천안함 침몰 사고의 의혹을 제기했다가 명예훼손 혐의로 기소됐던 신상철 전 민군합동조사단 민간위원(현 서프라이즈 대표)의 1심 형사재판이 5년 여 만에 마무리될 전망이다. 서울중앙지법 형사36부(재판장 이흥권 부장판사)는 신상철 대표에 대해 증인신문과 변론을 종결하고 오는 23일 결심공판을 열겠다고 밝혔다. 이르면 연말, 늦어도 내년 1월 중 신 대표의 천안함 1심 판결이 선고된다.

......

천안함이 북한 어뢰에 폭침당했다는 핵심 증거인 ‘1번어뢰’(어뢰 모터와 어뢰추진체)의 크기와 관련해 합조단 보고서의 내용이 사실과 다른 것으로 드러났다.

‘파나마 페이퍼스’통해 포스코의 유령회사 인수 사실 확인

뉴스타파는 모색 폰세카 유출자료 분석을 통해, 2011년 2월 포스코가 인수한 해외 기업 두 곳이 사실상 페이퍼컴퍼니라는 사실을 보도한 바 있다. 문제의 기업은 영국 법인인 ‘EPC 에쿼티스’와 ‘Santos cmi 컨스트럭션 트레이딩’. 모두 에콰도르 기업인 산토스 cmi의 관계회사다. 두 기업은 2009년 이후 지금까지 영국 국세청에 자산이나 현금 흐름이 전혀 없다고 신고하고 있다.

포스코건설은 이 두 기업을 포함한 산토스 cmi의 관계 회사 10여 개를 인수하면서, 남미 시장 진출 교두보 확보라는 명분을 내세웠다. “지주회사인 산토스 씨엠아이의 연간 매출액이 2000억 원에 달하며, 에콰도르 최대 엔지니어링 회사”라는 설명이었다.

포스코의 주장은 과연 사실일까.

뉴스타파는 산토스 cmi가 에콰도르 금융당국에 신고한 경영보고 자료를 입수, 포스코의 주장이 사실인지를 검증했다. 입수한 문서는 2009년부터 2014년까지 산토스 cmi가 신고한 경영성과 보고서. 문서에는 산토스 cmi 대표의 서명이 들어 있다.

신고서류에 따르면, 산토스 cmi는 2009년 3300여만 달러(약 360억 원), 2010년엔 4,040만 달러의 매출을 올렸다. 포스코가 주장한 매출액 1920억 원의 5분의 1 수준. 신고 서류 어디에도 산토스 cmi가 연간 2000억 원 가까운 매출을 올렸다는 기록은 찾아볼 수 없었다. 포스코가 인수 금액 결정에 가장 중요한 근거인 기업 실적을 5배 가량 뻥튀기했다는 의혹이 제기되는 대목이다. 게다가 포스코가 산토스 cmi를 인수한 2011년에 산토스 cmi는 수백만 달러의 적자를 기록한 것으로 확인됐다. 참여연대 부집행위원장인 김경율 회계사는 “문서 내용이 사실이라면, 이는 일종의 사기에 해당한다”고 말했다.

포스코, 에콰도르 기업 실적 5배 부풀려 고가에 인수?

문제는 여기서 그치지 않는다. 2011년 포스코 인수 당시 산토스 cmi는 부실 공사 문제로 에콰도르 내에서 큰 문제를 일으키고 있었다. 60만 달러에 수주한 한 정유공장 보수공사에서 대형 부실이 발생한 것. 에콰도르 언론들은 발주기업이 “해당 시설이 붕괴 직전에 있고 큰 재앙을 불러올 수 있다”고 항의하고 있다는 등의 기사를 쏟아내고 있었다. 포스코가 산토스 cmi 인수를 결정하기 불과 3개월 전에 일어난 일이었다. 그런데도 불구하고 포스코는 인수를 강행했다.

