▲ 이탈리아 업체 ‘해킹팀’의 원격감시프로그램 RCS 설치용 CD

Q.국정원이 사용하는 해킹솔루션인 RCS(Remote Control System)은 불특정 다수의 PC나 휴대폰을 무차별적으로 해킹하나?

그렇지 않다. 많은 사람들이 오해하는 부분인데 국정원이 사용하는 RCS라는 해킹프로그램은 원하는 목표물만 대상으로 한다. 도감청 대상자(target)가 사용하는 PC나 스마트폰에 문자나 메일을 보내 감염시킨 뒤에 에이전트(원격으로 작동하는 작은 스파이웨어)를 설치해 단말기 내 자료를 해킹하거나 통화내용을 빼가는 방식이다. 스팸메일이나 보이스피싱처럼 악성코드를 무차별적으로 살포해 불특정 다수를 목표로 하는 방식과는 다르다.

Q.그렇다면 국정원은 몇 명이나 도감청할 수 있나?

국정원이 감시할 수 있는 대상(target)은 동시에 최대 20개까지 가능하다. 도감청 목표물의 수는 이탈리아 해킹팀과의 계약에 따라 늘어날 수도 있고 줄어들 수도 있다. 국정원은 2012년 초 첫 계약 때 10개를 계약했고, 그해 7월에 목표물 10개를 더 감시할 수 있는 시스템을 추가로 계약해 현재 20개를 커버할 수 있는 것으로 확인됐다. 즉 현재 운용하는 시스템은 최대 20개의 목표물을 동시에 해킹하거나 도감청할 수 있는데 목적을 달성한 목표물은 빼고, 그만큼의 목표물을 추가할 수 있다. 물론 돈을 더 많이 지불하면 더 많은 목표물을 감시할 수 있지만 그럴 경우 국정원의 관리인력과 장비도 그만큼 보강해야 한다.

▲ 2013년 7월, 국정원이 사용하고 있는 RCS에 표시된 목표물 감시 현황이다. 에이전트. 20개 가운데 17개가 가동되고 있는 것으로 보인다.

Q.아이폰은 해킹이 불가능하다던데?

이탈리아 해킹팀의 RCS 제품은 아이폰도 해킹할 수 있다. 단 현재는 이른바 ‘탈옥폰’의 경우만 가능하다. 탈옥폰은 제조사인 애플이 여러가지 기능을 제한하기 위해 걸어놓은 잠금장치를 해제시킨 휴대폰을 말한다. 탈옥폰은 사용자 환경을 마음대로 바꿀 수 있고 유료 앱을 무료로 쓸 수 있게 해주지만 보안에 치명적인 약점을 가지게 된다. 탈옥시키지 않은 정상적인 폰의 경우에는 아직까지 RCS의 침투가 불가능하다. 그러나 유출된 자료를 보면 해킹팀은 탈옥하지 않은 아이폰도 해킹이 가능하도록 연구 중이며 이미 데모 버전도 만들어 놓은 것으로 알려졌다. 또 현재의 RCS 버전 9.6 이후에 나올 버전 10.0부터는 아이폰에 대해서도 RCS가 작동하도록 할 계획이었던 것으로 알려졌다.

Q. 안드로이드폰의 경우는 어떤가?

운영체제 버전에 따라 다르다. 해킹팀의 RCS는 안드로이드 4.4(킷캣)까지만 지원하고 안드로이드 5.0(롤리팝)은 아직 지원하지 않는다.

Q.국정원의 해킹 프로그램이 뚫고 들어갈 수 있는 스마트폰은 어떤 게 있나?

운영체제와 단말기에 따라 다르다. 앞서 말한대로 아이폰의 경우는 탈옥폰의 경우에만 가능하고 안드로이드폰의 경우는 운영체제와 제품에 따라 침투되는 것도 있고 아닌 것도 있다. 해킹팀은 블랙베리도 뚫을 수 있다고 설명한다.

RCS를 작동하려면 우선 해당 기종의 보안 취약점을 공격해야 하는데 새로 출시되는 휴대폰 단말기 종류와 운영체제가 워낙 다양해 해킹팀이 이를 바로 따라잡지는 못하고 있다. 즉 개발까지는 일정한 시차가 있기 때문에 최신 휴대폰일수록 안되는 경우가 많다고 보면 된다. 국내에서 많이 사용되는 삼성 단말기의 경우 갤럭시 시리즈는 S, S2, S3, S4, S5까지 침투가 가능하고 노트의 경우는 노트3까지 해킹이 가능하다. 갤럭시 S6와 S6에지는 아직 불가능하다.

Q.파일을 빼가는 것은 물론 통화녹음도 할 수 있다는데?

물론이다. 에이전트를 심어놓은 PC나 스마트폰은 국정원이 원격으로 자기 마음대로 조정할 수 있다고 보면 된다. 통화도 녹음할 수 있고 단말기에 내장된 마이크를 통해 감시 대상자가 있는 현장의 소리를 녹음할 수 있다. 내장 카메라를 통해 사용자 몰래 사진을 찍어 저장해 놓은 뒤 이를 전송할 수도 있다.

해킹팀이 고객들의 문의에 답한 내용을 보면 감시 대상자의 스마트폰 내부에 저장공간이 부족해 녹음파일을 저장할 수 없는 경우에는 통화 녹음이 불가능하다고 돼 있다.

Q.스마트폰 메신저 앱을 통한 대화도 가로채 갈 수 있나?

그렇다. 하지만 이 기능은 2015년 6월 현재 안드로이드폰의 경우 ‘루팅’된 폰에서만 가능한 것으로 돼 있다. 루팅폰은 탈옥폰과 마찬가지로 제조사의 기능제한 장치를 풀어버린 폰이다.

루팅이 돼 있을 경우는 스카이프, 왓츠앱, 바이버, 라인, 페이스북, 행아웃, 텔레그램 등에서 이뤄지는 문자 대화 내용을 모두 빼낼 수 있다. 스카이프와 바이버의 경우에는 앱을 통한 음성통화까지 가로채는 게 가능하다.

Q.국정원은 누구를 대상으로 해킹프로그램을 사용했나?

그동안 해킹프로그램과 관련해 어떤 정보도 확인해 줄 수 없다던 국정원은 첫 보도 6일만인 14일에야 대북정보전을 위한 연구개발을 위해 해킹프로그램을 사용했다고 국회 정보위에서 해명했다. 국내 민간인을 대상으로 사용한 적은 없다는 것이다. 정보기관의 특성상 자세한 내용을 밝힐 순 없지만 일부 테스트용으로 사용한 것도 북한공작원을 상대로 한 것이라고 주장했다. 카카오톡에 대한 해킹 문의를 한 것도 북한 공작원이 카카오톡을 사용하는 경우가 있기 때문이라는 것이다. 유출자료를 보면 해킹을 시도한 대상이 중국같은 해외에 있는 PC나 휴대폰인 경우도 확인이 된다. 하지만 국내 이동통신사에서 출시한 스마트폰에 대한 해킹을 요청하거나 ‘천안함 문의’라는 한글 이메일을 통해 감시대상 단말기를 감염시키려 한 사례가 발견돼 국내 민간인을 감시한 게 아니냐는 의혹은 가시지 않고 있다.

▲ 국정원이 2013년10월4일 에이전트를 심어 달라고 해킹팀에 보낸 Cheonan-ham(Cheonan ship).docx 파일. 미디어오늘의 ‘조현호’ 기자를 사칭한 것으로 보인다.

Q.이탈리아의 해킹팀은 해킹 조직인가? 소프트웨어 회사인가?

