우병우 전 민정수석의 처가 기업인 삼남개발이 ‘비선실세’ 최순실 씨 소유 회사와 상당기간 금전 거래를 해 온 사실이 뉴스타파 취재결과 확인됐다. 뉴스타파는 최근 최 씨 소유 기업 두 곳에서 발행된 세금계산서와 매출장부를 확인해 이 같은 사실을 확인했다. 삼남개발은 우 전 수석의 장모인 김장자씨가 대표를 맡고 있는 기업이다.

뉴스타파가 입수한 자료로 확인된 두 기업의 거래는 두 건에 160여만 원 정도로 크지 않지만, 소문으로만 존재했던 우병우-최순실의 연결고리가 구체적으로 나왔다는 점에서 의미있는 단서라 할 수 있다.

최순실 게이트의 핵심 인물 ‘우병우’

우 전 수석은 이른바 ‘최순실 게이트’의 핵심 인물 중 한 명이다. 그는 민정수석 당시 수사 기밀을 최 씨에게 유출했다는 의혹과 국정농단 사건을 알고도 묵인했다는 의혹 등으로 검찰 수사를 받고 있다. 검찰 등 사정기관의 정보는 물론 대통령 친인척과 측근 감찰 정보까지 모두 보고 받는 자리에 있던 그가 최순실 씨의 국정농단 행위를 몰랐을리 없기 때문.

게다가 우 전 수석은 최순실 씨의 추천으로 청와대에 입성했다는 의심까지 받아 왔다. 그러나 우 전 수석과 최 씨의 관계를 보여주는 연결고리는 그 동안 확인되지 않았다.

우병우 수석의 민정비서관 발탁, 멀리는 윤전추 행정관의 청와대 입성도 최순실 씨와의 인연이 작용한 것이라는 얘기가 있습니다. 근거 없는 의혹 제기입니까?조응천 의원 / 2016년 9월 20일 국회 대정부질문

우병우 처가 회사 ‘삼남개발’ 최순실 차명 회사 두 곳과 지속적 거래

뉴스타파는 최순실 씨와 관련된 회사들의 경영상황을 취재하던 중 우 전 수석과 최 씨의 연결고리를 보여주는 중요한 단서를 입수했다. 우 전 수석 처가 회사와 최순실 씨 관련 회사가 지속적으로 금전거래를 해 온 사실을 보여주는 자료다.

삼남개발은 우병우 전 수석의 장모가 대표로 있는 골프장 ‘기흥컨트리클럽’을 운영하는 회사다. 티알씨는 커피 판매 회사로 최순실 씨 회사 두 곳에서 재무관리를 맡고 있는 장순호 씨가 대표를 맡고 있다. 최 씨의 개인비서로 알려진 엄 모 씨도 이곳 직원이다.

▲ 티알씨 전자세금계산서, 삼남개발 나온 부분

뉴스타파가 입수한 최순실 씨의 차명 소유 회사 ‘티알씨’의 전자세금계산서에 따르면, 티알씨는 2015년 4월 14일 삼남개발에 커피 원두를 100만원 가량 판매했다. 티알씨가 설립된 지 8일만의 일이었다.

삼남개발은 이 거래가 있기 2주 전인 2015년 3월 31일에도 최순실 씨 소유의 또 다른 회사, ‘존앤룩씨앤씨’에서 64만원 어치의 원두를 구입한 사실이 확인됐다. 존앤룩씨앤씨는 최순실 씨의 카페 테스타로사를 운영했던 회사로, 김성현 미르재단 사무부총장과 최 씨의 비서 엄 모 씨가 역시 이사로 이름을 올린 곳이다.

뉴스타파는 이 두 건의 금전 거래를 단서로 우병우 전 수석의 처가 회사와 최순실 씨 회사가 어떤 식으로 사업상 연결돼 있었는지를 확인해 봤다. 그 과정에서 최 씨 소유 회사인 ‘존앤룩씨앤씨’에서 1년 동안 근무한 전직 직원 A씨로부터 중요한 증언을 확보했다.

