지난 2013년 7월 ‘국정원 대선개입 의혹사건’ 국회 국정조사 기간에 한 대학교수의 이름으로 지역일간지에 실렸던 국정원 옹호 내용의 기고문이 사실은 국정원의 작품이었던 것으로 드러났다.

국정원 직원은 지난 2013년 7월 현직 대학 교수에게 국정원 대북심리전 활동의 정당성을 강조하는 내용의 기고문을 이메일로 전달했고 이 기고문은 이틀 후 강원도의 한 일간지에 오피니언 기고문 형태로 그대로 실렸다. 뉴스타파는 최근 원세훈 전 국정원장의 대선 개입 사건을 수사한 검찰의 수사 자료를 통해 이 같은 사실을 확인했다.

국정원 직원, 왜 기고문을 전달했나

검찰이 2013년 8월 압수수색한 국정원 심리전단 직원 A 씨의 이메일을 보면 A 씨는 같은 해 7월 23일 신원 미상의 B 씨에게 ‘안부 문의’라는 제목의 이메일을 보낸다. 이메일의 내용은 다음과 같다.

▲ 국정원 직원이 고려대 조영기 북한학과 교수에게 보낸 이메일 내용. 해당 주소는 강원도 지역일간지 편집국장의 주소다.

이메일에 나오는 주소는 당시 강원 지역의 한 일간지 편집국장 김 모 씨의 이메일 주소다. 김 씨는 현재 이 신문사의 이사를 맡고 있다. 이메일에는 역시 ‘안부문의’라는 제목의 한글 문서 파일이 첨부돼 있다. 국정원 직원의 이메일을 받은 B 씨는 고려대 북한학과 조영기 교수로 확인됐다. 조영기 교수는 현재 방송통신심의위원회 위원을 맡고 있다.

‘안부문의’라는 제목의 한글 파일에는 ‘국정원 댓글사건과 개혁의 본질’이라는 제목의 글이 담겨 있다. 이 글은 이렇게 시작된다.

국가정보원이 국정조사를 받고 있다. 지난해 12월 대통령선거 과정에서 소위 ‘국정원 댓글사건’으로 불거진 정치개입 의혹 때문에 국민적 관심을 끌고 있다. 왜냐하면 ‘댓글사건’과 연관된 각종 의혹을 규명하여야 한다는 실체적 측면뿐만 아니라 국정원이 국정감사를 받는다는 초유의 사실 때문이다.

이 글은 ‘국정원의 댓글활동’이 종북활동에 대한 대북심리전이라면서 정당성을 무시해선 안된다는 취지의 내용으로 당시 국정원이 내놓았던 공식입장과 판박이다.

해방공간으로 전락한 사이버공간을 방치하는 것은 종북활동을 방치하자는 것이며, 대북심리활동을 그만두라고 하는 것과 같다…국정원 댓글 활동은 보는 관점에 따라 전혀 다른 결과를 낳을 수도 있다. 그러나 우리는 ‘국정원 댓글활동’에 대한 정치공방이 가열되고 수사가 진행되면서 관심의 초점은 변질되는 것을 목도하였다. 즉 정쟁의 와중에 종북활동에 대한 대북심리전이라는 본래의 모습은 사라지면서 정치개입의혹으로 사건을 또 다른 모습으로 변모하고 있다는 점이다. 바로 정치개입의혹만 불거지고 대북심리전의 정당성은 무시되고 있다.

이 글은 특히 “18대 대선 때 ‘국정원 댓글’ 때문에 표심을 바꾼 유권자가 과연 몇 명이나 되는지 의문스럽다”며 “‘국정원 댓글’이 매스컴에서 이슈로 등장한 것도 아닌 상태에서 수백 개의 댓글로 정치조작이 가능하다고 주장하는 것은 스스로 억지라는 것을 증명하고 있다”고 주장하기도 했다.

▲ 국정원 직원이 조영기 고려대 북한학과 교수에게 보낸 이메일에 첨부된 문서.

국정원 직원이 조영기 교수에게 보낸 이 글은 2013년 7월 25일 자 강원도의 한 일간지에 조 교수의 이름으로 오피니언 기고면에 그대로 실렸다. 국정원 직원이 첨부한 문서의 내용과 토씨 하나 다르지 않았다.

