우병우 전 민정수석의 최측근인 최윤수 국정원 2차장이 박영수 특검 구성에 개입하려 했다는 주장이 특검 내부에서 제기됐다. 현직검사 명단을 박영수 특검에게 전달하며 파견검사로 받으라고 요구했고, 박영수 특검이 이를 거부하자 문자 등으로 항의했다는 것이다. 특검의 한 핵심관계자는 “최 차장이 박 특검에게 욕설에 가까운 내용을 문자로 보냈다. 당시 이 문제로 박영수 특검이 상당한 충격을 받았다”고 증언했다.

지난해 11월 30일, 최순실 국정농단 의혹을 수사할 특검에 박영수 변호사가 임명됐다. 대검 중수부장을 지낸 박영수 특검은 “좌고우면하지 않고 법과 원칙에 따라 철저히 수사할 것”이라고 특검 임명 소감을 밝혔다. 그리고 5일 뒤 윤석열 수사팀장을 포함, 특검 파견 검사 10명의 명단이 발표됐다. 부장검사인 한동훈, 신자용, 양석조 등 대부분 기업수사에 능통한 특수통 검사들이 포함됐다.

그런데 특검이 수사팀을 구성하는 과정에서 최윤수 국정원 2차장이 특검 구성에 관여하려 했다는 증언이 특검 내부에서 나왔다. 박영수 특검에게 현직검사 명단을 전달하며 특검 파견검사로 받을 것을 요청했다는 것이다. 다음은 특검 관계자의 설명.

최윤수 차장이 (현직) 검사 명단을 박영수 특검에게 보내 파견검사로 받으라고 요청했습니다. 하지만 박영수 특검은 이 제안을 거부했습니다. 수사내용이 (우병우 전 수석과 국정원측에) 유출될 수 있다고 판단했기 때문입니다.

특검 관계자

특검 관계자는 박영수 특검이 최 차장의 요청을 거부한 뒤, 최 차장으로부터 항의성 문자도 받았다고 증언했다.

박 특검이 요구를 거부하자, 최 차장은 전화와 문자로 강하게 항의했습니다. 욕설에 가까운 문자를 보내기도 했습니다. 박 특검이 평소 아끼던 후배인 최 차장의 항의를 받고 상당한 충격을 받았습니다.

특검 관계자

우 전 수석의 대학 동기인 최 차장은 우 전 수석과 가장 가까운 검찰 인사로 분류된다. 검사장급인 부산고검 차장에 오른 지 석 달만인 지난해 2월, 우 전 수석의 추천으로 국정원 2차장에 임명됐다는 논란에 휩싸이기도 했다.

박영수 특검과 최윤수 차장도 가까운 사이로 알려져 있다. 박영수 특검이 최 차장을 양아들로 불렀다는 얘기가 법조계와 정치권 주변에서 나올 정도. 하지만 현직 국정원 차장이 권한도 없는 특검 구성에 영향을 미치려 했다는 사실은 큰 문제가 아닐 수 없다.

뉴스타파는 지난 4일 최 차장과 전화인터뷰를 갖고 의혹에 대한 입장을 들었다. 최 차장은 “와전된 측면이 있다”며 관련 의혹을 부인했다. 다음은 최 차장과의 일문일답.

-박영수 특검에게 현직 검사들 명단을 넘기고 이들을 파견검사로 받으라고 요구한 사실이 있나.
그런 사실 없다.
– 박 특검과 전화와 문자를 주고받은 사실은 있나.
아는 분과 전화와 문자를 할 수는 있는 것 아닌가. (의혹은) 와전된 것이다.
– 박 특검이 요청을 거부하자 전화와 문자로 항의했다고 하는데.
(전화와 문자로) 박영수 고검장님께 내가 항의하고 그럴 사이가 못 된다. 사실이 아니다.

한편 뉴스타파 취재요청에 특검의 한 핵심관계자는 박영수 특검이 최 차장으로부터 파견검사 요청을 받거나 항의를 받은 사실이 없다고 알려왔다.

우병우 전 수석이 본인과 관련된 의혹은 물론, 국정농단 사태를 무마하려 했다는 의혹은 이미 여러번 제기된 바 있다. 검찰 수사대상이 된 지난해 7월 이후 우 전 수석이 김수남 검찰총장, 안태근 법무부 검찰국장과 수시로 통화한 사실도 이미 드러난 상태. 우 전 수석이 본인과 관련된 수사상황을 확인하기 위해 이들과 수시로 통화했다는 의혹이 나오고 있다.

