큰사진보기
ⓒ 오마이뉴스 고정미	관련사진보기

우리 나나테크는 국내기업들에게 통신장비들을 지원하는 회사다. 지금 우리 고객이 SKYPE(인터넷 전화) 솔루션을 찾고 있다. 당신들의 웹사이트를 검토해본 결과, 그 솔루션을 보유하고 있을 것으로 판단된다. 당신들이 그 솔루션을 보유하고 있는가? 가능한 빨리 답변을 듣게 되기를 희망한다.

2010년 8월 6일, 나나테크가 국정원을 대신해서 이탈리아 해킹팀에 보낸 최초의 이메일 내용이다(여기에서 말하는 '솔루션'은 해킹 프로그램을 의미한다. 현재 위키리크스에 공개되어 있는 이메일 가운데 'nanatech'로 검색되는 숫자는 총 967개이고, 이 중 맨 처음에 해당하는 내용).

이에 대한 해킹팀의 답장을 보면, 지금 대한민국을 뒤흔들고 있는 국정원의 해킹프로그램 RCS는 '공격용'이라는 점이 명확히 드러난다. 때문에 '방어용' 혹은 '연구용'이라는 국정원의 변명은 전혀 설득력이 없다. 국정원이 아무리 우긴다고 해도 'attack'이라는 단어를 '방어'로 해석할 수는 없는 일이다.

당시, 해킹팀은 RCS에 대해 이런 설명을 하고 있다.

리모트 컨트롤 시스템(Remote Control System)은 목표물인 PC나 스마트폰들을 은밀한 방법으로 '공격(attack)'하고 감염, 감시하도록 설계되어 있다.

이어서 지원하는 PC 운영체제들과 스마트폰 기종들 그리고 목표물이 RCS에 의해 감염이 되었을 때 수집할 수 있는 여러 가지 정보들을 나열한 뒤, "정책상의 이유들로 인해, 우리의 솔루션은 법 집행기관(경찰조직)에게만 판매하도록 되어있다는 사실을 당신에게 알릴 수밖에 없다"라는 말로 답변을 끝맺는다.

큰사진보기
▲  2010년 8월 6일, 이탈리아 해킹팀이 나나테크의 최초 문의에 대해 답변한 이메일
ⓒ 위키리크스	관련사진보기

11개월 동안 '고객'의 정체 숨겼던 나나테크

이후 주고받은 다른 이메일을 보면, 2010년 12월 7일 오전 10시 서울 그랜드 인터컨티넨탈호텔 3층 5호실에서 이탈리아에서 온 해킹팀 직원 3명과 나나테크 직원 2명 그리고 '고객'인 국정원 직원 5명이 접촉을 한 것으로 보인다. 여기에서 RCS 해킹 프로그램과 관련된 국정원 직원은 최소한 5명 이상이라는 점을 추측할 수 있다.

이 자리에서 해킹팀은 RCS를 작동 시켰고, 국정원측은 휴대전화 감시 기능에 대해 만족감을 표시하며 해킹이 가능한 범위를 묻고 가격 협상을 시작한다. 이미 계약 단계 이전까지 상황이 진행되었지만, 나나테크는 여전히 '고객'의 정체를 해킹팀에게 정확히 알리지 않는다. 호텔에서 만나기에 앞서서 해킹팀이 "우리는 RCS의 최종 사용자에 대한 정보가 필요하다"고 나나테크에게 요청을 했지만, 나나테크는 "한국의 육군 조사팀이니 걱정할 것 없다"고만 알렸던 것이다.

그러다 2011년 10월 28일, 나나테크 측과 국정원 직원들이 이탈리아를 직접 방문한다. 이때도 해킹팀과의 현지 미팅을 앞두고, 나나테크는 자신들과 동행할 고객들의 소속을 밝히지 않은 채 이름이 'Sunny Han'과 'Se-Hun Lee'라고만 해킹팀에게 알려준다(물론 이것 역시 실명인지 여부는 알 수 없다).