이탈리아 업체 해킹팀은 지하에서 익명으로 활동하는 해커들의 비밀스러운 조직은 아니다. 2004년부터 해킹프로그램을 만들어서 판매하는 인터넷 보안업체다. 본사는 밀라노에 있지만 싱가포르와 미국 애나폴리스에 지부를 두고 있고 해마다 각국에서 열리는 유명 보안 관련 전시회와 컨퍼런스에도 자주 참여해 마케팅 활동을 펼치고 있다. 하지만 ‘시티즌랩’과 ‘국경없는 기자회’ 같은 국제단체들은 해킹팀의 감시프로그램이 독재국가에서 인권탄압 등에 악용되고 있다며 이 업체를 ‘인터넷의 적’이라고 비난해 왔다.
해킹팀은 프로그램 프리젠테이션과 운영에 관한 기술지원, 교육을 위해 지난 2010년 12월 7일 한국을 처음 방문한데 이어 지금까지 모두 5차례 한국에 와 국정원 담당자들을 만났다.

▲ 2013년 4월 런던에서 열린 보안 관련 전시회에 부스를 차린 해킹팀. 출처 : Ryan Gallger 트위터

Q.우리나라 말고 해킹팀의 RCS를 구입해 사용하고 있는 나라는 어디인가?

30여 개 국가에서 70개 이상의 기관이 이 해킹프로그램을 구입해 사용하고 있는 것으로 알려졌다. 대부분 정보기구나 군,경찰 관련 정부기관이다. 해킹팀 전체 고객리스트는 이곳에서 볼수 있다.

Q.이번에 해킹된 해킹팀 내부 자료는 어디에서 볼 수 있나?

2015년 7월 6일 유출된 이후 비트토렌트와 https://ht.transparencytoolkit.org에 데이터가 공개됐다. 비밀정보 폭로사이트인 위키리크스는 7월 9일 해킹팀 특별 페이지를 오픈해 이 자료들을 누구나 검색할 있도록 했다.

-3년 간 시스템 도입 및 유지비로 한화 8억 원 지급
-10월엔 해킹팀 관계자 직접 한국 방문 교육 예정
-뉴스타파 확보 이메일에 ‘2016년 유지비용은 67,700유로’

이탈리아의 인터넷 감시프로그램 제작 및 서비스 업체인 ‘해킹팀’(Hacking Team)의 내부 정보가 해킹으로 인터넷에 유출돼 전세계적인 파장을 불러일으키고 있는 가운데 국가정보원도 2012년 이 업체의 감시프로그램을 구매해 현재도 사용하고 있는 것으로 뉴스타파 취재결과 드러났다.

해킹팀의 프로그램을 구입한 국가들은 대부분 인권 탄압이 심하다고 지목된 나라들인데다 실제 이 감시프로그램을 반정부 단체나 인물을 감시하는데 사용한 것으로 확인되고 있어 국정원이 어떤 목적으로 이 감시프로그램을 사용하고 있는지에 대해 의문이 제기되고 있다.

지난 7월5일(미국현지시각) 해킹돼 인터넷에 공개된 해킹팀의 내부정보는 400기가바이트(GB) 분량이다. 여기에는 각 국 고객과의 계약사항과 주고받은 이메일, 해킹팀의 직원정보, 감시프로그램에 대한 설명 등이 포함돼 있다.

계약서와 요금청구서의 결제정보 자료에는 ‘한국 정부의 5163부대(The 5163 Army division)’라는 고객 이름이 나오는데 이 ‘5163부대’는 국정원이 외부와 업무연락을 할 때 사용하는 명칭이다. 5163부대와 맺은 계약서에 찍힌 주소도 국정원이 사용하는 사서함 주소(P.O. Box 200)와 일치하는 것으로 확인됐다.

▲ 해킹팀이 작성한 RCS 대금 청구서와 해킹팀 내부 보관자료

이 자료를 보면 국정원은 2012년 1월 27만3천 유로를 지불하고 원격감시시스템을 구입했으며 1년에 두번 정도 유지비용을 냈고, 가장 최근인 지난 1월에도 약 3만3천850유로를 유지비용으로 지불한 것으로 나타났다. 감시시스템 첫 구입 후 지금까지 지금한 총 금액은 68만6천410 유로, 우리 돈으로 모두 8억 6천만 원에 이른다.

국정원이 구입한 감시프로그램은 RCS(Remote Control System)로 불리는 원격감시프로그램이다. 자료에 따르면 국정원은 2014년 업그레이드 버전인 ‘다빈치’(Da Vinci)도 구입해 지금까지 유지보수 비용을 지불하고 있는 상태다.

▲ 해킹팀에서 유출된 ‘다빈치’ 소개자료.

RCS는 스파이웨어를 원하는 목표물에 설치해 정보를 빼가는 방법을 사용하는데 컴퓨터와 스마트폰을 감청하는 것은 물론이고 단말기의 카메라와 녹음기까지 원격조정할 수 있는 막강한 감시프로그램이다. 이때문에 해킹팀은 전세계의 민간 정보보호단체들과 시민기구로부터 ‘인터넷의 적’이란 표현을 얻을 만큼 많은 비난을 받고 있다.

▲ 해킹팀이 소개자료에 담은 RCS로 수집가능한 정보.

해킹팀의 프리젠테이션 자료에는 감시 대상 목표물이 문서나 웹페이지를 열 때 감시프로그램이 작동하도록 용량이 작은 스파이웨어를 심거나 SMS을 이용한다는 등의 설명이 들어있으며 기존 백신으로는 추적이 불가능하다고 적혀있다.

▲ 오른쪽 화면이 감시프로그램이다. 원하는 장치를 선택해 스파이웨어를 심을 수 있고 통제할 수 있다. 출처 : 해킹팀 소개 자료

캐나다의 연구팀 ‘시티즌랩’이 지난해 2월 해킹팀의 감시프로그램을 추적해 확보한 IP(인터넷주소)를 공개한 적이 있다. 아래 표처럼 당시 발견된 21개 국가 가운데 한국의 IP도 포함이 돼 있어서 한국에서도 해킹팀의 감시프로그램이 사용되고 있는 것이 아니냐는 의혹이 일었는데 이번 자료유출은 그 사용자가 국정원이었을 가능성이 높다는 것을 보여준다.

▲ IP 발견 기간이 국정원의 RCS 구입 및 운용 기간과 일치한다. 위 자료는 2014년 2월에 공개됐다. 출처 : 시티즌랩

국정원은 ‘나나테크’라는 국내 보안업체를 통해 해킹팀과 감시시스템 구입 및 운용 계약을 했다. 아래는 뉴스타파가 확보한 나나테크의 대표와 해킹팀의 담당자가 주고받은 이메일이다. 불과 9일 전 작성된 이 이메일을 보면 국정원은 지금도 이 감시프로그램을 사용하고 있다는 것을 알 수 있다.

▲ 지난 7월1일 나나테크 대표가 해킹팀에 보낸 메일. 다른 나라의 정보기관들도 국정원처럼 민간보안업체를 중개업체로 내세우고 있다.

지난 7월 1일자 이메일에서 나나테크 관계자는 해킹팀이 제안한 고객 교육에 대해 ‘10월에 교육이 이뤄지길 고객이 희망’하며 ‘2차 송금은 고객이 8월말까지 할 것’이라고 회신했다.(올해 유지 비용에 대한 1차 송금은 1월에 이뤄졌다. 1, 2차 각각 33,850 유로씩이다.) 이후 이메일에서는 양측이 해킹팀 교육관계자의 10월 한국 방문 계획을 확정한다. 유출자료를 보면 해킹팀은 감시프로그램 첫 구매 계약 직후인 2012년 1월에도 우리나라를 방문한 적이 있었던 것으로 확인된다. 이들은 서울 강남구의 한 호텔에 숙박했던 것으로 나타났다.