우 전 수석은 특검 수사 중 측근인 최윤수 국정원 2차장과도 여러차례 연락을 주고 받은 사실이 확인된 바 있다. 우 전 수석이 최 차장을 통해 자신과 관련된 수사상황을 확인하고, 수사에 개입하고자 했는지 의혹이 커지고 있다.

취재 : 한상진

국정원이 이탈리아 해킹팀에서 구입한 RCS(Remote Control System)로 천안함 의혹을 꾸준히 제기해 온 재미 과학자 안수명 박사에 대해 해킹을 시도했다는 증거가 나왔다. 실험용 혹은 북한 공작원 대상으로만 해킹 프로그램을 운용했다는 국정원의 해명이 거짓으로 드러나면서 파문이 불가피할 전망이다.

‘동창 명부’와 ‘천안함 문의’의 연결고리…“티켓 아이디”

2013년 10월 2일 국정원의 RCS 관리자가 해킹팀에 보낸 메일에는 목표물에게 보낼 파일을 즉각적인 취약점 공격(0-day exploit)이 가능한 형태로 바꿔달라는 요청이 담겼다. 첨부된 파일은 ‘서울대 공과대학 동창회 명부’라는 제목의 MS 워드 문서였다. 취재진이 문서를 열어보니 미국 남가주 지역에 거주하는 서울 공대 동문들의 명부였다. 291명의 신상 정보가 담겨 있었다. 이 파일의 공격 대상은 이들 중 한 명일 것이었다.

이틀 뒤인 10월 4일 국정원 관리자는 또 하나의 메일을 보냈다. 요청 사항은 똑같이 공격 파일로의 변환이었다. 제목이 ‘Cheonan-ham Inquiry’인 MS 워드 문서 파일이 첨부됐다. 직접 열어 봤더니 한 언론사 기자가 전문가에게 천안함 침몰 의혹에 대한 의견을 묻는 내용의 문서였다. 그런데 이 언론사에 다니지 않는 기자 이름이 써 있었다. 기자를 사칭한 미끼 파일이었던 것이다. 문서 내용을 볼 때 파일의 공격 대상은 천안함 침몰 의혹을 제기해온 전문가들 중 한 명일 가능성이 높았다.

그런데 뉴스타파는 이 두 이메일의 형식과 내용을 분석하던 중 중요한 사실을 발견했다. 양쪽에 표기돼 있는 티켓 아이디(Ticket ID)가 똑같았던 것이다.

메일에 표시된 티켓 아이디는 해킹팀과 국정원 사이의 업무 관리를 쉽게 하기 위해 각 업무 단위를 서로 구별할 수 있도록 부여한 하나의 ‘일감’ 또는 ‘과제’와 같은 개념이다. 그러니까 같은 날 이뤄진 작업들도 성격이 다르면 티켓 ID가 다를 수 있고, 기간 차이를 두고 이뤄진 작업들도 같은 성격으로 이어져 있다면 ID가 동일할 수 있다.

실제로 국정원이 지난 6월 17일에 해킹팀으로 보낸 두 통의 이메일을 비교하면, www.baidu.com 이라는 똑같은 URL에 똑같은 악성코드 2개씩을 심는 동일한 작업을 요청한 것으로 되어 있지만 양쪽의 티켓 아이디는 서로 다르다. 한 쪽은 목표 대상이 3개, 다른 쪽은 4개로 차이가 있기 때문이다.

반면 2013년 10월 2일 ‘서울대 공과대학 동창회 명부’와 10월 4일 ‘천안함 문의’ 메일을 비교하면, 양쪽 모두 MS 워드 파일을 공격용으로 변환하는 동일한 작업이면서 티켓 아이디도 똑같다. ‘천안함 문의’ 첨부파일에 대한 변환 작업은 10월 17일과 23일에도 똑같이 메일로 요청됐는데 이 2건 역시 티켓 아이디가 똑같다. 결국 이 4개의 이메일은 공격 대상까지 동일했기 때문에 동일한 티켓 아이디가 부여된 것으로 볼 수밖에 없다.

그렇다면 ‘서울 공대 동문회’와 ‘천안함 문의’ 사이의 고리가 완성되게 된다. 즉, 해킹 목표 대상은 서울공대를 나와 미국 남가주에 거주하며 천안함 관련 의혹을 제기했던 전문가라는 것이다. 여기에 해당하는 사람은 단 한 명, 재미 과학자 안수명 박사 뿐이다.

야당 “안 박사 해킹했나” 질문에 국정원 얼렁뚱땅 넘긴 까닭은?

국정원의 해킹팀 프로그램 구매 파문 이후 처음 열린 지난 14일 국회 정보위에서 야당 위원들은 안수명 박사에 대한 해킹 의혹을 국정원장 등에게 집중 질의했다. 그러나 국정원 측은 모호한 답변으로 피해갔다.