1000억 원 가까운 규모의 대형 인수 합병이었는데도, 불과 두 달만에 인수작업이 마무리됐다는 사실도 의문을 남긴다. 인수 당시 산토스 cmi측 법률대리인이었던 파나마 로펌 모색 폰세카에서 유출된 이메일 등에 따르면, 산토스 cmi는 2010년 12월 모색 폰세카에 지분 매각 업무를 처음 의뢰했다. 그리고 불과 두 달만인 2011년 1월 모든 인수 작업이 마무리됐다. 모색 폰세카 유출 이메일에는 “급한 요청, 관련 서류를 빨리 보내라” 같은 문구가 곳곳에 들어 있다. 실적도 좋지 않고 사회적으로 논란을 빚고 있던 기업의 인수를 포스코가 왜 서둘렀을까?

뉴스타파는 당시 포스코의 의심스런 인수 과정을 추적하던 중, 이명박 정부의 자원외교 활동에서 단서가 될만한 것들을 찾았다. 바로 이 전 대통령의 친형인 이상득 전 의원과 에콰도르 대통령과의 수상한 관계다.

이상득 전 의원은 특사 자격으로 전세계를 누비며 MB정부 자원외교를 진두지휘했다. 그는 특히 중남미 국가에 공을 들였다. 브라질, 페루, 볼리비아, 멕시코, 에콰도르, 콜롬비아 등을 여러 차례 방문했다. 그리고 그때마다 포스코는 이 전 의원의 들러리로 등장했다. 실패로 끝난 볼리비아 리튬 개발 사업은 대표적인 사례다.

산토스 cmi 인수 6개월 전인 2010년 6월, 이 전 의원은 에콰도르를 처음 방문했다. 그런데 다른 중남미 국가에서와는 달리, 그의 에콰도르 행에는 방문 목적이 하나 더 있었다. 2010년 3월 발생한 천안함 사건에 대한 우리 정부의 조사 결과를 에콰도르가 지지해 줄 것을 요청하는 것이었다. 다른 남미국가 방문때는 한번도 입밖에 꺼내지 않은 일이었다. 2011년 이 전 의원이 낸 자서전 ‘자원을 경영하라’에도 이런 내용이 고스란히 담겨 있다.

2010년 6월 14일, 페루를 떠나 에콰도르에 도착했다…방문 목적은 자원의 직접적인 확보보다 에너지 생산시설에의 우리 기업 참여와 천암함 사태에 대한 지지 성명을 끌어내는데 더욱 큰 비중일 두었다. 나에게 주어진 시간은 단 하루에 불과했으나 해야 할 일은 많았다.

‘자원을 경영하라’ 170쪽

당시 에콰도르는 중남미의 대표적 사회주의 국가로 북한과 가까웠고, 라파엘 꼬레아 에콰도르 대통령은 반미주의자였다. 이를 의식했는지, 이 전 의원은 자서전에서 “반미노선을 걷는 좌파 성향의 국가가 우리 정부의 입장을 지지한다면 국제사회의 동조를 끌어내는데 유리할 수 있는 상황이었다”고 적고 있다.

목표 달성을 위해 이 전 의원은 에콰도르 대통령을 집요하게 설득했다. 라파엘 대통령이 지지자와 정부 관료의 반대를 이유로 머뭇거리자, 이 전 의원은 대외경제협력기금(EDCF) 지원 카드까지 꺼내 들며 협조를 부탁했다. 그리고 결국 라파엘 대통령을 설득하는데 성공했다. 자서전에는 당시 상황이 이렇게 기술돼 있다.

EDCF 자금 지원을 설명하면서 다시 한번 지지를 요청하자 그(라파엘 에콰도르 대통령)는 한참을 생각한 뒤 물었다. 좋습니다. 그럼 제가 어떻게 하면 될까요? 이튿날 경제 4단체장 초청 조찬모임에 그가 참석했다…그 자리에서 천안함 사태에 대해 대한민국 정부의 입장을 지지한다고 밝혔다.