나나테크는 지난 2003년 3월 설립된 정보통신서비스업체로 서울 공덕동에 위치해 있다. 공시된 기업정보에 따르면 대표는 허손구 씨(60세) 등 2명이고, 직원 수는 6명이다. 2012년도 매출액은 5억7천만 원, 영업이익은 6천9백만 원이었다. 뉴스타파는 국정원과의 연관성을 확인하기 위해 9일 나나테크를 찾아갔으나 업무시간임에도 불구하고 사무실은 굳게 닫혀진 상태였다.

이번 내부 정보 유출 사고가 없었다면 국정원과 해킹팀과의 관계는 내년에도 계속 이어졌을 것으로 보인다. 나나테크와 해킹팀이 주고받은 이메일을 보면 국정원이 직접 송금하던 유지 비용을 내년 1월부터는 나나테크를 통해 지불하겠다는 내용이 나온다. 국정원이 이 감시프로그램을 2016년에도 계속 사용하겠다는 뜻이다.

▲ 4월 9일 나나테크가 해킹팀에 보낸 메일. ‘고객’이 내년에 보내겠다는 67,700유로는 국정원이 올해 지불하는 유지관리 비용과 일치한다.

문제는 국정원이 이렇게 구입한 감시프로그램을 어떤 용도로 운용하고 있는가이다. 북한이나 중국의 해킹 조직과 싸우는 데 사용하는 것이 아니라 혹시라도 국내에서 자국민을 상대로 사용하고 있다면 또다시 정보기관의 사찰 문제와 개인의 사생활 보호 같은 인권 문제가 불거질 수 밖에 없다. 국정원 측은 감시프로그램 구입과 사용여부, 목적 등에 대한 질문에 “어떤 질문에도 확인해줄 수 있는 것이 없다. 이해해달라”는 말만 되풀이했다.

그런데 해킹팀으로부터 감시프로그램을 도입한 것으로 드러난 멕시코와 모로코, 이집트, 수단,이디오피아 등의 국가들은 대부분 모두 언론이나 시민단체를 사찰하거나 인권을 탄압해 문제가 불거졌던 나라들이다.

모로코의 경우 이번에 유출된 자료로 2010년 이전부터 지금까지 모로코 정부가 해킹팀으로부터 감시프로그램을 구입해 사용한 사실이 확인됐다. 이에따라 지난 2012년 정부에 비판적인 언론인을 상대로 했던 해킹사건도 정부 소행이 아니냐는 의혹이 커지고 있다.

또 에티오피아의 경우도 지난해 발생한 언론인에 대한 해킹 사건에 정보기관이 관여했음을 보여주는 자료가 이번에 유출됐다.

우리의 경우 국정원이 감시프로그램을 처음 구입한 2012년 1월은 대선을 앞두고 심리전단이 SNS 전담조직을 확대했던 시기와도 일치하고 있어서 국정원이 왜 이 프로그램을 당시에 구입했는지 의문이 제기되고 있다.

국정원의 해킹프로그램 실무자가 목숨을 끊었다.

국정원의 해킹프로그램 실무자로 알려진 45살 임 모씨가 자신의 차량 안에서 숨진 채 발견됐다. 경찰은 임 씨가 번개탄을 피워 스스로 목숨을 끊은 것으로 추정된다고 밝혔다.

임 씨가 남긴 유서 3장 가운데 공개된 유서는 국정원에게 보내는 1장이다.

국정원장과 차장, 국장에게 보내는 유서에서 임 씨는 “지나친 업무에 대한 욕심이 오늘의 사태를 일으켰다”면서 “내국인이나 선거에 대한 사찰은 전혀 없었다”고 적었다.

또 “국정원의 위상이 중요하다고 판단해 대테러, 대북 공작활동에 오해를 일으킨, 지원했던 자료를 삭제했다”고 밝혔다. 또 자신의 부족한 판단이 저지른 실수라면서 자신의 행위에 대해 우려할 부분이 전혀 없다고 적어놨다.

무엇을 왜 삭제한 것일까?

유서의 문맥을 보면 자료를 삭제한 자신의 행위에 대해 국정원 측에 해명하려는 의도가 있음을 알 수 있다. 국정원의 위상이 중요하다고 생각해, 오해를 일으킬만한 자료를 삭제했다는 것으로 풀이된다. 그러면서도 내국인이나 선거에 대한 사찰은 아니니 우려할 부분은 없다고 말하고 있다.

임 씨가 유서에 쓴 내용대로 대외적으로 ‘오해를 일으킨, 지원했던 자료’는 현재로선 밝혀진 것이 안 박사에 대한 해킹 시도 건밖에는 없다. 안 씨의 경우 미국 시민권자여서 외교문제가 될 수 도 있다.

그러나 “국정원 간부들은 임 씨의 책임은 전혀 없었다고 말했다”고 국회 정보위 새누리당 간사인 이철우 의원이 전했다. “해킹프로그램을 도입할 때부터 실무자였던 임씨가 4일 동안 잠도 안자고 일하면서 공황상태에서 착각을 한 것이 아닌가”라고 국정원에서는 판단하고 있다는 것이다.

전산담당 실무자로 해킹 목표물을 직접 선택할 위치엔 있지 않았던 것으로 알려진 임 씨가 상부의 지시없이 독자적으로 증거를 인멸했다는 것도 납득하기 힘든 상황이다.

국정원은 임 씨가 삭제한 자료도 디지털 포렌식을 통해 100% 복원할 수 있다고 밝혔다. 또 언제 삭제했는 지도 조사해 의혹을 풀겠다는 입장이다. 지금까지 보관하고 있는 모든 해킹관련 기록을 국회 정보위원들에게 공개하겠다는 입장에도 변함이 없다. 기록 공개는 빠르면 이달말 안에 이뤄질 예정이다.