(최씨 소유 회사인) 테스타로사와 삼남개발은 6개월 정도 거래를 계속했다. 삼남개발이 골프장도 가지고 있어서 많은 양의 커피를 사겠다고 해서 비교적 싼 가격에 원두커피를 공급했다. 전직 존앤룩씨앤씨 직원

우 전 수석 장모, 왜 최 씨 회사에서 거래?…삼남개발 “기자 응대 안 하겠다”

▲ 공사가 중단된 최순실 빌딩 1층 커피 가게(왼쪽)와 우 전 수석의 장모가 운영하는 기흥 컨트리클럽 골프장

그렇다면 삼남개발은 어떻게 설립된 지 8일밖에 안 된 회사와 거래를 했던 걸까. 뉴스타파는 그 이유를 듣기 위해 서울 강남의 삼남개발 사무실, 삼남개발이 운영하고 있는 기흥컨트리클럽 등을 일일이 찾아가 물었다. 그러나 삼남개발 측은 최씨 소유 회사와 거래를 한 사실 자체를 부인했다.

10년 이상 거래하는 커피회사가 따로 있다. 기흥컨트리클럽 관계자

(티알씨라는 회사가 삼남개발이랑 어떻게 거래를 했나요?) 그건 잘 모르겠습니다. 삼남개발 총무팀 관계자

뉴스타파는 혹시 우병우 전 민정수석의 장모인 삼남개발 김장자 대표가 최순실 씨와의 개인적인 친분 때문에 커피 원두를 대량 구매를 한 것은 아닌지를 묻기 위해 김 대표 측에 인터뷰를 요청했지만, 김 대표 측은 뉴스타파의 취재요청에 응하지 않았다.

취재 : 홍여진, 김강민, 조현미, 오대양, 강민수
촬영 : 김남범, 최형석
편집 : 윤석민

‘문화계 지원 배제 명단’ 이른바 블랙리스트 작성 지시 혐의를 받고 있는 김기춘 전 청와대 비서실장과 조윤선 문화체육관광부 장관이 구속됐다. 두 사람의 구속으로 블랙리스트 수사는 큰 고비를 넘게 됐다. 이제 특검 수사는 박근혜 대통령 관여 여부에 집중될 예정이다.

성창호(사법연수원 25기) 서울중앙지법 영장전담 부장판사는 21일 새벽 “범죄 사실이 소명되고 증거인멸의 우려가 있다”며 구속영장 발부 사유를 밝혔다. 두 사람은 문화계 블랙리스트 작성을 지시한 직권남용 권리행사방해와 국회에서의 거짓 증언에 관한 법률 위반 혐의를 받고 있다.

문화계 블랙리스트 수사는 ‘대통령 뇌물죄’과 함께 박영수 특검 수사의 한 날개다. 특검은 대통령의 비선 실세 지원을 뇌물죄로, 블랙리스트 작성과 지시는 민주주의를 거스르는 헌법위반 문제로 보고 있다. 특검의 이규철 특검보는 “고위공무원들의 문화계 지원 배제 시행 행위가 국민의 사상 및 표현의 자유를 심각하게 훼손한 것이라고 판단한다. 명단 작성 및 시행 관계자들에게 엄중한 책임을 물을 계획”이라고 밝힌 바 있다.

특검은 이 리스트가 2014년 세월호 참사 이후 김 전 실장의 지시로 당시 조윤선 정무수석이 주도해 작성됐다고 보고 있다. 청와대 정무수석실과 교육문화수석실을 거쳐 문체부 산하 기관으로 이어져 실행된 것으로 파악했다. 그동안 특검은 이 리스트 서류와 문체부 직원의 진술 등 여러 증거를 확보해 김종덕 전 문체부 장관, 정관주 전 문체부 1차관, 신동철 전 청와대 정무비서관을 직권남용과 권리행사방해 혐의 등으로 구속한 바 있다.