큰사진보기
▲  2011년 10월 28일, 나나테크가 해킹팀에게 보낸 이메일
ⓒ 위키리크스	관련사진보기

그렇게 고객의 정확한 실체를 알리지 않은 채, 나나테크는 계속해서 해킹팀과 미묘한 신경전을 벌인다. 이후 나나테크는 2011년 11월 7일이 되어서야, 고객의 이름이 '한국 5163부대'라고 해킹팀에게 알려준다. 2010년 12월 7일 서울 그랜드 인터컨티넨탈 호텔에서 접촉한 뒤, 11개월 만의 일이다. 나나테크가 '고객'의 정체를 이렇게 오랫동안 숨길 수밖에 없었던 이유는 과연 무엇일까?

스스로 '몸조심'한 국정원

참고로 국정원은 국회 정보위원회에 '통보'만으로도 감청 설비를 구매, 운영할 수 있는 유일한 수사 기관이다. 그런데 국정원은 나나테크라는, 직원 숫자가 채 10명도 안 되는 무명의 대행업체를 앞세워 해킹 프로그램을 몰래 구입했다.

이에 대해 지난 7월 14일, 강신명 경찰청장은 "국가 안위에 명백하게 위험이 되는 사안이라 하더라도 법에서 규정한 도·감청이 아닌, 해킹을 통한 내사와 수사는 불법"이라고 규정했다. 새누리당이나 국정원측의 '대북용, 혹은 내국인이 아니라 외국인을 대상으로 한 것이기 때문에 문제가 없다'는 식의 논리와는 정면으로 충돌하는 내용이다. 한마디로 말해서, 대상 스마트폰에 악성 코드를 몰래 심는 과정 자체가 불법이라는 얘기다. '해킹은 어떤 경우에도 불법'이라는 점을 이 시점에서 무엇보다 분명히 인식해야 한다.

따라서 내국인 사찰이냐 아니냐 하는 문제는, 사건의 본질상 다음 순서에 위치할 문제다. 지금은 해킹 자체의 불법성 여부를 놓고 추궁을 해야지, 내국인이냐 아니냐에 모든 판단 기준을 맞추고 있을 때가 아닌 것이다.

국정원이 해킹 프로그램의 구입과 운영과 관련해 스스로 몸조심한 사실은, 다른 사례들을 통해서도 충분히 확인이 된다.

2013년 12월 17일, 나나테크가 해킹팀에게 보낸 이메일에는 이런 내용이 나온다.

불행하게도, 내부적인 이슈들로 인해 예산 삭감이 이뤄지는 예상치 못한 문제가 발생했다. 고객(국정원)은 이 문제들이 내년 1월에 다시 해결될 것이라 예상하고 있다. 그렇기 때문에, 고객은 당신들에게 장비구입과 유지계약에 대해 특별한 답변을 줄 수가 없다. 최악의 경우, 고객은 장비 구매와 유지계약을 위한 이번 프로젝트를 중단해야 될지도 모른다.

이때는 국정원의 간첩 조작사건으로 세상이 한참 시끄러울 때였다. 이로 인해 자체적으로도 무척이나 신경이 쓰였던지, 국정원은 스스로 새로운 해킹 프로그램에 대한 예산을 삭감했다.

또 2014년 3월 27일, '해킹팀' 직원들이 자체적으로 보낸 '출장 보고서'(Trip Report)란 제목의 이메일에는, 해킹 프로그램 운영에 대한 국정원 내부의 고민과 걱정에 관한 얘기가 나온다.

'SKA(South Korea Army)'는 최근 자국 언론이 자신들의 사찰 문제를 집중 조명해 자신들이 RCS를 '시민 감시에 사용'했을 가능성이 노출되는 것을 우려했다. (이에 대해) 해킹팀은 자신들이 만든 이 해킹 도구가 흔적을 남기지 않는 안전한 제품이라고 설명했고, '육군 5163 부대'가 이를 이해한 뒤 고마워했다.

이때는 2014년 3월 19일, <오마이뉴스>가 캐나다 토론토 대학 사이버 연구팀 '시티즌랩(Citizen Lab)'이 '이탈리아 해킹팀이 한국을 포함한 세계 21개국에 스파이웨어를 판매한 흔적을 찾았다'는 기사를 내보낸 직후의 일이다(관련기사 : "언론인-운동가 해킹 프로그램, 한국 정부도 사용한 정황 있다").