동료 직원을 보내며

국정원은 7월 18일 참담하게도 동료 직원 한사람을 잃었습니다. 누구보다 업무에 헌신적이고 충성스럽고 유능한 직원이었습니다. 국정원은 왜 그 직원이 그런 극단적인 선택을 했는지 묻고 또 묻고 있습니다. 그러나 그럴 필요가 전혀 없는데 왜 그랬는지 아직도 답을 얻지 못하고 있습니다.
그는 2012년도 문제의 해킹 프로그램 구입을 실무판단하고 주도한 사이버 전문 기술직원이었습니다. 그는 유서에서 “업무에 대한 열정으로 그리고 직원의 의무로 일했습니다. 지나친 업무에 대한 욕심이 오늘의 사태를 일으킨 듯 합니다”라고 썼습니다. 오늘의 사태란 국정원의 민간사찰을 기정사실화하고 있는 정치적 논란을 지칭하는 것으로 보입니다.
이 직원은 본인이 실무자로서 도입한 프로그램이 민간인 사찰용으로 사용되었다는 정치권과 일부 언론의 무차별적 매도에 분노하고 있었습니다. 유서에 나와 있는 대로 열심히 최선을 다해 일해 왔는데 이런 상황이 벌어진 데 대해 자기가 잘못해서 국정원에 누가 되지 않았나 하고 노심초사 했었던 것으로 주변 동료들이 말하고 있습니다.
사이버 작전은 극도의 보안이 요구되는 매우 민감한 작업입니다. 안보 목적으로 수행한다 하더라도 이것이 노출되면 외교 문제로도 비화될 수 있습니다. 그래서 국가안보를 지키는 데 있어서 꼭 필요한 대상으로만 조심스럽게 사용하고 있습니다.
일부 정치인들은 이런 내용을 모두 공개하라고 주장하고 있습니다. 이는 근거없는 의혹을 입증하기 위해 국정원이 더 이상 정보기관이기를 포기하라는 요구와 같습니다. 국가안보에 어떤 해악이 미치는지에 대한 고려는 없습니다. 국정원은 이미 우리 국민에 대한 사찰이 없었음을 분명히 했고 정보위원님들의 현장 방문을 수용했습니다. 이미 합의한 절차에 따라 조용히 확인하면 될 일이었습니다. 국정원 직원도 민간인 사찰의 엄중함을 야당의원들 이상으로 절감하고 있으며, 새로운 국정원法으로 내부 통제를 강화하고 있습니다.
“국정원의 위상이 중요하다고 판단하여 혹시나 대테러, 대북 공작활동에 오해를 일으킨 지원했던 자료를 삭제했습니다. 저의 부족한 판단이 저지른 실수였습니다”
이 유서 대목에서 국정원 직원 일동은 고인의 국정원에 대한 깊은 애정을 감지하고 애통해 하고 있습니다. 국정원의 공작내용이 노출될 것을 걱정했던 것으로 보입니다. 그래서 자의대로 이를 삭제하고 그 책임을 자기가 안고 가겠다고 극단적인 선택을 한 것으로 보입니다. 국정원은 현재 그가 무엇을 삭제했는지 복구 작업 중에 있습니다.
그 직원의 극단적인 선택은 그럴 필요가 전혀 없는 상황에서 발생해 참으로 애석하고 안타깝기 그지 없습니다. 순수하고 유능한 사이버 기술자였던 그가 졸지에 우리 국민을 사찰한 감시자로 내몰린 상황을 심정적으로 받아들이기 어려웠던 것으로 보입니다. 또 이로 인해 국정원이 보호해야 할 기밀이 훼손되고 노출될 수 밖에 없는 현실을 자기 희생으로 막아보고자 했던 것으로 보입니다.
이탈리아 해킹팀社로부터 같은 프로그램을 35개국 97개 기관이 구입했습니다. 이들 기관들은 모두 ‘노코멘트’ 한마디로 대응하고 이런 대응이 아무런 논란 없이 받아들여졌습니다. 자국의 정보기관을 나쁜 기관으로 매도하기 위해 매일 근거없는 의혹을 경쟁적으로 쏟아내는 나라는 우리 밖에 없습니다. 드러난 사실은 댓글사건이 있었던 해인 2012년 국정원이 이를 구입했다는 사실 밖에 없고 나머지는 모두 그럴 것이라는 추측성 의혹 뿐입니다.
그런데도 10일 넘게 백해무익한 논란이 지속되면서 국정원은 불가피하게 해명에 나서야 했고, 그 과정에서 정보역량이 크게 훼손되었습니다. 급기야 젊고 유능하고 책임감이 강한 한 사람의 소중한 국정원 직원이 극단적 선택을 한 불행한 사태에까지 이르게 되었습니다.
이 직원은 유서에서 “정말 내국인에 대한, 선거에 대한 사찰은 전혀 없었다”고 분명히 밝혔습니다. 고인의 죽음으로 증언한 이 유서 내용은 글자 그대로 받아들여야 합니다.
그럼에도 불구하고 그의 죽음을 정치적 공세를 이어가는 소재로 삼는 개탄스런 현상이 지속되고 있습니다. 북한의 위협에 직면하고 있는 엄혹한 현실을 도외시하고 외교적 부작용이 발생해도, 국정원이 약화되어도 상관없다는 위험하고 무책임한 발상이 이어지고 있는 것입니다. 그가 자신을 희생함으로써 지키고자 했던 가치를, 국가안보의 가치를 더 이상 욕되게 해서는 안될 것이며, 결과에 대해 책임 또한 따라야 할 것입니다.
국정원은 정보위원들의 방문시 필요한 기록을 공개함으로써 국정원이 민간인 사찰을 하지 않았음을 명백히 할 것입니다.
국정원을 보호하기 위해 ‘무명으로 헌신’한 직원의 명복을 빕니다. 全국정원 직원은 동료를 떠나보낸 참담한 심정을 승화시켜 나라를 지키는 본연의 업무에 더욱 진력할 것입니다.
- 국정원 직원 일동

– 최근 2달 총 24번 접속, 국내 실전용 해킹은 2회 추정

뉴스타파가 이탈리아 해킹팀 서버의 최근 2달간 접속 기록을 분석한 결과 국정원은 해킹팀 프로그램을 통해 모두 24건의 해킹을 시도했으며 이 가운데 해외 통신망에서 이뤄진 해킹은 15건, 국내 통신망에서 이뤄진 해킹은 2건으로 분석됐다. 또 나머지는 국내에서 테스트용으로 이뤄진 해킹이었던 것으로 나타났다.

유출된 해킹팀 자료에 들어있던 접속 기록은 해킹 목표물이 감염서버로 유인돼 접속하면서 남긴 기록이다. 여기엔 지난 5월과 6월에 이뤄진 전세계 해킹팀 고객의 해킹 시도 기록이 남아 있다.

이 접속 기록에는 감염서버에 접속한 일시와 해킹 목표가 된 단말기의 정보, 아이피 주소, 감염이 이뤄진 웹페이지 주소, 스파이웨어 설치 성공 여부 등이 포함돼 있다.

뉴스타파 취재진은 접속 기록에 포함된 이같은 정보들과 해킹팀이 국정원에 제공한 해킹용 웹페이지 주소와 첨부파일이 일치하는 지 여부를 비교해 국정원이 시도한 해킹 기록 24건을 찾아냈다.

어디를 해킹했나?

전체 24건 가운데 해외에서, 즉 해외통신망을 이용해 이뤄진 해킹이 총 15건으로 가장 많았다. 지역별로는 중국과 유럽, 동남아, 아프리카 등으로 폭넓게 이뤄졌다. 그러나 실제 해킹용 스파이웨어를 설치하는데 성공한 경우는 3건에 불과했고 12건은 실패한 것으로 나타났다.

해외에서 이뤄진 해킹 시도는 모두 국정원이 실전용이라고 해킹팀에 밝힌 것들이었다.

국내 통신망을 이용한 경우는 모두 9건이었는데 이 가운데 6건은 국정원이 테스트용이라고 밝힌 것이었고 실제로 아이피 주소(223.62.169.10, 223.62.169.56)도 겹치는 것이 많았다. 테더링으로 SK텔레콤 이동통신망에 접속해 개통하지 않은 다양한 단말기를 가지고 해킹 시험을 했기 때문에 아이피 주소가 서로 일치했던 것으로 보인다. (테더링: 휴대폰을 무선모뎀으로 활용해 인터넷에 접속하는 방식)

또 아이피 주소 223.62.169.56을 사용했던 갤럭시노트2(SKT모델) 단말기의 경우 국정원은 실전용이라고 밝혔지만 위의 테스트용 아이피주소와 겹치는 것으로 미뤄 역시 테스트용으로 분류했다.

이에 따라 국정원이 국내에서 실전용으로 실제 해킹에 사용한 것으로 보이는 접속 기록은 2건으로 추려졌다.

▲ 아이피 주소 앞 두자리인 223.62.*.*는 SK텔레콤이 국내에서 LTE 대역으로 사용하는 아이피 대역이다.

하나는 국정원이 실전용이라고 밝히면서 메르스 정보 사이트를 이용해 해킹을 요청했던 것으로 브라우저 설정이 한국어로 되어 있다. 또 하나는 영어로 설정된 단말기로 역시 실전용으로 국정원이 요청한 것이다.

▲ 미국 질병통제센터 CDC의 메르스 관련 페이지를 미끼 URL로 해킹 요청한 국정원 관리자의 이메일

물론 국정원이 실전용이라고 해킹팀에 요청했던 갤럭시노트2의 경우 아이피 주소의 앞 세자리(223.62.169.*)가 다른 테스트용(223.62.169.*)과 같은 것으로 볼 때 실제로는 실전용이 아닐 수도 있다. 그러나 다른 테스트용과는 다르게 매우 구체적인 사이트를 명시한 점으로 미뤄 충분히 국내 이동통신가입자를 상대로한 해킹이 아니냐는 의혹을 가질 수 있다

또 두번째 사례의 경우도 아이피 주소와 미끼 URL이 테스트용과 다른 것을 감안할 때 국내에 입국한 해외 교포나 외국인을 상대로 해킹을 시도한 것이 아니냐는 의심이 가는 대목이다.