두 사람의 구속 영장 발부로 특검의 ‘반헌법적 법치 농단’ 수사는 힘을 받게 됐다. 이미 특검은 고(故) 김영한 전 민정수석의 업무수첩을 확보해, 보수단체들이 박근혜 대통령 풍자 그림을 그린 홍성담 화백을 고발하는 과정에 청와대가 개입한 정황을 확보했다. 이번 수사는 청와대의 세월호 침몰사고 수사 개입, 어버이연합 등 보수단체를 동원한 관제 집회 등으로 이어질 가능성도 있어 결과가 주목된다.

박근혜 떠받쳐 온 중심축 붕괴

김 전 실장은 박근혜 정부 국정 운영의 중심축이었다. 그는 검찰 등 사정 라인을 손아귀에 넣고 ‘종북 좌파 척결’이란 명분을 앞세워 국정을 쥐락펴락했다. ‘문화계 지원 배제 목록’은 그가 국정을 농단한 방식을 보여주는 하나의 예일 뿐이다. 김영한 전 민정수석이 남긴 업무일지 첫페이지에는 김 전 실장이 주문한 것으로 보이는 지시사항이 들어 있다. 김 전 실장이 어떤 사고를 가지고 있는지를 단적으로 보여준다.

이념대결 속에서 生活(생활)-갈등 속에서 전사적 자세 지니도록. 헌법가치 수호, 선진국가 건설, 가치중립적 타협, 화합은 없다. 시장 vs. 사회 (중략)-회색지대 無(무). 강철 같은 의지로 대통령, 대한민국 보위

고(故) 김영한 전 민정수석 업무일지/ 2014년 6월 14일

김 전 실장과 박근혜 대통령과의 인연은 50년 전으로 거슬러 올라간다. 김 전 실장은 고등고시에 합격한 뒤인 1963년, 정수장학회로 이름을 바꾼 ‘5·16장학회’ 장학금을 받았다. ‘박정희, 육영수’의 이름을 딴 재단의 돈이었다. 검사가 된 이후엔 유신헌법 기초작업에 참여했으며, 1974년 육영수 여사 피격사건의 범인인 문세광에 대한 수사를 맡기도 했다. 박근혜 대통령에게는 어머니의 원수를 갚아준 사람인 것이다. 박 대통령은 김 전 실장을 “드물게 보는, 사심 없는 분”이라고 평가하기도 했다.

김 전 실장은 우리 현대사의 중요한 장면마다 이름을 올렸다. 대표적인 것이 1975년 중앙정보부 대공수사국장 재직시 발표한 재일동포 유학생 간첩단 사건이다. 이 사건은 유신시대를 대표하는 공안 사건으로 지난 2015년 진행된 재심에서 무죄가 선고됐다. 25년 만에 재심에서 무죄가 난 ‘강기훈 유서대필’ 사건도 김 전 실장이 법무부 장관 시절 만들어졌다.

간첩조작, 초원복국집, 블랙리스트…그리고 구속

법무부 장관 퇴임 후 두 달 뒤엔 일명 ‘초원복국집 사건’의 주인공이 됐다. 1992년 대통령 선거를 열흘 앞두고 김 전 실장은 부산시장, 부산경찰청장 등 기관장들을 부른 자리에서  “우리가 남이가”를 외쳐 지역감정을 부추겼다. 이 사건으로 그는 선거법 위반으로 불구속 기소되기도 했다. 하지만 이후 그는 이 발언이 새어나간 경로를 추적해 사건을 도청 문제로 전환시켰고, 위헌소송을 이끌어내 결국 자신의 기소를 취하하게 만들었다. 법을 피해 다니는  ‘법꾸라지’의 면모가 여실히 드러났다.