‘자원을 경영하라’ 181쪽

에콰도르 대통령 방한 직후 기업 인수 추진

라파엘 에콰도르 대통령의 방한(訪韓) 3개월 뒤, 포스코는 에콰도르 기업 산토스 cmi의 인수에 본격적으로 뛰어들었다. 2011년 2월 1일, 에콰도르 최대 일간지 ‘엘 꼬메르시오’는 포스코의 산토스 cmi 인수가 에콰도르 대통령의 한국 방문 성과라고 보도했다.

몇 달 전 에콰도르 대통령과 고위 인사 및 사업가들이 한국을 방문하였는데 그 결과가 바로 포스코의 투자이며 이는 국제 투자자들 간에 존재하는 에콰도르에 대한 신뢰를 보여주는 것이기도 하다.

에콰도르 일간지 ‘엘 꼬메르시오’ 2011년 2월 1일

포스코의 산토스 인수 합병이 포스코의 자체적인 판단에 따른 결과가 아니라, 정권 차원에서 기획된 사업이었음을 짐작케 하는 대목이다.

포스코의 산토스 인수 합병이 마무리된 뒤인 2011년 8월, 이 전 의원은 역시 특사 자격으로 에콰도르를 다시 방문해 라파엘 대통령을 만났다. 분위기는 이전 방문 때보다 좋았다. 라파엘 대통령이 특사 일행의 신청곡을 불러 큰 박수를 받는 등, 시종일관 화기애애한 만남이 이어졌다.

MB정부의 목적 달성, 포스코의 몰락

그러나 정치적 목적이 개입된 것으로 추정되는 포스코의 에콰도르 기업 인수는 이후 두고두고 골칫거리가 됐다. 연간 2000억 원의 매출을 올린다던 산토스 cmi는 인수 2~3년만에 500억 원 넘는 손실을 내며 포스코에 부담이 됐고, 관계회사인 영국법인 EPC 에쿼티스는 인수 3년 만에 두 번의 자산 감액을 거쳐 껍데기만 남았다.

이명박 정부 5년 동안 우량기업 포스코는 그야말로 만신창이가 됐다. 수조 원의 흑자를 내던 기업이 졸지에 적자에 허덕이는 신세로 전락했다. 무리한 기업 인수합병, 정치권 입맛에 휘둘린 경영이 부실의 원인이었다. 모색 폰세카에서 유출된 조세도피처 자료가 포스코 몰락 과정의 감춰진 진실을 들춰내는 계기가 될 지, 관심이 모아지고 있다.

취재 : 한상진
촬영 : 김남범, 김수영
편집 : 정지성
그래픽 : 정동우

국정원이 이탈리아 해킹팀에서 구입한 RCS(Remote Control System)로 천안함 의혹을 꾸준히 제기해 온 재미 과학자 안수명 박사에 대해 해킹을 시도했다는 증거가 나왔다. 실험용 혹은 북한 공작원 대상으로만 해킹 프로그램을 운용했다는 국정원의 해명이 거짓으로 드러나면서 파문이 불가피할 전망이다.

‘동창 명부’와 ‘천안함 문의’의 연결고리…“티켓 아이디”

2013년 10월 2일 국정원의 RCS 관리자가 해킹팀에 보낸 메일에는 목표물에게 보낼 파일을 즉각적인 취약점 공격(0-day exploit)이 가능한 형태로 바꿔달라는 요청이 담겼다. 첨부된 파일은 ‘서울대 공과대학 동창회 명부’라는 제목의 MS 워드 문서였다. 취재진이 문서를 열어보니 미국 남가주 지역에 거주하는 서울 공대 동문들의 명부였다. 291명의 신상 정보가 담겨 있었다. 이 파일의 공격 대상은 이들 중 한 명일 것이었다.