다른 해킹 사례는 확인이 안되나?

뉴스타파는 앞서 공개한 자료 <국정원이 해킹팀에 보낸 ‘감염 요청 메일’ 분석 결과> 에서 내국인을 상대로 사용된 것으로 추정되는 미끼 URL과 첨부파일이 모두 43개에 이른다고 보도했다. 이 가운데 2013년에 미국의 안수명 박사를 목표로 한 것으로 보이는 해킹 요청 외에도 지난 3월말과 4월 중순 사이에 한국인을 목표로 했을 것으로 의심되는 사례가 집중돼 있다.

내국인을 상대로 하지 않았다면 미끼 URL로 한글로 된 맛집 소개나 축제 관련 블로그를 사용했을 리가 없기 때문이다.

하지만 이런 미끼 URL을 이용한 해킹 시도가 누구를 대상으로 어디에서 이뤄졌는지 현재로선 확인할 방법이 없다. 해킹팀의 서버에는 접속 기록이 지난 5월과 6월치만 보관돼 있기 때문이다.

또 이동통신사를 대상으로 접속기록을 확인한다고 해도 이동통신사는 인터넷 접속 로그기록을 3개월만 보관하도록 돼 있기 때문에 위에서 언급한 2015년 5월 이전의 의심사례를 확인하는 것은 힘들다.

뉴스타파가 분석한 해킹팀 서버의 해킹 기록은 국정원의 해명대로 해외에서 주로 해킹이 이뤄졌으며 국내에서 테스트용으로 사용한 경우도 있다는 것을 보여주지만 자국민에 대한 해킹의혹을 완전히 해소시켜주는 것은 아니다.

더구나 해킹팀 유출 자료로 분석할 수 있는 접속기록은 최근 2달치에 불과한 반면 국정원이 해킹프로그램을 운용한 기간은 지난 2012년 1월부터 지금까지 3년 6개월에 이른다.

국정원은 지금까지 대테러, 대북 공작을 위해서 해외에서 해킹프로그램을 사용하거나 테스트용으로만 사용했을 뿐 자국민을 대상으로는 사용한 적이 없다고 해명하고 있다.

또 국회 정보위원들이 국정원을 방문하게 되면 그동안의 해킹프로그램 사용기록을 모두 공개하겠다는 입장이다. 과연 해킹팀과 거래를 시작한 2012년부터 현재까지 기록을 투명하게 모두 공개할지 주목된다.

이번에 분석한 접속 기록 관련 자료는 뉴스타파 <국정원과 해킹팀> 데이터 페이지 에서 볼 수 있다.

Q.국정원이 구입, 운용한 해킹팀의 RCS에서 ‘타깃 20개’란 어떤 의미인가? 국정원장은 20명 분의 해킹프로그램이라고 주장한다.

국정원이 이탈리아 해킹팀으로부터 도입해서 운용한 RCS 프로그램의 타깃(target)은 20개다. 이는 동시에 최대한 20개까지 감시가 가능하다는 의미다(해당항목으로 이동).

국정원장의 해명은 해킹을 20명만 할 수 있다는 것처럼 들리지만 실제는 동시에 감시가 가능한 것이 20명이다. 실제 연 감시 대상은 훨씬 많을 수 있다는 것이다.

이탈리아 해킹팀이 나나테크에 보낸 제안서에서 설명하는 타깃에 대한 개념도 그렇다.

예를 들어 모니터링하고 있는 타깃 20개 가운데 더 이상 감시할 필요가 없는 타깃 5개를 삭제하면 새로운 타깃 5개에 추가로 스파이웨어를 설치해 다시 20개까지 모니터링 할 수 있다는 뜻이다. 이렇게 될 경우 국정원이 해킹한 타깃은 모두 25개가 되지만 동시 모니터링 하고 있는 타깃은 20개가 된다.

Q. 동시 감시 대상이 20개라는 것은 예를 들어 국정원이 감시가 필요한 대상 100개를 미리 감염시켜 놓은 뒤에 필요에 따라 감시 대상 20개 안에 넣었다 뺐다 할 수 있다는 것인가?

그렇다고 보기는 힘들다. 국정원 관리자와 해킹팀이 2014년 7월7일 주고받은 메일을 보자. 에이전트는 휴대폰이나 PC 등의 목표물에 설치해 해당 기기에서 정보를 빼내오는 해킹용 스파이웨어를 말한다.

질의 응답은 다음날인 7월8일 이메일로 이어진다.

(※RCS에는 여러 모듈(기능의 작동단위)이 있는데 기능에 따라 CALL 모듈, CHAT 모듈, PHOTO 모듈 등이 있다. CALL 모듈을 작동시키면 CALL을 감시할 수 있고 CHAT 모듈을 작동시키면 CHAT을 가로챌 수 있다.)

간단히 정리하면 예를 들어 타깃 100개를 한꺼번에 해킹해 놓고서 필요한 것들을 골라서 그 때 그 때 20개 안에 넣었다 뺐다 바꿔가면서 감시하는 것은 불가능하다는 말이다.

Q.그렇다면 이미 20개를 가득 채워서 동시에 모니터링을 하고 있는 상태에서 다른 1개의 타깃에 추가로 스파이웨어가 설치된다면 어떤 일이 벌어질까?

실제로 다른 나라의 고객이 해킹딤에 질문했다. 30개 타깃에 대한 라이선스를 갖고 있고 현재 30개를 동시에 감시하고 있는데 만약 3개월 전에 감염파일을 담아 보낸 이메일을 감시 대상이 이제서야 열어서 감염될 경우 어떻게 되냐는 것이다.

이럴 경우 31번째 타깃은 대기열(queue)에 위치하게 된다고 해킹팀은 답한다. 살아만 있을 뿐 자료를 빼오는데는 써먹을 수는 없는 상태라는 것이다. 따라서 라이선스 1개를 추가로 구입하거나 아니면 기존에 감시중인 타깃 하나를 제거해야 31번째 타깃의 에이전트가 활성된다는게 해킹팀의 설명이다.(▷관련 메일)

국정원도 비슷한 상황에 처한 적이 있다. 2013년 7월29일에 오간 이메일들(TICKET ID:!SMZ-100-78952)을 보면 “최근 타깃 3개가 감염된 것을 알게 돼서 기존 타깃 3개를 삭제했다. 그런데도 (감염된 타깃이) 대기열에서 시스템으로 들어오지 않고 대시보드에 추가할 수도 없다”면서 “3개의 공간이 있는데도 감염된 에이전트 2개가 20시간째 대기열에 머물러 있다”고 질문한다.

당시 국정원이 문제를 설명하면서 보낸 RCS 콘솔의 스크린샷이다.

▲ 빨간색 사각형이 국정원 직원이 직접 표시한 부분이다. 20개 타깃 가운데 3개의 여유가 있음을 보여준다.

스크린샷 제일 상단에 있는 RCS:DB 항목에서 상태가 ‘2connections’ 라고 돼 있는 부분이 대기열에 있는 타깃 2개를 말하는 것으로 보인다. 에이전트가 17/20로 3개의 여유분이 있으니 바로 시스템과 동기화돼서 감시 가능 상태에 들어와야 하는데 여전히 대기열에 머물러 있는 상황이다.

이 문제는 결국 국정원이 해킹팀의 조언대로 콜렉터를 다시 부팅하면서 해결이 된다.(▷관련 이메일)

Q.그렇다면 국정원이 천 명, 만 명의 타깃을 감염시켜 대기열에 위치시켜 놓은 뒤에, 20개씩 차례대로 동시 감시 대상으로 올리면 이론적으로는 감염시켜놓은 모든 타깃을 숫자 제한없이 감시할 수 있다는 말 아닌가?