국정원은 이렇게 해킹 프로그램의 구입과 운영에 대해 극도로 신경을 쓰며 언론에 알려지는 것을 두려워했다. 이는 국정원 스스로도 그것이 불법적인 행위라는 점을 충분히 자각하고 있었다는 반증이다. 떳떳하다면 그토록 숨기고 두려워할 이유가 전혀 없지 않은가?

나나테크 "'고객의 만족' 위해 비용 지불했다"

위키리크스에 공개된 이메일들을 살펴보면, 2013년 12월 초부터 2014년 2월까지 이탈리아 해킹팀과 나나테크가 서로 여러 차례 이메일을 주고받으며 꽤 심각하게 날선 공방을 벌인 내용들이 나온다. 핵심은 TNI(Tactical Network Injector)와 EP(Exploit Portal)라는 새로운 해킹 서비스·장비를 국정원에게 판매하기 위해 협의를 하는 와중에, 나나테크가 가져갈 몫을 얼마로 정할 것인가였다.

그런데 이 과정에서 나나테크가 국정원 측에 접대나 향응을 제공한 것으로 추측할 만한 정황이 노출됐다. 그 내용들을  정리해본다.

2013년 12월 6일 08시 20분 나나테크 : 예산부족 때문에 고객이 EP와 TNI를 구매할 수 없다.

2013년 12월 9일 19시 01분 이탈리아 해킹팀 : (고객의) 예산부족 문제는 주로 대부분 당신들의 커미션이 너무 많다는 점에서 비롯된다. 예를 들자면 심지어 당신들은 작년에 2만 유로를 가져갔고 우리는 3만 9천 유로를 가져갔다. 보통 우리가 우리의 에이전트들에게 15%에서 20% 정도를 지불한다는 점과, 예외적으로 우리가 나나테크에 대해서는 특별히 33%에 합의했었다는 점에 주목하기 바란다.

만약 고객이 TNI와 EP를 6만 유로에(전적으로 우리 해킹팀 몫에 해당하는) 구입하지 않는다면, 우리는 2014년 유지비에 대한 커미션 비율을 재검토해야 할 것이다. 당신들의 마진이 너무 높아서 사업기회를 잃는 것을 우리는 감수할 수 없다.

2013년 12월 10일 15시 35분 나나테크 : (중략) 어쨌거나 우리는 해킹팀의 강점들에 대해 강조를 하며 다른 경쟁회사들을 방문하지 않고 오직 해킹팀에만 초점을 맞추기를 끊임없이 설득했다. 고객이 당신들 회사를 선택하도록 하는 데 그것은 매우 중요한 요소들이었다. 그랬기 때문에 우리는 당신들과 계약하는 데 성공했다.

우리는 또한 모든 고객 관리비용과, 2009년부터 fligt('flight' 항공편- 즉 비행키 티켓 값 - 의 오타인 듯)을 포함한 유의미한 고객관리 활동들을 제공해왔다.

2014년 2월 4일 14시 나나테크 : 나나테크는 계약을 체결하기 위해서 다음과 같은 많은 비용들을 지불한다.
- 부가가치세 : 나나테크의 몫에서 10%를 지불.
- 계약이행보증금 : 전체 금액의 10%가 예치되고 세금이 추가됨.
- 수입인지 구매
- 고객 관리를 위한 다양한 비용들(여행, 음식 그리고 또 다른 다양한 비용들)
- 계약서류 준비를 위한 비용들(여러 가지 세금들)

또한 우리 나나테크는 '고객의 만족'을 위해 마케팅 비용들을 지불해왔다. 그것은 나나테크가 항상 지불해왔던 또 다른 종류의 비즈니스 비용이다. 그렇기 때문에 우리는 향후 계약들에 있어서 우리의 몫을 최대한 합리적으로 유지할 필요가 있다.

그러므로 계약에 추가해서 우리가 붙이는 몫은 우리 나나테크의 노력과 고객과 나나테크 사이의 오랜 기간에 걸친 친분관계에서 비롯된다는 점을 고려하기 바란다. 우리는 나나테크의 몫과 해킹팀이 제시하는 가격에 대해 우리가 전에 얘기했던 바대로 분명하게 정리하길 희망한다.

