문화체육관광부는 박근혜-최순실 체제에 조직적으로 부역했다는 비판을 받고 있습니다. 지난 9월 국회 교육문화체육관광위원회의 국정감사에서 문화체육관광부는 미르재단과 k스포츠재단의 창립총회 회의록이 허위로 작성된 사실이 밝혀졌음에도 해당 서류는 재단 설립 허가에 필요 없는 서류였다며 두 재단을 끝까지 두둔했습니다. 이후 다른 주요 서류마저 빠진 것이 연속해서 확인되자, 허가 당시 견습직원이었던 주무관의 실수로 책임을 돌리기까지 했습니다.

취재 연다혜
편집 박서영
촬영 김수영
CG 정동우

– 최근 2달 총 24번 접속, 국내 실전용 해킹은 2회 추정

뉴스타파가 이탈리아 해킹팀 서버의 최근 2달간 접속 기록을 분석한 결과 국정원은 해킹팀 프로그램을 통해 모두 24건의 해킹을 시도했으며 이 가운데 해외 통신망에서 이뤄진 해킹은 15건, 국내 통신망에서 이뤄진 해킹은 2건으로 분석됐다. 또 나머지는 국내에서 테스트용으로 이뤄진 해킹이었던 것으로 나타났다.

유출된 해킹팀 자료에 들어있던 접속 기록은 해킹 목표물이 감염서버로 유인돼 접속하면서 남긴 기록이다. 여기엔 지난 5월과 6월에 이뤄진 전세계 해킹팀 고객의 해킹 시도 기록이 남아 있다.

이 접속 기록에는 감염서버에 접속한 일시와 해킹 목표가 된 단말기의 정보, 아이피 주소, 감염이 이뤄진 웹페이지 주소, 스파이웨어 설치 성공 여부 등이 포함돼 있다.

뉴스타파 취재진은 접속 기록에 포함된 이같은 정보들과 해킹팀이 국정원에 제공한 해킹용 웹페이지 주소와 첨부파일이 일치하는 지 여부를 비교해 국정원이 시도한 해킹 기록 24건을 찾아냈다.

어디를 해킹했나?

전체 24건 가운데 해외에서, 즉 해외통신망을 이용해 이뤄진 해킹이 총 15건으로 가장 많았다. 지역별로는 중국과 유럽, 동남아, 아프리카 등으로 폭넓게 이뤄졌다. 그러나 실제 해킹용 스파이웨어를 설치하는데 성공한 경우는 3건에 불과했고 12건은 실패한 것으로 나타났다.

해외에서 이뤄진 해킹 시도는 모두 국정원이 실전용이라고 해킹팀에 밝힌 것들이었다.

국내 통신망을 이용한 경우는 모두 9건이었는데 이 가운데 6건은 국정원이 테스트용이라고 밝힌 것이었고 실제로 아이피 주소(223.62.169.10, 223.62.169.56)도 겹치는 것이 많았다. 테더링으로 SK텔레콤 이동통신망에 접속해 개통하지 않은 다양한 단말기를 가지고 해킹 시험을 했기 때문에 아이피 주소가 서로 일치했던 것으로 보인다. (테더링: 휴대폰을 무선모뎀으로 활용해 인터넷에 접속하는 방식)

또 아이피 주소 223.62.169.56을 사용했던 갤럭시노트2(SKT모델) 단말기의 경우 국정원은 실전용이라고 밝혔지만 위의 테스트용 아이피주소와 겹치는 것으로 미뤄 역시 테스트용으로 분류했다.

이에 따라 국정원이 국내에서 실전용으로 실제 해킹에 사용한 것으로 보이는 접속 기록은 2건으로 추려졌다.

▲ 아이피 주소 앞 두자리인 223.62.*.*는 SK텔레콤이 국내에서 LTE 대역으로 사용하는 아이피 대역이다.