이론적으로는 가능하다. 하지만 실제 해킹팀 RCS 운영 상황으로 볼 때 현실적으는 어렵다. 먼저 앞에서 국정원이 언급했던 대시보드가 무엇인지 보자.

▲ 2012년, 다른 나라의 고객이 해킹팀에 보낸 대시보드 스크린샷. 감염된 PC와 휴대폰별로 작동시킬 수 있는 항목이 한 눈에 보인다.

타깃을 대시보드에 추가한다는 것은 기능별로 타깃을 살펴보겠다는 의미다. 사진 왼쪽에 감염된 기기들이 나오고 각각 제공되는 기능이 일목요연하게 표시된다. 휴대폰의 경우 일정,통화,채팅,메모리,이메일,마이크,위치 등에 대한 기능이 제공됨을 알 수 있다.

대시보드에 감염대상을 추가하고 나면 각종 작업을 수행할 수 있다. 다음은 작업 명령을 내리는 화면이다.

감시 중인 스마트폰의 스크린샷을 찍어 전송받을 수도 있고 마이크를 작동시켜 녹음을 할 수 도 있다.

RCS는 이렇게 필요한 타깃의 기기 특성과 운영체제, 사용프로그램에 맞춰 취약점을 공격하고 일단 스파이웨어를 설치한 뒤에는 타깃의 활동 하나 하나를 면밀히 모니터링하는 시스템이다. 목표물의 음성 통화나 채팅, 사진 등을 감시하다가 필요한 때 자료를 빼오는 시스템이다.

또 목표물을 해킹하기 위해서는 취약점 공격에 필요한 URL이나 감염파일이 필요한데, 국정원이 직접 만드는 게 아니라 해킹팀에 요청해서 받아야 한다. 뉴스타파가 분석한 결과 지난 2013년 5월부터 2년 동안 국정원이 해킹팀으로 받은 URL이나 감염파일은 모두 320여 개였다. 이것이 모두 성공했다 하더라도 목표물은 2년 동안 320여 개가 되지만 이 가운데는 한 번 실패했다 다시 요청받은 것도 있어 실제 목표물은 320개 보다 적을 것으로 보인다.

또 국정원은 주로 해킹을 위해 문자나 이메일로 스파이웨어가 심어져 있는 URL을 보내는 방식을 사용했는데 이 경우 URL은 한 개의 목표물만 감염시킬 수 있기 때문에 다수의 목표물에 문자나 이메일을 발송해 다수를 한꺼번에 감염시키는 것이 불가능하다.

이런 여러가지 이유로 동시 감시대상이 20개라 하더라도 사실상 무제한으로 감시할 수 있다는 것은 이론적으로는 가능하지만 RCS의 운영특성으로 볼 때 현실적으로는 설득력이 없어 보인다. 물론 이것은 해킹팀 RCS에 한정된 얘기고, 국정원이 다른 해킹 프로그램들을 운용해 더 많은 목표물을 감시하고 있는지 여부는 현재로선 확인된 바가 없다.

국회에서 여·야간 특수활동비 개선 여부를 두고 대립이 계속되고 있다. 이 대립이 얼마나 첨예한지 국회가 처리해야 할 업무들이 산재해 있고, 당장 며칠 뒤부터는 국정감사가 예정되어 있음에도 불구하고 현재 국회는 그 업무마저 정지되었을 정도다. 특수활동비는 지금처럼 정치영역에서 논쟁 되기 훨씬 이전부터 시민사회영역에서 지속적으로 투명성에 대한 요구가 이어져 왔다. 잘 알려졌다시피 특수활동비의 규모는 지속적으로 증가했으며 또한 최근에는 특수활동비와 관련된 고위공직자들의 부정사용 의혹과 비리가 연달아 발견되어 왔기 때문이다.

위 사진:(출처: 국민TV)

특수활동비가 뭐길래 

특수활동비 개선을 두고 여당인 새누리당은 특수활동비 공개와 개선에 반대하고 있다. 그 명분은 국가정보원, 경찰, 검찰, 감사원, 국회, 헌법재판소 등 정보기관과 수사기관, 헌법기관에 편성되는 특수활동비가 세세하게 공개되고 그로 인해 사용이 제한될 경우에는 국가안보가 취약해진다는 것이다. 또한 행정 및 의정 효율성을 위해 고위 공직자들이 드러나지 않게 행하는 고도의 정치 행위가 위축될 수 있다는 것이다.

반면 야당은 그간 공직자들의 특수활동비 유용 의혹으로 특수활동비 사용의 문제점이 드러난 만큼 전면 점검이 필요하다는 입장이다. 특히 공공기관 전체 약 8800억 원의 특수활동비 예산 중 절반이 넘는 약 4700억 원을 지출하고 있는 국가정보원의 특수활동비가 적절하게 쓰이는지 검증이 필요하다는 것이다.

단순하게 생각하면 특수활동비에 관한 입장 차이 같지만, 이 문제는 사실 그리 쉽게 판단할 수 있는 문제가 아니다. 그 이유는 이 논쟁이 안보와 행정 및 의정 효율성이 알 권리와 충돌하고 있는 문제이기 때문이다. 이 문제가 결국, 가치의 문제라고 할 때 이들 가치의 본질에 대한 이야기를 짧게나마 해보고자 한다. 논의가 혼탁할 때는 결국, 본질을 확인하는 것이 최소한 명확함을 보장할 수 있기 때문이다.

안보와 효율성 VS 알 권리?

우선 국가안보는 국가 안전보장(安全保障, national security)을 줄인 흔히 쓰이는 개념이다. 국가가 외부의 위협과 불안에 대해 안녕이 보장되고 대응이 준비된 상태를 말한다. 근대국민국가가 들어서고 국경이 존재한 이래, 모든 국가들에 외부의 위협은 항시적인 것이었다. 결국, 안보는 달성 가능한 완료상태나 객관적 도달지점이 아닌 항시적으로 지속되는 정부의 행위이며 주관적인 상태이다. 따라서 국가안보의 범위나 행위 또한 역사적으로, 시기적으로, 또 주변 환경에 따라 달라질 수밖에 없다. 냉전이 해체되면서 전 세계, 특히 북미와 서유럽에 위치한 선진국들의 안보 조건은 완전히 변했다. 하지만 한반도는 여전히 냉전이 진행 중으로 한국은 북한과 대치하고 있다. 이 두 국가 각각의 북쪽과 남쪽 국경은 휴전선이다. 또한 한국의 산업기밀을 외국(특히 중국)으로 빼돌리는 산업스파이들의 활동 또한 지속적인 안보문제로 대두된다. 이에 대한 정보를 수집하고 정부가 적절한 대응이 가능하도록 하는 정보기관인 국가정보원의 활동은 두말할 나위 없이 중요하며 이런 중요한 기능을 가능하게 하기 위해 증빙 없는 예산의 지출도 가능하다. 단, 조건은 이런 안보활동이 정치적 중립성을 확고한 원칙으로 두고 내국민을 대상으로 하지 않으며 국민들이 정보기관을 신뢰하는 한에서 그렇다.

