위변조되었을 가능성도 있다는 견해를 밝혔다. 이에 따라 완전한 의혹 해소를 위해서는 로그파일만이 아니라 국정원 RCS의 운영체제, 즉 하드디스크까지 객관적으로 분석해 원본 파일에 조작이 있었는지 여부를 검증할 필요성이 제기되고 있다.

‘로그파일 공개’는 ‘민간인 해킹 검증’의 핵심

국정원 해킹 의혹의 본질이 국내 민간인에 대한 해킹 여부라는 것은 주지의 사실이다. 이를 판가름할 핵심 정보는 국정원 RCS 서버에 담긴 로그기록 속에 들어 있다.

이미 해킹팀 유출 자료 가운데 지난 5월과 6월 중 국정원이 요청한 악성코드의 활동이 담긴 로그기록이 26건이 확인된 바 있는데, 악성코드의 활동 일시, 접속 아이피, 단말기 모델 및 기종, 설정 언어, 미끼 URL, 감염 성공 여부까지를 확인할 수 있는 형식이었다. 이 가운데 2건은 내국인 해킹이 의심되는 기록이다.

※ 관련 데이터 : 해킹팀 서버 국정원 로그기록

사태 초기 야당은 국정원에 이 로그파일을 제출하라고 요구했다. 대국민 해킹이라는 휘발성 높은 의혹이 일었던 만큼 여당 역시 최대한 국정원이 자료를 공개하도록 협조하겠다는 입장이었다.

▲ 7월 18일 국정원 직원 임 과장 자살 현장

그러나 7월 18일 RCS 운영팀의 일원이었던 국정원 임 모 과장이 유서에 ‘일부 자료를 삭제했다’고 밝히며 스스로 목숨을 끊으면서 분위기가 바뀌었다. 야당이 자살 배경과 경위에 대한 석연치 않은 정황들을 이유로 공세를 강화하자 여당은 입장을 바꾼다. 로그파일 공개는 국가 기밀을 유출하라는 것이고 국가 안보를 무장해제하라는 것이어서, 북한만 이롭게 하는 행위라는 논리로 맞공세를 시작한 것이다.

▲ 7월 27일 국회 정보위원회에 참석한 이병호 국정원장

7월 27일 국정원은 임 과장이 삭제한 자료를 10일 만에 모두 복원했다며 국회 정보위원들에게 보고한다. 모두 51건의 해킹 시도 기록 가운데 대북·대테러 용의자를 대상으로 10건은 성공, 10건은 실패한 자료였으며, 나머지 31건은 내부 실험용 기록이었다는 것이다. 그러면서 이병호 국정원장은 자신의 직을 걸고 국내 사찰은 없었다고 강변했다. 그러나 야당은 국정원이 이른바 ‘셀프 검증’으로 ‘셀프 면죄부’를 발부하고 있다며, 객관적이고 세부적인 자료 제출 없이는 믿을 수 없다고 반발했다.

보안 전문가들의 견해는? “로그파일 이미 위변조됐을 수도”

국정원 해킹 의혹을 둘러싼 이 같은 여야 간 대치 정국을 국내외 보안 전문가들은 어떻게 바라보고 있을까. 뉴스타파가 접촉한 전문가들은 하나같이 의혹을 말끔히 해소하기 위해 필요한 것은 정치적 공방이 아니라 냉정한 기술적 접근이라고 조언했다.

우선 이들은 임 과장의 자료 삭제 문제는 큰 틀에서 볼 때 중요치 않을 수도 있다는 점을 언급했다. 내국인 사찰 여부를 가를 핵심은 어차피 로그파일인데, 해킹팀 자료 유출 이후 이미 20일 이상 흐른 시점에서 임 과장이 아닌 다른 국정원 직원이 로그파일에 손을 댔어도 이상할 것이 없기 때문이라는 것이다.

▲ 뉴스타파와 빌 마크잭의 화상 인터뷰 장면

이탈리아 해킹팀의 RCS가 전세계 21개국에서 활동하고 있음을 지난해 폭로했던 토론토대학 시티즌랩 연구원 빌 마크잭은 뉴스타파와의 화상 인터뷰에서 “로그파일은 기본적으로 텍스트 파일 형태이므로 누구라도 쉽게 편집과 삭제와 추가 등의 조작이 가능하다”며 “이런 조작이 있었는지를 디지털 포렌식 전문가조차 알 수 없게 수행하는 것도 얼마든지 가능하다”고 밝혔다.