하나는 국정원이 실전용이라고 밝히면서 메르스 정보 사이트를 이용해 해킹을 요청했던 것으로 브라우저 설정이 한국어로 되어 있다. 또 하나는 영어로 설정된 단말기로 역시 실전용으로 국정원이 요청한 것이다.

▲ 미국 질병통제센터 CDC의 메르스 관련 페이지를 미끼 URL로 해킹 요청한 국정원 관리자의 이메일

물론 국정원이 실전용이라고 해킹팀에 요청했던 갤럭시노트2의 경우 아이피 주소의 앞 세자리(223.62.169.*)가 다른 테스트용(223.62.169.*)과 같은 것으로 볼 때 실제로는 실전용이 아닐 수도 있다. 그러나 다른 테스트용과는 다르게 매우 구체적인 사이트를 명시한 점으로 미뤄 충분히 국내 이동통신가입자를 상대로한 해킹이 아니냐는 의혹을 가질 수 있다

또 두번째 사례의 경우도 아이피 주소와 미끼 URL이 테스트용과 다른 것을 감안할 때 국내에 입국한 해외 교포나 외국인을 상대로 해킹을 시도한 것이 아니냐는 의심이 가는 대목이다.

다른 해킹 사례는 확인이 안되나?

뉴스타파는 앞서 공개한 자료 <국정원이 해킹팀에 보낸 ‘감염 요청 메일’ 분석 결과> 에서 내국인을 상대로 사용된 것으로 추정되는 미끼 URL과 첨부파일이 모두 43개에 이른다고 보도했다. 이 가운데 2013년에 미국의 안수명 박사를 목표로 한 것으로 보이는 해킹 요청 외에도 지난 3월말과 4월 중순 사이에 한국인을 목표로 했을 것으로 의심되는 사례가 집중돼 있다.

내국인을 상대로 하지 않았다면 미끼 URL로 한글로 된 맛집 소개나 축제 관련 블로그를 사용했을 리가 없기 때문이다.

하지만 이런 미끼 URL을 이용한 해킹 시도가 누구를 대상으로 어디에서 이뤄졌는지 현재로선 확인할 방법이 없다. 해킹팀의 서버에는 접속 기록이 지난 5월과 6월치만 보관돼 있기 때문이다.

또 이동통신사를 대상으로 접속기록을 확인한다고 해도 이동통신사는 인터넷 접속 로그기록을 3개월만 보관하도록 돼 있기 때문에 위에서 언급한 2015년 5월 이전의 의심사례를 확인하는 것은 힘들다.

뉴스타파가 분석한 해킹팀 서버의 해킹 기록은 국정원의 해명대로 해외에서 주로 해킹이 이뤄졌으며 국내에서 테스트용으로 사용한 경우도 있다는 것을 보여주지만 자국민에 대한 해킹의혹을 완전히 해소시켜주는 것은 아니다.

더구나 해킹팀 유출 자료로 분석할 수 있는 접속기록은 최근 2달치에 불과한 반면 국정원이 해킹프로그램을 운용한 기간은 지난 2012년 1월부터 지금까지 3년 6개월에 이른다.

국정원은 지금까지 대테러, 대북 공작을 위해서 해외에서 해킹프로그램을 사용하거나 테스트용으로만 사용했을 뿐 자국민을 대상으로는 사용한 적이 없다고 해명하고 있다.

또 국회 정보위원들이 국정원을 방문하게 되면 그동안의 해킹프로그램 사용기록을 모두 공개하겠다는 입장이다. 과연 해킹팀과 거래를 시작한 2012년부터 현재까지 기록을 투명하게 모두 공개할지 주목된다.

이번에 분석한 접속 기록 관련 자료는 뉴스타파 <국정원과 해킹팀> 데이터 페이지 에서 볼 수 있다.