▲ 2013년 7월 25일 강원도의 한 지역신문에 실린 기고.

조영기 교수는 현재 방송통신심의위원회 위원으로도 활동하고 있는데, 지난 2015년 1월 조 교수가 위원으로 내정됐을 당시 일부 언론에서 이 기고문을 문제삼아 편향성을 지적하기도 했다.

국정원이 처음부터 기고문을 작성해 조 교수에게 전달해 신문사에 기고하게 한 것인지 아니면 조 교수가 먼저 작성해 국정원 직원의 수정과 확인을 거쳤는지는 확인되지 않았다.

국정원 직원이 직접 작성한 것이라면 국정원 댓글 사건에 대한 국정조사가 열리던 민감한 시기에 국정원 직원이 대학교수의 이름을 빌려 마치 전문가의 목소리인양 국민을 상대로 여론 조작을 한 셈이다.

또 조영기 교수가 직접 작성한 기고문이라고 하더라도 언론 기고문을 사전에 국정원과 주고받았다는 것은 ‘국정원 댓글사건’과 관련한 여론 대응에 있어 교수와 국정원이 협조관계에 있었다는 증거가 되는 것이어서 이 역시 국정원이 지역 일간지의 기고문 하나까지 간섭하고 관여했다는 비난을 피하기 어렵게 된다.

이와 관련해 조 교수는 취재진과의 전화 통화에서 “기고문을 자신이 보낸 것은 맞다”고 인정하면서도 이메일을 주고받은 “A(국정원 직원)라는 사람은 잘 기억이 안 난다”며 “수업에 들어가야 하니 나중에 통화를 하자”고 말했다. 그러나 이후 수차례 전화 연락을 시도했으나 연락이 닿지 않았고 이메일 질의에도 답변이 없었다.

당시 기고문이 실렸던 지역일간지의 편집장이었던 김 씨는 “A라는 직원은 당시 강원 지역에서 언론을 담당하는 국정원 직원으로 알고 지냈다”고 말했다. A 씨가 기고를 실어 달라는 부탁을 한 적 있느냐는 질문에는 “그런 기억은 없다”며 “수년 전 일이기도 하고 일주일에도 여러 개의 기고가 왔기 때문에 기억이 나지 않는다”고 덧붙였다.

조 교수에게 국정원 옹호 기고문을 보냈던 국정원 직원은 지난 대선 당시 국정원 심리전단 소속으로 각종 포털사이트에서 댓글 작업을 담당한 것으로 검찰 수사결과 확인됐다. 이메일을 보낼 당시인 2013년 7월에는 심리전단이 사실상 해체된 상태에서 지역팀에서 근무한 것으로 추정된다.

국정원 측은 이에 대해 “확인해주기 어렵다”고만 밝혔다.

국정원의 해킹프로그램 실무자가 목숨을 끊었다.

국정원의 해킹프로그램 실무자로 알려진 45살 임 모씨가 자신의 차량 안에서 숨진 채 발견됐다. 경찰은 임 씨가 번개탄을 피워 스스로 목숨을 끊은 것으로 추정된다고 밝혔다.

임 씨가 남긴 유서 3장 가운데 공개된 유서는 국정원에게 보내는 1장이다.

국정원장과 차장, 국장에게 보내는 유서에서 임 씨는 “지나친 업무에 대한 욕심이 오늘의 사태를 일으켰다”면서 “내국인이나 선거에 대한 사찰은 전혀 없었다”고 적었다.

또 “국정원의 위상이 중요하다고 판단해 대테러, 대북 공작활동에 오해를 일으킨, 지원했던 자료를 삭제했다”고 밝혔다. 또 자신의 부족한 판단이 저지른 실수라면서 자신의 행위에 대해 우려할 부분이 전혀 없다고 적어놨다.

무엇을 왜 삭제한 것일까?

유서의 문맥을 보면 자료를 삭제한 자신의 행위에 대해 국정원 측에 해명하려는 의도가 있음을 알 수 있다. 국정원의 위상이 중요하다고 생각해, 오해를 일으킬만한 자료를 삭제했다는 것으로 풀이된다. 그러면서도 내국인이나 선거에 대한 사찰은 아니니 우려할 부분은 없다고 말하고 있다.