이틀 뒤인 10월 4일 국정원 관리자는 또 하나의 메일을 보냈다. 요청 사항은 똑같이 공격 파일로의 변환이었다. 제목이 ‘Cheonan-ham Inquiry’인 MS 워드 문서 파일이 첨부됐다. 직접 열어 봤더니 한 언론사 기자가 전문가에게 천안함 침몰 의혹에 대한 의견을 묻는 내용의 문서였다. 그런데 이 언론사에 다니지 않는 기자 이름이 써 있었다. 기자를 사칭한 미끼 파일이었던 것이다. 문서 내용을 볼 때 파일의 공격 대상은 천안함 침몰 의혹을 제기해온 전문가들 중 한 명일 가능성이 높았다.

그런데 뉴스타파는 이 두 이메일의 형식과 내용을 분석하던 중 중요한 사실을 발견했다. 양쪽에 표기돼 있는 티켓 아이디(Ticket ID)가 똑같았던 것이다.

메일에 표시된 티켓 아이디는 해킹팀과 국정원 사이의 업무 관리를 쉽게 하기 위해 각 업무 단위를 서로 구별할 수 있도록 부여한 하나의 ‘일감’ 또는 ‘과제’와 같은 개념이다. 그러니까 같은 날 이뤄진 작업들도 성격이 다르면 티켓 ID가 다를 수 있고, 기간 차이를 두고 이뤄진 작업들도 같은 성격으로 이어져 있다면 ID가 동일할 수 있다.

실제로 국정원이 지난 6월 17일에 해킹팀으로 보낸 두 통의 이메일을 비교하면, www.baidu.com 이라는 똑같은 URL에 똑같은 악성코드 2개씩을 심는 동일한 작업을 요청한 것으로 되어 있지만 양쪽의 티켓 아이디는 서로 다르다. 한 쪽은 목표 대상이 3개, 다른 쪽은 4개로 차이가 있기 때문이다.

반면 2013년 10월 2일 ‘서울대 공과대학 동창회 명부’와 10월 4일 ‘천안함 문의’ 메일을 비교하면, 양쪽 모두 MS 워드 파일을 공격용으로 변환하는 동일한 작업이면서 티켓 아이디도 똑같다. ‘천안함 문의’ 첨부파일에 대한 변환 작업은 10월 17일과 23일에도 똑같이 메일로 요청됐는데 이 2건 역시 티켓 아이디가 똑같다. 결국 이 4개의 이메일은 공격 대상까지 동일했기 때문에 동일한 티켓 아이디가 부여된 것으로 볼 수밖에 없다.

그렇다면 ‘서울 공대 동문회’와 ‘천안함 문의’ 사이의 고리가 완성되게 된다. 즉, 해킹 목표 대상은 서울공대를 나와 미국 남가주에 거주하며 천안함 관련 의혹을 제기했던 전문가라는 것이다. 여기에 해당하는 사람은 단 한 명, 재미 과학자 안수명 박사 뿐이다.

야당 “안 박사 해킹했나” 질문에 국정원 얼렁뚱땅 넘긴 까닭은?

국정원의 해킹팀 프로그램 구매 파문 이후 처음 열린 지난 14일 국회 정보위에서 야당 위원들은 안수명 박사에 대한 해킹 의혹을 국정원장 등에게 집중 질의했다. 그러나 국정원 측은 모호한 답변으로 피해갔다.

‘천안함 문서’ 파일을 누구에게 보냈 것이냐는 질문에 “중국에 있던 북한 잠수함 관련 인물이고 우리 국민은 아니다”라고 답하는가 하면, 공격 대상이 재미 과학자가 아니냐는 질문에는 “그렇진 않고, 미국 아이피를 추적하고 있는 게 있긴 하다”는 식이었다. 중국에 있는 사람인지 미국에 있는 사람인지 특정하지 않은 채 대충 얼버무린 채, ‘북한 잠수함 관련 인물이다’라고만 설명하고 넘어갔다.