이른바 ‘SNS기동대’ 사건의 책임자로 공직선거법 위반 판결을 받았던 한 인사가 더불어민주당 문재인 전 대표의 경선캠프(이하 ‘문재인캠프’)에서 다시 SNS 업무를 맡고 있다는 사실이 확인됐다. SNS기동대는 지난 18대 대선 당시 민주통합당 소속 국회의원들의 보좌진이 모여 만든 사조직으로, 대선 기간동안 조직적 SNS 활동을 벌이다 적발됐다.

뉴스타파는 대선 후보자 검증 취재의 일환으로, 후보자 또는 캠프 인사가 연루된 공직선거법, 정치자금법 위반 사건의 재판자료를 모아 분석했다. 이 과정에서 18대 대선 당시 문재인 캠프의 SNS 관련 업무를 담당했던 조한기 전 뉴미디어지원단장과 보좌관 차 모 씨가 공직선거법 위반 혐의로 각각 90만 원의 벌금형을 선고받았다는 사실을 확인했다.

’10시, 1시반 집중 유포’…18대 대선 조직적 SNS 활동의 내막

이 사건의 항소심 판결문에는 18대 대선 당시 문재인캠프의 SNS 활동 내용이 상세히 기록돼 있다. 판결문에 따르면, 선거 2달 전인 11월 초 차 씨를 비롯한 민주통합당 보좌진 20여 명은 △전략기획팀, △메시지팀, △실무지원팀 3개 팀으로 구성된 SNS 기동대를 결성했다.

이들은 트위터와 페이스북 등 SNS에서 문재인 후보의 당선을 위한 메시지를 기획, 생산, 유포하는 업무를 수행했다. 오전 9시 오프라인 회의를 시작으로 오전 10시와 오후 1시반 집중 유포, 오후 1시 온라인 회의, 오후 3시 반응 모니터링 등 시간대에 맞춰 조직적인 활동을 펼쳤다.

같은 해 12월 3일, SNS기동대는 10개 팀, 70여 명 규모의 SNS지원단으로 확대·개편됐다. 조한기 전 단장은 이 SNS지원단의 책임자였다.

이를 위해 당시 민주통합당은 여의도 신동해빌딩 6층에 새 정당 사무실을 냈다. 이때 들여온 컴퓨터의 수는 90대가 넘었다. SNS기동대는 포털사이트와 인터넷 커뮤니티를 각각 담당하는 ‘대응2팀’과 ‘대응3팀’과 함께 ‘대응1팀’으로 편입돼 기존의 SNS 활동을 이어나갔다. 국정원 오피스텔 사건(12월 11일)과 십알단’ 사건(12월 13일)이 연이어 발생하고, 새누리당의 제보를 받은 선관위가 현장조사에 나섰지만 이들의 활동은 선거 당일까지 계속됐다.

판결문에 등장한 SNS기동대 소속 보좌진의 트위터 계정을 분석해보니 차 씨의 경우 하루 100건이 넘는 트위터 글을 작성하기도 했다. 이들이 남긴 글 가운데는 일반적인 홍보활동으로 보기 힘든 상대 후보에 대한 원색적인 비판도 포함돼 있었다.

재판부 “선거 승리에 집착해 위법성 인지하고도 범행…선거에 영향 미쳤다”

18대 대선을 닷새 앞둔 12월 14일, 새누리당의 제보를 받은 선관위 직원들이 SNS지원단의 사무실이 있던 신동해빌딩에 대한 현장조사를 시도했다. 당직자들의 저지로 이날 선관위의 현장조사는 무산됐지만, 결국 검찰 기소로 이어졌다. 당시 민주통합당은 이에 대해 국정원 선거개입사건과 십알단 사건에 대한 ‘물타기’이자 정치적 탄압이라고 주장했다.

하지만 판결문에 나타난 문재인캠프 내부의 사정은 달랐다. 재판부는 수사과정에서 입수한 ‘SNS기동대 백서’ 등의 자료를 근거로 SNS기동대와 SNS지원단이 위법성을 인지하고 있는 상태에서도 활동을 지속했다고 봤다. 또 차 씨를 비롯한 SNS기동대는 자신의 활동이 언론 등에 유출되지 않도록 내부 단속을 하는 한편, 문제가 불거진 이후에는 활동의 흔적을 없애도록 지시한 것으로 나타난다.