임 씨가 유서에 쓴 내용대로 대외적으로 ‘오해를 일으킨, 지원했던 자료’는 현재로선 밝혀진 것이 안 박사에 대한 해킹 시도 건밖에는 없다. 안 씨의 경우 미국 시민권자여서 외교문제가 될 수 도 있다.

그러나 “국정원 간부들은 임 씨의 책임은 전혀 없었다고 말했다”고 국회 정보위 새누리당 간사인 이철우 의원이 전했다. “해킹프로그램을 도입할 때부터 실무자였던 임씨가 4일 동안 잠도 안자고 일하면서 공황상태에서 착각을 한 것이 아닌가”라고 국정원에서는 판단하고 있다는 것이다.

전산담당 실무자로 해킹 목표물을 직접 선택할 위치엔 있지 않았던 것으로 알려진 임 씨가 상부의 지시없이 독자적으로 증거를 인멸했다는 것도 납득하기 힘든 상황이다.

국정원은 임 씨가 삭제한 자료도 디지털 포렌식을 통해 100% 복원할 수 있다고 밝혔다. 또 언제 삭제했는 지도 조사해 의혹을 풀겠다는 입장이다. 지금까지 보관하고 있는 모든 해킹관련 기록을 국회 정보위원들에게 공개하겠다는 입장에도 변함이 없다. 기록 공개는 빠르면 이달말 안에 이뤄질 예정이다.

-국정원 2차장 산하 국내파트 사용 의혹
-목표물(target) 20개 모니터링 화면 포착

국정원이 이탈리아의 ‘해킹팀’으로부터 구입한 인터넷 감시프로그램을 주로 통신 도·감청에 활용했음을 뒷받침하는 자료가 확인됐다. 또 국정원은 이미 2012년부터 이 프로그램을 실제 사용했으며 동시에 모니터할 수 있는 목표물을 최초 10개에서 20개로 늘려 운영한 것으로 나타났다.

이 같은 사실은 뉴스타파가 인터넷을 통해 공개된 ‘해킹팀’ 유출자료를 분석한 결과 드러났다. 국정원이 만약 이 스파이웨어를 통해 국내 스마트폰 사용자를 대상으로 통화 도·감청을 했다면 통신비밀보호법 위반 논란이 불가피할 것으로 보인다.

국정원의 협력업체 역할을 한 국내 보안업체 ‘나나테크’가 해킹팀과 주고받은 메일을 보면 국정원은 지난 2010년부터 감시프로그램 구입을 추진했다.

국정원, 음성 통화 감시 기능 요구

해킹팀에게 자신들의 고객이 한국의 정부기관임을 이미 밝혔던 나나테크는 2010년 9월 보낸 이메일에서 “고객이 해당 제품이 휴대전화 상에서의 음성 대화를 모니터링하는 기능이 있는지 알고 싶어한다”면서 고객이 그런 기능을 원한다고 전하고 있다.

또 2012년 5월 해킹팀이 나나테크에 보낸 메일에는 원격감시프로그램인 RCS를 업데이트하면서 목표물이 아무리 많더라도 모니터링 기능을 한국 전체로 확장할 수 있는 기능과 알려지지 않은 통화자의 목소리를 서로 구분할 수 있는 기능을 옵션으로 제공한다 설명하고 있다.

이 같은 메일을 받은 국정원은 한 달 뒤인 2012년 6월, 10개의 목표물을 추가로 관리할 수 있는 계약을 요청해서 이후 모두 20개의 목표물을 감시할 수 있는 시스템을 갖춘 것으로 보인다.

국정원의 RCS 작동 화면에 그대로 드러난 운영 현황

아래 사진은 2013년 7월 27일 운용하던 감시프로그램에 문제가 생기자 국정원 측 관리자가 해킹팀에 보낸 국정원 RCS 콘솔의 실제 캡쳐화면이다. 국정원 관리자는 문제가 생겼다며 어떻게 해야 고칠 수 있는지 질문하며 이 사진을 첨부해 보냈다.