‘천안함 문서’ 파일을 누구에게 보냈 것이냐는 질문에 “중국에 있던 북한 잠수함 관련 인물이고 우리 국민은 아니다”라고 답하는가 하면, 공격 대상이 재미 과학자가 아니냐는 질문에는 “그렇진 않고, 미국 아이피를 추적하고 있는 게 있긴 하다”는 식이었다. 중국에 있는 사람인지 미국에 있는 사람인지 특정하지 않은 채 대충 얼버무린 채, ‘북한 잠수함 관련 인물이다’라고만 설명하고 넘어갔다.

▲ 국회 정보위원회 (7월 14)

뉴스타파 취재 결과 국정원이 이렇게 대응한 데에는 그럴 만한 이유가 있었다. 안수명 박사는 국정원이 문제의 해킹용 파일을 만들어달라고 요청하기 1달 쯤 전인 2013년 9월 1일부터 열흘 간 중국 베이징에 머물렀다. 지인의 소개로 한 북한 여성을 만나 북한 입국 비자를 만들어 달라고 부탁했다. 12살 위인 큰누나와 함께 고향인 함경북도 청진을 방문하기 위해서였다. 그러나 안 박사는 결국 비자를 받지 못하고 9월 10일 미국으로 돌아간다. 그런데 LA에 공항에 도착하자마자 미 해군의 조사를 받고 소지하고 있던 노트북과 책 등을 압수당한다. 당시 안 박사는 미군과 거래하는 방위사업체 안테크의 대표여서 미군의 비밀취급 인가를 갖고 있던 상태였는데, 중국에서 북한 여성과 접촉하고 북한 입국까지 시도했던 탓에 당국의 조사가 불가피했다. 이 문제로 안 박사는 대표직에서도 물러나게 됐다.

결국 국정원이 야당 의원들에게 ‘천안함 문의’ 첨부파일을 ‘중국에 있던 사람’에게 보냈다고 말한 것은 안 박사가 2013년 9월 베이징에 체류했던 사실과 연관된 것으로 보인다.

이처럼 국정원이 안 박사에 대해 해킹을 시도했음은 분명해 졌지만, 실제로 해킹이 성공했는지 여부는 불확실하다.

안 박사는 뉴스타파와의 통화에서 “미디어오늘 기자를 사칭한 이메일은 받은 기억이 나지 않고, 아마도 열어보지 않고 지운 것 같다”고 말했다. 또 서울공대 남가주 동창 명부에 대해서는 “매년 한두 차례씩 이메일로 오는 문서이고 실제로 출력해서 사용한 적도 있지만 그 시점이 2013년 10월 무렵이었는지에 대해선 기억하지 못한다”고 말했다.

방어 목적 실험용? 북한 공작원 상대로만 사용?

국정원은 지난 14일 국회 정보위에서 해킹팀의 프로그램을 대부분 방어 목적의 실험용으로 활용했으며 공격 대상은 북한 공작원으로 한정했다고 밝혔다. 그러나 불과 이틀 만에, 비록 미국 시민권자이긴 하지만 민간인에 대한 해킹 시도가 확인됐다. 문제는 이런 일이 더 벌어질 수 있다는 데에 있다.

뉴스타파가 이번 유출 자료들 가운데 국정원과 해킹팀이 주고받은 이메일 내용을 전수 조사한 결과, 스파이웨어를 심어달라는 요청이 담긴 이메일은 모두 86건이다. 매 건당 최소 1개에서 최대 12개까지 URL이나 첨부파일을 받았기 때문에, 실제 국정원이 확보한 감염 URL과 첨부파일은 모두 309개였다.

그런데, ‘실험용’이라고 밝힌 것은 불과 80개 뿐이었던 데 반해 실제 목표물 해킹에 사용하겠다고 한 것은 229개다. 국정원 해명과는 전혀 다른 결과다.

그렇다면 공격 대상은 누구였을까. URL의 대부분은 구글과 야후, 삼성, 안드로이드 등 누구라도 의심 없이 접근할 만한 성격이었다. 중국의 포탈과 택배서비스, 중동지역 정보 등 외국 사이트들은 국정원 설명대로 대북 방첩 활동을 위해 활용된 것으로 보인다.

그러나 떡볶이 맛집과 벚꽃놀이를 소개한 개인 블로그, 구글 한국어 입력기, 메르스 정보 페이지 등은 누가 봐도 내국인을 겨냥한 것으로 의심된다. 이런 URL과 첨부파일은 전체 309개 중 43개에 해당했다.