‘조직적 대응 뉘앙스가 풍기지 않도록 엄중 경계해야한다’
– 2012.12.7 SNS기동대 백서

‘언론에 유출되면 심각해질 수 있으므로 보안에 신경쓰라’
– 2012.12.24 차00 보좌관의 이메일

‘조직적 SNS 대응 활동이 알려지면 문제가 생기니 노출되지 않게 주의하라고 했다’
– 차00 보좌관의 검찰 진술

‘검찰이 수사할수 있어 최소인력만 남겼으며 카카오톡 단체창도 폭파시켜 버렸다’
– 2012.12.14 선관위 현장조사 직후 발송한 메시지

항소심 재판부는 이같은 증거들을 종합해 SNS기동대가 현행 선거법이 금지하고 있는 선거운동 목적의 ‘사조직’에 해당한다고 판단했다. 공직선거법(87조 2항)은 누구든지 특정 후보의 선거운동을 위해 연구소·동우회·향우회·산악회·조기축구회, 정당의 외곽단체 등 목적 여하를 불문하고 사조직을 설립하지 못하도록 하고 있다.

SNS지원단 활동의 경우, 유사시설 설립 금지 조항(신·구법 89조 1항)이 적용됐다. 선거사무소로 신고되지 않은 신동해빌딩 6층 사무실에서 선거 운동을 해 신고된 선거사무소, 선거연락소, 선거대책기구 외에서는 유사 시설을 설치해서는 안된다는 현행법을 어겼다는 것이다.

재판부는 양형 사유를 밝히며 이 사건의 성격이 단순한 법리 오인으로 인해 발생한 것이 아니라고 강조했다. 다만 허위나 노골적인 비방은 없어 벌금형을 선고한다고 판시했다.

선거 관계인 신분으로서 선거 승리에만 집착해 그 위법성을 인지하고도 범행에 나아갔다. 또 단순한 온라인상에서 개인의 정치적 의견을 표현한 정도의 것이 아니라 위법한 유사기관을 기반으로 특정 후보에 대한 유리한 자료 등을 조직적으로 취한한 후 트위터나 페이스북 등 파급효과가 큰 SNS 매체를 이용하여 선거일 전날까지 집중 전파시킨 것으로서 선거에 미친 영향력이 작다고 볼 수 없다.

SNS기동대 사건 항소심 판결문 ‘양형의 이유’ 중

문재인 캠프 측 “법적 미비로 발생한 사건…결격사유 안 된다”

뉴스타파는 당시 SNS기동대 사건으로 선거법 위반 선고를 받았던 조한기 전 단장이 지난달 초 문재인캠프에 정식 합류한 사실을 확인했다. 19대 대선에서도 캠프의 SNS 팀을 맡았다. ‘SNS 생산과 대응팀'(가칭)으로 불리는 이 SNS팀은 국회 전현직 보좌관 2명과 일반 전문가 4명으로 구성됐다.

조 전 단장은 취재진과 만나 이같은 사실을 인정했다. 그는 당시 판결이 정치적 의도를 갖고 이뤄졌다고 말했다. 조직적 SNS 활동은 여당이 국정원, 십알단을 동원해 불법 SNS 활동을 벌이는 상황에서 불가피 했다고 말했다.

국정원과 사이버 사령부, 십알단 때문에 ‘울며 겨자먹기’로 당한 것이라 생각한다. 여야의 균형 맞추려 한 것으로 보인다. 불법사무소 차린 것도 아니고 아르바이트생을 구해 트위터 활동을 하라고 한 것 아닌데 억울하게 당한 것이다. 여당이 SNS 상에서 물량 공세를 하는 상황에서 보좌진들의 조직적인 SNS 활동은 불가피했다. 최소한의 방어는 해야할 상황이었다.