다음으로 고도의 정치 행위라고 두루뭉술하게 표현되고 있는 행정 및 의정의 효율성(效率性, efficiency)이란 것은 경제적 개념이다. 최소한의 투입으로 최대의 산출과 효과를 얻는지에 대한 것이다. 이 말은 곧잘 생산성(生產性, productivity), 경제성(經濟性, economic efficiency)과 같은 말로 사용되기도 한다. 경찰과 검찰, 감사원 같은 치안과 수사의 기능을 수행하는 공직자의 경우 성공적으로 목적을 달성하기 위해 수사과정에 긴급하게 필요한 지출을 증빙하지 않도록 하는데, 이런 증빙이 필요할 경우 증빙 절차에 따른 행정력과 시간이 등이 소모된다는 것이다. 또한 관련 정보가 공개될 경우에는 결과에 부정적인 영향을 줄 수 있다는 것이다. 국회의원의 경우 특수활동비가 국회의장, 부의장, 교섭단체장, 각 상임위장을 맡는 의원들에게 지급된다. 이들에게 지급되는 특수활동비의 명목은 분명 의정활동의 효율성일 것이다. 국회 내의 치열하고 분분한 쟁점들을 원활하게 조율하고 협상을 진행하고 국회 외부의 자원으로부터 지원을 이끌어내는 등의 일을 정해진 회기와 멀게는 임기 내에 수행해야 하기 때문이다. 따라서 경찰부터 국회의원에 이르는 공직자들에게는 이런 효율성이 중요하다. 단, 조건은 이런 특수활동비가 공직자들의 당연한 특권으로 머물거나 개인적인 편의, 유흥, 또는 어떤 형태의 경제적 이득으로 유용되지 않는 한에서 그렇다.

반면 앞서 설명한 가치들과 대립하고 있는 알 권리(right to know)는 (정치적)표현의 자유와 상보 관계를 이루는 인권 개념이다. 알 권리가 표현의 자유와 상보 관계를 이루는 인권 개념인 까닭은 시민으로서 개인이 정부의 정보에 대한 접근이 금지된다면 자유로운 옹호와 반대, 비판, 대안제시 등의 의견개진과 함께 넓게는 이런 정치적인 결단에 따른 결사 또한 금지되는 것과 마찬가지이기 때문이다. 알 권리의 측면에서 바라보면 특수활동비는 국가구성원 각 개인에게 권력을 위임받은 정부와 국회가 안보와 효율성을 담보하기 위함이라는 합의에 의해 알 권리라는 보편적 인권을 제한하고 있는 것이다. 물론 이런 인권을 제한하는 것의 정당성이란 것은 앞서 이야기한 가치에 달라붙어 있는 조건들을 충족하는 것에 있다.

특수활동비, 알 권리를 요구하자

하지만 이런 안보와 효율성이 용인되는 조건으로서 정당성들은 일찍이 무너졌다는 걸 국민 모두 알고 있다. 국가정보원은 2012년 대선개입과 해킹 프로그램을 통한 내국인 사찰의혹을 어떤 방식으로든 해명하지 못해 신뢰가 바닥으로 떨어졌다. 지난 2011년 김준규 검찰총장은 검찰 간부들에게 나름의 보너스를 지급했고, 올해 홍준표 경남도지사, 신계륜 의원 등 공직자들의 특수활동비 유용 정황이 드러나면서 특수활동비가 공직자 개인에게 부여되는 당연한 특권 정도로 인식되고 있다는 걸 스스로 드러냈다. 상황이 이쯤 되면 최소한 특수활동비 제도 정비를 위해 일시적으로라도 특수활동비에 대한 우리의 알 권리를 다시 요구할 필요가 있지 않을까?

강성국 · 투명사회를 위한 정보공개센터 간사

*이 칼럼은 2015년 9월 2일자 주간인권신문 <인권오름>에 게재되었습니다.

지난해 7월 국정원 등 각국의 정보기관에 해킹프로그램, RCS를 대량 판매한 것으로 드러나 전세계를 떠들썩하게 만들었던 이탈리아 해킹팀이 최근 활동을 재개했음을 보여주는 악성프로그램이 발견됐다.

미국의 보안업체 센티넬원(Sentinelone)의 페드로 빌라사 연구원은 최근 입수한 악성프로그램 샘플을 분석한 결과 이탈리아 해킹팀이 사용하던 RCS, 즉 리모트 컨트롤 시스템과 같은 소스코드를 사용하고 있는 것으로 확인됐다고 자신의 블로그에 밝혔다.

▲ 악성프로그램 소스코드 분석화면. 이탈리아 해킹팀과 같은 소스코드를 사용했다.

또 이 악성프로그램에 심어진 암호화 코드의 작성 날짜가 2015년 10월 16일로 돼 있는 것으로 미루어 볼 때 해킹팀이 지난 7월 사태 이후 다시 활동을 시작했을 가능성이 크다고 지적했다.

이 악성프로그램은 감염된 컴퓨터에 다른 프로그램이 설치되도록 도와주는 것으로, 이번에 발견된 샘플은 애플의 운영체제를 사용하는 컴퓨터를 대상으로 하고 있으며 감염될 경우 해킹팀의 RCS가 설치되도록 유도하는 것으로 드러났다.

또 소스코드에서는 악성프로그램에 명령을 보내는 서버의 아이피주소도 발견됐는데 아이피 검색 결과 할당대역은 영국으로 돼 있지만 이미 차단돼 있는 것으로 나타났다.

빌라사 연구원은 이번에 발견된 악성프로그램은 해킹팀의 내부 소스코드가 유출됐을 때 확인했던 마지막 버전인 2015년 3월 버전과 같은 형식을 띄고 있지만 백신프로그램에 검출이 어렵도록 약간의 업그레이드가 이루어져 있다면서 ‘새로운 코드로 다시 돌아오겠다’고 선언했던 이탈리아 해킹팀이 그동안 큰 발전을 이루지는 못한 것 같다는 설명도 덧붙였다.

이와 관련해 보안업체 사이낵의 연구원 패트릭 워들은 이번 악성프로그램이 예전에 사용했던 형식을 사용하고는 있지만 소스코드의 분석을 어렵게 하기 위해 애플의 암호화 구조를 사용하는 등 몇가지 발전된 기술이 사용됐다는 분석도 내놓았다.

이번에 발견된 악성프로그램은 두 가지 형태로 지난 2월 4일 구글이 운영하는 바이러스 검색사이트인 ‘바이러스토탈’에 처음 올라왔으며 당시에는 어떤 백신프로그램에도 검출이 되지 않았으나 지금(3월1일 현재)은 55개 백신프로그램 가운데 안랩의 V3 등 19개가 이를 감지할 수 있는 것으로 나타났다.

▲ 바이러스토탈 화면. 19개 백신프로그램에 검출되는 것으로 나타난다.

이탈리아 해킹팀은 지난해 7월 400 기가바이트 분량의 내부자료와 소스코드가 해킹으로 유출된 후에도 변함없이 사업을 진행하겠다는 입장을 밝혔다.

이와 관련해 국정원 대변인은 “지난해 7월 해킹팀의 RCS를 국정원이 도입해 사용하고 있다는 사실이 밝혀져 논란이 일었을 당시에 국정원은 RCS의 사용을 중단하겠다”고 밝힌 입장에서 변화가 없다면서도 현재도 중단 상태인지 여부에 대해선 일일이 확인해주기 어렵다고 말했다.

‘국민보호와 공공안전을 위한 테러방지법’, 약칭 테러방지법이다. 과연 이름처럼 국민 보호와 공공 안전을 위한 법으로 기능할 수 있을까? 아니면 국민 감시와 정권 안위를 위한 악법으로 활용될까? 악마는 디테일에 숨어있다. 테러방지법의 문제가 되는 조항들을 하나씩 살펴보자.

1.테러방지법 2조 3항

“테러위험인물”은 테러단체의 조직원이거나…테러예비,음모,선전,선동을 하였거나 하였다고 의심할 상당한 이유가 있는 자를 말한다.

테러를 예비하고, 음모하고, 선전, 선동하거나 이를 의심할 상당한 이유가 있는 자는 테러 위험인물로 규정한다는 말이다. 의심할 상당한 이유가 있는지 없는지는 국정원을 중심으로 하는 정부 당국자가 결정하게 된다. 규정이 모호하다. ‘음모’, ‘의심’, ‘상당한 이유’라는 문구에는 행위의 구체성이 보이지 않는다. 야당과 시민사회는 이 조항을 두고 ‘죄형 법정주의’에 어긋날 뿐만 아니라 “정부 비판을 틀어막는 데 자의적으로 악용될 것”이라고 우려하고 있다.

