국가정보원의 도·감청 대상은 이병호 국정원장이 밝힌 ‘20명’을 크게 웃도는 것으로 추정된다. 국정원에 해킹 프로그램을 판매한 이탈리아 ‘해킹팀’의 e메일 자료를 분석한 결과 국정원은 올 상반기에만 최소 189건의 감청 시도를 한 것으로 드러났다.

■ 상반기 감청 시도 최소 189건

16일 국정원의 e메일 아이디 ‘데블앤젤(devilangel1004)’이 해킹팀에 보낸 e메일을 보면 국정원은 올해 1월5일 “특정 사이트를 데스티네이션(목적지) URL로 하는 ‘피싱 URL’ 6개를 만들어달라”고 해킹팀에 주문했다. 감시 대상자가 PC나 스마트폰으로 전송된 피싱 URL을 누르면, 목적지 URL로 넘어가는 동안 스파이웨어에 몰래 감염된다.

국정원은 올해 1월5일부터 6월29일까지 64회에 걸쳐 매번 적게는 2개에서 많게는 6개까지 실제 목표를 대상으로 한 189개의 피싱 URL을 요구했다. 국정원의 잠재적인 감청 시도가 189건에 이를 수 있다는 의미다.

경향신문이 파악하지 못한 URL이 더 있을 수 있으므로 감청 시도 건수는 이보다 더 많을 것으로 예상된다. 2012~2014년에 이뤄진 감청 시도까지 합치면 수천, 수만건 또는 그 이상일 수도 있다.

국정원은 평균 3~4일에 한 번꼴로 피싱 URL 제작을 의뢰했다. 대부분 안드로이드 운영체제를 감염 대상으로 삼았다. 지난달 17일엔 하루 동안 3회에 걸쳐 12개의 URL을 주문했으며, 지난 3월30일과 4월1·8일엔 국내 지자체 벚꽃축제와 떡볶이 맛집을 소개하는 블로그 게시물을 감염 경로로 하는 피싱 URL을 총 12개 주문했다.

앞서 지난 14일 이병호 국정원장은 국회에서 열린 정보위원회 전체회의에 참석해 국정원이 이탈리아 해킹팀으로부터 해킹 프로그램을 구입한 사실을 시인하면서 ‘대북·외국 정보 연구·개발용’이라고 해명했다. 또 2012년 1월과 7월 이탈리아 업체로부터 각각 10인용씩 총 20인분의 RCS 프로그램을 구입했다고 밝혔다. 이 원장의 이 같은 발언은 ‘20인분의 소량이어서 국민 다수를 대상으로 한 해킹은 불가능하다’는 의미로 풀이됐다.

■ 사람 바꿔가며 동시에 20명 감시

국정원의 ‘20인분’이라는 표현에는 진실을 감추기 위한 의도도 깔려 있다. 마치 20명만 감시할 수 있다는 의미로 읽히기 때문이다. 그러나 정보기술(IT) 보안 전문가들은 국정원이 밝힌 ‘20명’이 공격 대상의 수가 아니라 ‘실시간 동시 감청’이 가능한 대상의 수를 뜻한다고 설명했다. 즉, 많은 대상자 중에서 필요에 따라 사람을 바꿔가며 동시에 감시할 수 있는 대상이 20명이라는 의미인 것이다.

전문가들에 따르면 RCS 프로그램은 문자메시지, 메신저, e메일 등을 스마트폰이나 PC로 보내 해킹 공격 대상이 이를 클릭하면 해당 기기에 악성코드가 장착되고, 그 뒤부터 공격자가 기기를 원격으로 조종하는 방식으로 작동한다. RCS 프로그램을 이용한 해킹에서 중요한 것은 공격 대상의 수가 아니라 한 번에 얼마나 많은 대상을 동시에 감시할 수 있느냐다. 한 민간 전문가는 “국정원이 해킹팀에서 구입한 ‘라이선스’는 동시 접속으로 감청할 수 있는 권한을 뜻한다”며 “실시간으로 볼 수 있는 사람이 20명일 뿐 악성코드는 4000만명에게 깔 수도 있다”고 말했다. RCS 프로그램 구매 비용의 대부분이 이 ‘라이선스’를 얻는 데 들어간다.

<정원식·김상범 기자 bachwsik@kyunghyang.com>