조한기 전 18대 대선 뉴미디어지원단장

취재진은 선거법 위반 전력을 갖고 있는 조 전 단장이 캠프에 합류하게 된 경위를 문재인캠프에 공식 질의했다. 이에 대해 캠프 측은 “선거법상 문제점이 드러나 별도의 입법 조치가 이뤄진 사안”이라며 “내부적으로 SNS 팀장으로 활동하는데 결격사유가 되지 않는 것으로 판단해 합류하게 된 것”이라고 답했다.

취재 : 오대양, 박중석, 신동윤
촬영 : 김기철, 최형석
편집 : 박서영
CG : 정동우

한대수 새누리당 예비후보(청주 서원구)의 배우자가 1985년 한 후보가 공직자로 재직하던 시절 농촌에 위장 전입해 농지를 매입한 사실이 확인됐다. 해당 농지는 1985년 이후 적어도 10배 이상 가격이 상승했다. 한대수 예비후보는 배우자의 위장 전입을 인정했지만 관행이었기 때문에 문제가 없다는 입장이다.

한대수 후보 감사관 시절, 정부가 ‘투기 근절’ 외칠 때 배우자는 ‘농지 매입’

한대수 후보의 배우자 최 모 씨는 1985년 경기도 광주시 퇴촌면 영동리 구룡동 일대 8필지의 땅을 매입해 지금도 소유하고 있다. 면적은 모두 26,000m2 이고 지목은 논과 밭(전답)이다. 하지만 현장을 확인한 결과 오랫동안 방치돼 농사를 지은 흔적을 찾아보기 힘들었다. 1985년은 한대수 후보가 감사원 감사관으로 재직하던 시절이다. 당시 경기도 광주시는 땅값이 급등해 정부가 토지거래신고제를 발동한(1984년) 전국 26개 시군 중 하나였다.

한대수 후보 배우자 최 씨가 매입한 8필지의 땅은 1990년 공시지가가 처음 발표될 때 1m2 당 1만 원이었는데 2015년 10만 원 가량으로 올랐다. 10배 가량 오른 셈이다. 최 씨가 매입한 땅에 인접한 다른 땅은 형질이 전답에서 대지로 변경돼 현재는 1m2 당 5-60만 원 이상을 호가한다고 영동리 주민은 말했다.

한 후보 배우자, 농지 매입 위해 ‘위장전입’

1985년 당시 농지 관련 규정에 따르면 외지인의 농지 매입은 원칙적으로 금지돼 있었고, 통작 거리(농지에서 거주지까지의 거리)는 4km로 제한돼 있었다. 당시 한대수 후보는 서울에서 감사원 감사관으로 재직하고 있었고, 배우자도 대기업에 다니고 있었다. 배우자 최 씨는 정상적인 방법으로는 광주시 퇴촌면에 농지를 살 수 없었다.

등기부등본에는 한대수 후보자의 배우자 최 씨가 퇴촌면 농지를 매입할 당시 주소지로 ‘퇴촌면 영동리 000번지’가 기재돼 있다. 하지만 해당 주소지에 사는 실 거주자 이 모 할머니는 최 씨도, 한대수 후보도 모르는 사람이라고 말했다. 이 마을에 70년 이상 살아온 노인회장도 역시 최 씨를 모른다고 말했다. 마을 이장은 “주민들이 주민등록등본을 떼면 모르는 사람이 전입이 돼 있는 경우가 종종 있다”며 “이런 일은 위장전입에 해당된다”고 말했다.

한대수 후보자, ‘위장 전입’은 인정…하지만 ‘관행’ 주장

한대수 후보는 이와 관련해 “노후에 농사를 짓기 위해서 매입했다”며 “실제로 농사를 잠시 짓기도 했다”고 주장했다. 위장전입과 관련해서는 “당시에는 다들 그렇게 농지를 매입했다”며 배우자의 위장전입 사실을 인정했지만, 문제는 없다는 입장을 보였다.