2.테러방지법 9조 3항

국가정보원장은 테러위험인물에 대한 개인정보(개인정보보호법상의 민감정보를 포함한다)와 위치정보를…요구할 수 있다.

국정원의 광범위한 정보 수집 권한도 문제다. 그동안 국정원은 개인정보보호법에 따라 정당·기부 단체 가입 여부와 DNA와 같은 개인 정보는 수집하지 못했다. 모두 민감한 정보로 규정돼 보호됐기 때문이다. 그러나 국정원은 이 조항에 따라 개인의 민감한 정보(노조가입, 정당가입, 기부단체가입, 건강정보 등 병원진료기록등)까지 수집할 수 있게 됐고, 계좌 추적을 통한 금융 정보와 위치 정보 수집도 가능케 됐다. 테러위험인물로 지목되면 사실상 그 사람의 거의 모든 사생활이 국정원에 의해 수집될 수 있다는 말이다. 게다가 9조 4항에는 테러위험인물의 추적 및 조사 권한까지 명시돼 있다. 여기서 추적이란 개념은 테러위험인물에 대한 미행과 사찰도 포함된다는 뜻이다. 또 국정원은 이 법에 따라 위험인물과 접촉한 친구, 가족들까지도 조사 가능하다.

악마는 각론에?…대통령 뜻대로, 대통령령

더 큰 논란의 불씨는 테러방지법 곳곳에 숨어 있다. 테러방지법에는 ‘대통령령으로 정한다’는 문구가 열 차례나 언급된다. 대통령령으로 정할 수 있는 것은 ▲대테러센터의 조직·정원·운영 ▲인권보호관의 자격·임기·운영 ▲테러관계기관의 전담 조직 구성 등이다. 사실상 대테러 기관을 대통령 뜻대로 구성해, 움직일 수 있다는 뜻이 된다. 대통령령은 국회 동의 없이, 국무회의를 통과하면 효력을 가진다.

지금도 진행 중인 세월호 특별조사위원회도 대통령령에 의해 정원과 조직 구성 등이 이뤄졌다. 이 시행령에 따라 세월호 특조위에 정부 관료가 대거 파견됐고, 특조위 활동이 지지부진한 이유가 됐다. 세월호 참사 유가족들의 주된 요구도 특별법의 시행령을 폐지하라는 것이었다.

조영선 민주사회를 위한 변호사 모임(민변) 사무총장은 “세월호 특별법도 실질적인 내용에 있어서는 대통령 시행령이 특별법을 잡아먹는 결과가 돼버렸다”고 지적하면서 “테러방지법도 대통령령에 의해서 실질적인 권한들을 과장하거나 축소할 수 있다”고 말했다.

테러방지법의 국회 통과 이후에도 논란은 계속될 것으로 보인다. 민변은 3일 ‘태어나지 말았어야 할 괴물, 테러방지법에 고하다’는 제목의 성명을 발표했다. 민변은 성명에서 “정권에 대한 비판자를 테러 위험인물로 지목할 우려가 있다”며 “대규모 집회 및 온라인상에서의 정권 비판도 크게 위축될 가능성이 높다”며 헌법소원을 제기한다고 밝혔다.

취재 :강민수
촬영 :김수영
편집: 정지성

국가정보원이 전교조 탄압에 앞장서고 있는 보수단체들을 직간접적으로 지원해온 사실이 새롭게 드러났다. 최근 뉴스타파가 원세훈 전 국정원장의 대선 개입 사건을 수사한 검찰의 수사 자료를 입수해 살펴본 결과, 국정원이 전교조 퇴출을 내걸고 활동하고 있는 ‘반국가교육척결국민연합’의 책자 인쇄를 지원해준 정황이 확인됐다.

2013년 검찰이 국정원 심리전단 직원의 이메일을 압수수색한 수사 자료에는 국정원 직원이 반국가교육척결국민연합 이 모 공동대표에게 다음과 같은 내용의 이메일을 보낸 내용이 나온다.

이 직원은 인쇄는 가능하지만, 배포비를 부담하기는 어렵다고 덧붙인다.

전교조 퇴출을 목표로 2008년 보수단체 인사들이 모여 만든 반국가교육척결국민연합은 2011년 전교조와 진보 교육감을 비방하는 내용의 책자를 대량으로 유포했다. 국정원 직원과 이메일을 주고받은 이 단체의 공동대표 이 모 씨는 뉴스타파 취재진과 만나 국정원 직원에게 인쇄를 요청한 바 없다”고 해명했다.

이 대표는 “당시에 전교조 관련 책을 많이 만들었는데 독지가들이 주로 만들어줬다”며 “OOO(국정원 직원)이라는 사람이 그런 분인지는 모르겠는데 그 이름은 잘 모르겠다”고 말했다.

그런데 국정원 직원이 이메일을 주고받은 사람 중에는 또 다른 전교조 반대 단체 관계자가 있다. 국정원 직원이 전교조 반대 카페를 운영하는 김 모 씨에게 보낸 이메일에는 보수성향 학부모 단체 대표와 학생인권조례에 관한 1인 시위 등을 논의했다는 내용이 나온다. 그러면서 카페 운영자 김 모 씨에게 학부모 단체 대표를 도와 달라고 요청하기도 한다. 이는 국정원 직원이 반전교조 성향의 보수단체 대표와 구체적인 활동 내용까지 상의했다는 정황을 확인할 수 있는 대목이다. 취재진은 이 학부모 단체의 대표 김 모 씨의 입장을 듣기 위해 여러 차례 통화를 시도했지만, 연락이 닿지 않았다.

이 단체가 동화면세점 앞에서 1인 시위를 한다는 내용은 한 보수매체에 기사로 실리기도 했는데 국정원 직원은 이 매체의 기자와도 이메일을 주고받았다. 국정원 직원이 기자에게 참고하라는 내용과 함께 ‘북한에 대한 식량 지원은 과연 필요한가’란 제목의 문서를 첨부해 보낸 것이다. 이는 기사 작성과 관련해 국정원과 이 매체 사이에 협조가 이뤄지고 있음을 보여준다. 취재진은 이 매체의 주소로 찾아가 보고 여러 차례 통화도 시도했지만, 전화도 받지 않았고 간판이 없는 오피스텔 사무실은 굳게 닫혀 있었다.

국정원은 이 같은 국정원 직원의 이메일에 대한 뉴스타파의 질문에 “검찰 수사 자료와 관련해 압수수색을 당한 사람이 국정원 직원인지 여부를 확인해 줄 수 없으며, 보수단체에 인쇄비 등을 지원해준 바도 없다”고 밝혔다. 그러나 해당 직원의 이름은 원세훈 전 국정원장의 대선 개입 사건 관련 국정원 심리전단 직원 명단에서도 확인할 수 있었다.

이번에 확인된 검찰의 수사 자료는 국정원이 보수단체, 보수매체 등과 손잡고 전교조 무력화 등 국내 정치 문제에 깊숙이 개입했다는 정황을 보여준다. 실제 원세훈 전 원장은 2011년 2월 18일 부서장 회의에서 민주노총과 전교조를 “종북 좌파”라고 칭하면서 “민노당 가입 교사들에 대한 징계를 확실하게 할 수 있도록 협조하라”, “(국정원) 지부장들이 교육감이라든가, 좌파교육감 같으면 부교육감을 상대해서…전교조 자체가 불법적인 노조로 해서 우리가 정리를 좀 해야 한다” 등의 발언을 하기도 했다.

국정원이 그동안 대선 개입, 전교조 죽이기 같은 공작을 벌여온 상황에서 국정원의 권한을 대폭 강화하는 테러방지법까지 통과돼 무소불위의 권력을 쥐게 된 국정원에 대한 우려가 커지고 있다.

취재 : 조현미
촬영 : 최형석 김기철 김수영
편집 : 박서영