▲ 국정원 RCS 관리자가 해킹팀에 보낸 모니터링 화면 캡처 사진

화면 중앙에 표시된 Agent 17/20 은 현재 20개 가운데 17개가 작동하고 있음을 의미하는 것으로 보인다. Agent는 해킹을 위해 목표물에 심어놓는 스파이웨어를 말한다.

▲ 국정원 RCS 관리자가 보낸 캡처 사진 확대.

아랫부분에는 데스크톱과 모바일로 나뉘어 작동하는 플랫폼이 표시돼 있다. 윈도우와 안드로이드, IOS 등 어떤 운영체제에도 침투할 수 있다는 것을 보여준다. 해킹팀으로부터 유출된 이 같은 자료들은 국정원의 감시프로그램이 한국 내에서 목표물의 데스크톱과 모바일을 실시간으로 감시, 분석하고 통화 등을 도·감청하는데 사용되고 있음을 입증한다.

현재 우리나라 통신비밀보호법 제5조에 따르면 통신제한조치(감청)는 “계획 또는 실행하고 있거나 실행하였다고 의심할 만한 충분한 이유가 있고 다른 방법으로는 그 범죄의 실행을 저지하거나 범인의 체포 또는 증거의 수집이 어려운 경우에 한해” 허가되며 기간도 최대한 2개월로 제한하고 있다.

이렇게 국가보안법 위반 사건이든 형법 위반 사건이든 통신 감청에는 엄격한 제한이 있기 때문에 국정원이 법원의 허가 없이 감시프로그램을 이용해 감청했다면 통신비밀보호법 위반에 해당한다.

감시프로그램 운용 부서는 2차장 산하 국내정치파트?

불법 감청의 의혹이 생기는 근거는 또 있다. 2014년 1월 14일 협력사인 나나테크는 “고객(국정원)의 내부 상황 때문에 의회가 예산을 삭감해 매우 제한된 예산만 사용할 수 있다. 이번에는 유지관리 계약만 하길 원한다”는 이메일을 해킹팀에 보냈다.

▲ 2014년 1월 14일 협력사가 해킹팀에 보낸 메일.

내부 상황이라는 것은 2013년 내내 뜨거운 이슈였던 국정원의 대선개입 댓글사건을 의미하는 것으로 보인다.

그런데 당시 2014년 국정원 전체 예산은 삭감된 것이 아니라 동결됐다. 삭감된 곳은 2차장 산하 국내파트 뿐이었고, 3차장 소관인 대북정보파트와 1차장 소관인 산업스파이 파트 예산은 오히려 늘어났다. 국내 정치 개입에 대한 우려 때문이었다. 감시프로그램을 구입하고 활용한 국정원 부서가 국내파트인 2차장 산하가 아닌지 의심 가는 대목이다.

이 밖에도 국정원이 휴대전화 감시에 해킹팀의 프로그램을 활용한 증거는 곳곳에 포착된다. 지난 2014년 1월 29일 이메일에는 국정원의 또 다른 부서에서 아이폰의 운영체제만 지원하는 RCS(원격조정시스템)을 원하고 있다고 전하면서 가격에 대해 문의하는 내용이 나온다.

또 해킹팀의 기술지원팀 직원들끼리 ‘SKA(South Korean Army-해킹팀 내부에서 국정원을 지칭한 용어)’가 까다로운 것을 요구하고 있다면서 취약점 발굴이 필요한 삼성 스마트폰의 모델에 대한 정보를 교환하고 있는 내용도 포착됐다.

▲ ‘해킹팀’ 기술지원팀 직원들 사이에서 오간 ‘국정원의 요구사항’ 관련 7월 2일 이메일 대화 내용.

아직 국정원이 누구의 PC와 스마트폰을 도·감청했는지는 구체적으로 확인되지 않고 있지만, 국정원이 해킹팀의 감시프로그램을 이용해 2012년부터 통화 도·감청 등을 활발하게 실시하고 있으며, 기종과 운영체제를 가리지 않았다는 사실이 여실히 드러나고 있다.

▲ 다른 나라의 한 고객이 해킹팀에 보낸 RCS 운영 화면. 해킹한 스마트폰의 데이터가 RCS 콘솔에 똑같이 동기화돼 나타나 있는 것을 볼 수 있다. 국정원도 같은 감시프로그램을 운영하고 있다.