큰사진보기
▲  2014년 2월 4일 나나테크가 보낸 이메일. 국정원측에 대한 접대·향응 제공의 의혹을 제기할만한 내용들이 담겨있다
ⓒ 위키리크스	관련사진보기

정리하면 이렇다. 나나테크는 보통 이탈리아 해킹팀의 다른 에이전트들이 계약금액의 15~20%의 몫을 가져가는데 비해 33%나 되는 많은 금액을 챙겼다. 자연히 국정원은 상대적으로 비싸게 구매를 할 수밖에 없었다. 그리고 나나테크가 챙긴 몫에서 국정원은 비행기 티켓 값이나 식사, 그리고 기타 다양한 비용들을 '고객 만족'이라는 명목으로 제공받았다. 국민의 혈세가 엉뚱하게 쓰이고 있었던 것이다.

나나테크와 국정원에 대한 철저한 수사 필요

이탈리아 해킹팀과 주고받은 이메일을 살펴보면, 국정원 해킹 문제에 연루된 나나테크측 사람은 대략 4명 정도다. 그리고 국정원 측은 최소 5~7명이 연관되어 있다. 새정치민주연합이 이미 이 사건을 검찰에 고발한 상황이니, 검찰은 당장 이들에 대한 출국금지 조치를 취하고 나나테크 측의 모든 서류와 회계장부 등을 압수수색하고 계좌추적을 실시해야 할 것이다.

그동안의 과정을 보면, 해킹 프로그램의 구입과 운영은 국정원의 '조직적인 결정'에 의해 이루어졌다. 국정원이 공식 예산을 통해 계약을 진행한 것이 그 증거다. 나나테크는 국정원 직원들의 항공편이나 식사 등을 비롯한 여러 가지 고객만족을 위한 비용들을 자신들이 부담했다고 밝혔다. 이 역시 어느 특정인의 개인적인 일탈이기보다는 국정원의 관행에 의한 것일 가능성이 높다.

임씨의 자살 사건이 발생하기까지, 야당뿐만 아니라 국민들도 문제의 해킹프로그램을 담당한 사람이 누구인지 몰랐다. 심지어 지금까지도 그저 '임아무개씨'일 뿐, 그 정확한 이름도 모른다. 그런데 엉뚱하게도 새누리당과 국정원은 언론과 야당이 과도하게 압박을 했기 때문이라고 그 책임을 돌렸다. 누구인지도 모르는데 어떻게 압박을 가한단 말인가?

때문에 임씨가 스스로 죽음을 선택한 이유에 대해서도 수사과정에서 반드시 밝혀져야만 한다. 이미 언론을 통해 알려졌듯이, 국정원은 임씨에 대해 강도 높은 감찰활동을 벌이면서 부인과 딸 등 가족까지 조사를 한 것으로 밝혀졌다. 혹시나 불법행위의 모든 책임을 임씨에게만 떠넘기기 위해, 국정원 수뇌부가 일부러 이런 압박을 가한 것이 아닌지 의심스럽다.

임씨가 큰 딸에게 "마음에 큰 상처를 주어 미안하다"는 글을 유서로 남긴 것도, 이런 점과 무관하지 않은 것으로 보인다. 육사 생도로서 향후 공직에 복무하게 될 큰 딸이, 해킹 프로그램 논란과 관련해서 혹시나 피해를 입지 않을까 우려한 것이다. 그 애틋한 '부정(父情)'이, 참으로 안타깝게만 다가온다.

만약 국정원의 최종적인 결론이 '개인적인 일탈행위'로만 규정짓고 임씨의 명예를 짓밟는다면, 이는 참으로 비겁한 일이다. 유서에서 임씨가 호소했듯이, 앞으로 다시는 같은 일이 반복되어서는 안 된다. 국정원 수뇌부의 잘못된 판단으로 인해, 더 이상 국정원 직원들이 불법행위를 저지르거나 사지로 내몰리는 일은 앞으로 없어져야 한다.

○ 편집ㅣ홍현진 기자