익명을 요구한 한 국내 디지털 포렌식 전문가는 “디지털 포렌식에도 ‘골든타임’이 존재한다”면서 “해킹팀의 자료 유출 직후 국정원 RCS 서버에 담긴 로그파일을 곧바로 확보하지 않은 이상, 지금 와선 그 파일에 이미 어떤 조작이 가해졌는지를 판단하긴 어렵다”고 말했다.

▲ 김진국 플레인비트 대표와의 인터뷰 장면

이런 상태에서는 야당이 요구하는 로그파일이 공개된다 해도 의혹을 해소하기는커녕 되레 논란을 증폭시킬 수 있다는 견해도 있었다. 김진국 플레인비트 대표는 “디지털 자료는 위변조가 너무나 용이하다. 따라서 어떤 디지털 데이터의 ‘원본’이라는 것은 특정 시점에서 데이터의 특정 상태에 관해 이해 당사자 간의 상호 인정이 있을 때, 혹은 객관적 인증 절차(전자지문 등)가 있었을 때 성립하는 개념이다. 바꿔 말하면 이런 절차 없이 제시되는 디지털 자료는 이해 관계에 따라 ‘원본’이라고 주장할 수도 있고 아니라고 주장할 수도 있게 되는 것”이라고 설명했다. 즉 지금 당장 로그파일이 공개됐을 때 문제되는 내용이 없으면 여당은 ‘원본’으로 야당은 ‘조작본’으로 규정할 것이며, 문제되는 내용이 나오면 그 반대 주장이 펼쳐질 것이라는 의미다.

“로그파일 조작 여부 판단 위해 운영체제 전부 들여다 봐야”

전문가들은 이런 문제를 해결하기 위해선 로그파일만이 아니라 파일이 담겨 있던 국정원 RCS 서버의 운영체제를 모두 분석해 위변조 여부부터 판단해야 한다고 조언했다.

▲ 운영체제 검증 개념도 CG

원리는 이렇다. 만약 누군가가 로그파일 일부를 변조했다면 파일을 열고, 내용을 수정하고, 저장하고, 파일을 닫는 일련의 과정을 거쳐야 하는데 각각의 단계마다 디지털 기호 형태의 흔적이 운영체제 어딘가에 남겨진다는 것이다. 혹은 파일을 열지 않은 채로 삭제하려면 이 기능을 수행하는 소프트웨어나 프로그램이 실행되어야 하는데 이 역시 운영체제 어딘가에 흔적을 남긴다. 이런 산재한 정보들을 모두 긁어모아 분석하면, 로그파일이 위변조되기 이전의 원 정보를 복원시킬 수는 없더라도 최소한 조작이 있었다는 사실은 확정할 수 있다는 것이다.

이 파일이 만약에 어떻게 수정이 되거나 사용자가 어떤 행위를 했다, 그러면 그 시스템, 우리가 윈도우즈 컴퓨터라고 하면 컴퓨터 자체, 서버면 서버 자체, 그 디스크 자체가 전체적으로 있으면 그 안에 있는 로그파일에 어떤 임의적인 조작을 가했다 안 했다(를 알 수 습니다.) 사실 이것도 시간이 지나면 밝혀내기가 어렵습니다. 그래도 어느 정도 파일 하나만 보고 판단하는 것보다는 신빙성 있게, 신뢰성 있게 판단할 수 있죠.
– 김진국 플레인비트 대표

포렌식 분석을 제대로 하기 위해선 해킹팀의 소프트웨어가 실행됐던 국정원 컴퓨터의 원본 하드 드라이브를 확보해야 합니다. 만약 국정원이 로그파일만을 제공한다면 그것의 조작 여부를 확인할 확실한 방법은 없다고 봐야 하고요.
– 빌 마크잭 토론토대학 시티즌랩 연구원

국정원, 국민 신뢰 회복할 마지막 기회 잡을 수 있을까

지난 29일 여야는 민간 추천 전문가와 국정원 기술진의 간담회 개최에 조건부 합의했다. 이때 야당은 국정원이 RCS 데이터가 담긴 하드디스크 원본 등 6개 자료가 제출되지 않으면 합의를 파기하겠다는 뜻을 밝혔다. 이는 디지털 보안과 포렌식 전문가들이 제시한 검증 방식의 틀에 부합하는 것이다.

마찬가지로 국정원도 민간인 사찰 의혹을 근본적으로 해소하는 데 필수인 디지털 증거를 제시하는 데 주력할 필요가 있다. 특히 국정원장 직을 걸겠다고 밝힐 정도로 자신이 있다면 전문가들이 인정하는 검증 방법을 마다할 이유가 없을 것이다. 그리고 그 결정은 빠를수록 좋다. 이미 대선 개입과 간첩 증거 조작으로 국민의 신뢰를 잃은 국정원이기에 더더욱 그렇다.