이후 내리 세 번 국회의원을 지낸 그는 박근혜 정부 초기인 2013년 5월부터 2015년 2월까지 1년 6개월이 넘는 기간동안 청와대 비서실장을 지냈다. ‘기춘대원군’, ‘왕실장’ 등의 별명을 얻으며 권력 실세임을 과시했다. 하지만 김 전 실장은 과거의 일에 대해선 단 한 번도 사과하지 않았고, 이번 국정 농단 사건에서도 자신의 개입에 대해 모르쇠로 일관했다.

최순실 씨를 중심으로 한 수사만으로는 박근혜 정부 ‘적폐’의 한쪽 면밖에 볼 수 없다. 특검이 수사 초기부터 문화계 블랙리스트 수사에 집중한 이유다. 블랙리스트 문제는 헌법재판소의 대통령 탄핵심판에도 영향을 줄 것으로 보인다. 국회 탄핵 소추위원단도 탄핵 사유에 블랙리스트 작성 지시를 추가하는 방안을 이미 검토하고 있다. 새로운 탄핵사유를 추가하려면 국회 본회의 의결이 필요해 일단은 탄핵소추안 참고사항으로 기재하는 방안이 유력하게 검토되고 있다.

– 최근 2달 총 24번 접속, 국내 실전용 해킹은 2회 추정

뉴스타파가 이탈리아 해킹팀 서버의 최근 2달간 접속 기록을 분석한 결과 국정원은 해킹팀 프로그램을 통해 모두 24건의 해킹을 시도했으며 이 가운데 해외 통신망에서 이뤄진 해킹은 15건, 국내 통신망에서 이뤄진 해킹은 2건으로 분석됐다. 또 나머지는 국내에서 테스트용으로 이뤄진 해킹이었던 것으로 나타났다.

유출된 해킹팀 자료에 들어있던 접속 기록은 해킹 목표물이 감염서버로 유인돼 접속하면서 남긴 기록이다. 여기엔 지난 5월과 6월에 이뤄진 전세계 해킹팀 고객의 해킹 시도 기록이 남아 있다.

이 접속 기록에는 감염서버에 접속한 일시와 해킹 목표가 된 단말기의 정보, 아이피 주소, 감염이 이뤄진 웹페이지 주소, 스파이웨어 설치 성공 여부 등이 포함돼 있다.

뉴스타파 취재진은 접속 기록에 포함된 이같은 정보들과 해킹팀이 국정원에 제공한 해킹용 웹페이지 주소와 첨부파일이 일치하는 지 여부를 비교해 국정원이 시도한 해킹 기록 24건을 찾아냈다.

어디를 해킹했나?

전체 24건 가운데 해외에서, 즉 해외통신망을 이용해 이뤄진 해킹이 총 15건으로 가장 많았다. 지역별로는 중국과 유럽, 동남아, 아프리카 등으로 폭넓게 이뤄졌다. 그러나 실제 해킹용 스파이웨어를 설치하는데 성공한 경우는 3건에 불과했고 12건은 실패한 것으로 나타났다.

해외에서 이뤄진 해킹 시도는 모두 국정원이 실전용이라고 해킹팀에 밝힌 것들이었다.

국내 통신망을 이용한 경우는 모두 9건이었는데 이 가운데 6건은 국정원이 테스트용이라고 밝힌 것이었고 실제로 아이피 주소(223.62.169.10, 223.62.169.56)도 겹치는 것이 많았다. 테더링으로 SK텔레콤 이동통신망에 접속해 개통하지 않은 다양한 단말기를 가지고 해킹 시험을 했기 때문에 아이피 주소가 서로 일치했던 것으로 보인다. (테더링: 휴대폰을 무선모뎀으로 활용해 인터넷에 접속하는 방식)

또 아이피 주소 223.62.169.56을 사용했던 갤럭시노트2(SKT모델) 단말기의 경우 국정원은 실전용이라고 밝혔지만 위의 테스트용 아이피주소와 겹치는 것으로 미뤄 역시 테스트용으로 분류했다.

이에 따라 국정원이 국내에서 실전용으로 실제 해킹에 사용한 것으로 보이는 접속 기록은 2건으로 추려졌다.