▲ 국회 정보위원회 (7월 14)

뉴스타파 취재 결과 국정원이 이렇게 대응한 데에는 그럴 만한 이유가 있었다. 안수명 박사는 국정원이 문제의 해킹용 파일을 만들어달라고 요청하기 1달 쯤 전인 2013년 9월 1일부터 열흘 간 중국 베이징에 머물렀다. 지인의 소개로 한 북한 여성을 만나 북한 입국 비자를 만들어 달라고 부탁했다. 12살 위인 큰누나와 함께 고향인 함경북도 청진을 방문하기 위해서였다. 그러나 안 박사는 결국 비자를 받지 못하고 9월 10일 미국으로 돌아간다. 그런데 LA에 공항에 도착하자마자 미 해군의 조사를 받고 소지하고 있던 노트북과 책 등을 압수당한다. 당시 안 박사는 미군과 거래하는 방위사업체 안테크의 대표여서 미군의 비밀취급 인가를 갖고 있던 상태였는데, 중국에서 북한 여성과 접촉하고 북한 입국까지 시도했던 탓에 당국의 조사가 불가피했다. 이 문제로 안 박사는 대표직에서도 물러나게 됐다.

결국 국정원이 야당 의원들에게 ‘천안함 문의’ 첨부파일을 ‘중국에 있던 사람’에게 보냈다고 말한 것은 안 박사가 2013년 9월 베이징에 체류했던 사실과 연관된 것으로 보인다.

이처럼 국정원이 안 박사에 대해 해킹을 시도했음은 분명해 졌지만, 실제로 해킹이 성공했는지 여부는 불확실하다.

안 박사는 뉴스타파와의 통화에서 “미디어오늘 기자를 사칭한 이메일은 받은 기억이 나지 않고, 아마도 열어보지 않고 지운 것 같다”고 말했다. 또 서울공대 남가주 동창 명부에 대해서는 “매년 한두 차례씩 이메일로 오는 문서이고 실제로 출력해서 사용한 적도 있지만 그 시점이 2013년 10월 무렵이었는지에 대해선 기억하지 못한다”고 말했다.

방어 목적 실험용? 북한 공작원 상대로만 사용?

국정원은 지난 14일 국회 정보위에서 해킹팀의 프로그램을 대부분 방어 목적의 실험용으로 활용했으며 공격 대상은 북한 공작원으로 한정했다고 밝혔다. 그러나 불과 이틀 만에, 비록 미국 시민권자이긴 하지만 민간인에 대한 해킹 시도가 확인됐다. 문제는 이런 일이 더 벌어질 수 있다는 데에 있다.

뉴스타파가 이번 유출 자료들 가운데 국정원과 해킹팀이 주고받은 이메일 내용을 전수 조사한 결과, 스파이웨어를 심어달라는 요청이 담긴 이메일은 모두 86건이다. 매 건당 최소 1개에서 최대 12개까지 URL이나 첨부파일을 받았기 때문에, 실제 국정원이 확보한 감염 URL과 첨부파일은 모두 309개였다.

그런데, ‘실험용’이라고 밝힌 것은 불과 80개 뿐이었던 데 반해 실제 목표물 해킹에 사용하겠다고 한 것은 229개다. 국정원 해명과는 전혀 다른 결과다.

그렇다면 공격 대상은 누구였을까. URL의 대부분은 구글과 야후, 삼성, 안드로이드 등 누구라도 의심 없이 접근할 만한 성격이었다. 중국의 포탈과 택배서비스, 중동지역 정보 등 외국 사이트들은 국정원 설명대로 대북 방첩 활동을 위해 활용된 것으로 보인다.

그러나 떡볶이 맛집과 벚꽃놀이를 소개한 개인 블로그, 구글 한국어 입력기, 메르스 정보 페이지 등은 누가 봐도 내국인을 겨냥한 것으로 의심된다. 이런 URL과 첨부파일은 전체 309개 중 43개에 해당했다.