▲ 아이피 주소 앞 두자리인 223.62.*.*는 SK텔레콤이 국내에서 LTE 대역으로 사용하는 아이피 대역이다.

하나는 국정원이 실전용이라고 밝히면서 메르스 정보 사이트를 이용해 해킹을 요청했던 것으로 브라우저 설정이 한국어로 되어 있다. 또 하나는 영어로 설정된 단말기로 역시 실전용으로 국정원이 요청한 것이다.

▲ 미국 질병통제센터 CDC의 메르스 관련 페이지를 미끼 URL로 해킹 요청한 국정원 관리자의 이메일

물론 국정원이 실전용이라고 해킹팀에 요청했던 갤럭시노트2의 경우 아이피 주소의 앞 세자리(223.62.169.*)가 다른 테스트용(223.62.169.*)과 같은 것으로 볼 때 실제로는 실전용이 아닐 수도 있다. 그러나 다른 테스트용과는 다르게 매우 구체적인 사이트를 명시한 점으로 미뤄 충분히 국내 이동통신가입자를 상대로한 해킹이 아니냐는 의혹을 가질 수 있다

또 두번째 사례의 경우도 아이피 주소와 미끼 URL이 테스트용과 다른 것을 감안할 때 국내에 입국한 해외 교포나 외국인을 상대로 해킹을 시도한 것이 아니냐는 의심이 가는 대목이다.

다른 해킹 사례는 확인이 안되나?

뉴스타파는 앞서 공개한 자료 <국정원이 해킹팀에 보낸 ‘감염 요청 메일’ 분석 결과> 에서 내국인을 상대로 사용된 것으로 추정되는 미끼 URL과 첨부파일이 모두 43개에 이른다고 보도했다. 이 가운데 2013년에 미국의 안수명 박사를 목표로 한 것으로 보이는 해킹 요청 외에도 지난 3월말과 4월 중순 사이에 한국인을 목표로 했을 것으로 의심되는 사례가 집중돼 있다.

내국인을 상대로 하지 않았다면 미끼 URL로 한글로 된 맛집 소개나 축제 관련 블로그를 사용했을 리가 없기 때문이다.

하지만 이런 미끼 URL을 이용한 해킹 시도가 누구를 대상으로 어디에서 이뤄졌는지 현재로선 확인할 방법이 없다. 해킹팀의 서버에는 접속 기록이 지난 5월과 6월치만 보관돼 있기 때문이다.

또 이동통신사를 대상으로 접속기록을 확인한다고 해도 이동통신사는 인터넷 접속 로그기록을 3개월만 보관하도록 돼 있기 때문에 위에서 언급한 2015년 5월 이전의 의심사례를 확인하는 것은 힘들다.

뉴스타파가 분석한 해킹팀 서버의 해킹 기록은 국정원의 해명대로 해외에서 주로 해킹이 이뤄졌으며 국내에서 테스트용으로 사용한 경우도 있다는 것을 보여주지만 자국민에 대한 해킹의혹을 완전히 해소시켜주는 것은 아니다.

더구나 해킹팀 유출 자료로 분석할 수 있는 접속기록은 최근 2달치에 불과한 반면 국정원이 해킹프로그램을 운용한 기간은 지난 2012년 1월부터 지금까지 3년 6개월에 이른다.

국정원은 지금까지 대테러, 대북 공작을 위해서 해외에서 해킹프로그램을 사용하거나 테스트용으로만 사용했을 뿐 자국민을 대상으로는 사용한 적이 없다고 해명하고 있다.

또 국회 정보위원들이 국정원을 방문하게 되면 그동안의 해킹프로그램 사용기록을 모두 공개하겠다는 입장이다. 과연 해킹팀과 거래를 시작한 2012년부터 현재까지 기록을 투명하게 모두 공개할지 주목된다.

이번에 분석한 접속 기록 관련 자료는 뉴스타파 <국정원과 해킹팀> 데이터 페이지 에서 볼 수 있다.