⊙ 전 직원, “정보기관의 내국인 감시는 필수”
⊙ “해킹 프로그램을 북한에 판 적은 없어”
⊙ 유출된 100만 건의 이메일 중 북한 관련 이메일 700여 개
⊙ 해킹팀 사장, “북핵은 서방국 대부분을 사정권에 두고 있어, 예의주시해야”
⊙ 해킹팀 자체의 보안은 허술… 내부 규정에 ‘안티바이러스 프로그램 깔라’ 지침도 없어
⊙ “해킹 프로그램을 북한에 판 적은 없어”
⊙ 유출된 100만 건의 이메일 중 북한 관련 이메일 700여 개
⊙ 해킹팀 사장, “북핵은 서방국 대부분을 사정권에 두고 있어, 예의주시해야”
⊙ 해킹팀 자체의 보안은 허술… 내부 규정에 ‘안티바이러스 프로그램 깔라’ 지침도 없어
- 해킹팀 홈페이지 동영상 캡처.
이탈리아 사이버보안업체, 해킹팀(HT)의 내부 이메일 100만 건이 위키리크스(WikiLeaks)를 통해 전 세계적으로 공개되었다. 이 여파로 국내에서는 민간인 사찰 의혹이 야당을 중심으로 제기됐다. 야당은 국가정보원(NIS)이 해킹팀으로부터 산 해킹 프로그램의 사용처 등을 명백히 밝혀야 한다고 공세를 벌이고 있다.
이 이메일은 왜, 어떤 경로를 통해 유출됐을까. 이메일 유출이 대한민국 안보에 미친 영향은 무엇일까. 해킹팀의 거래 대상에 북한은 없을까. 기자는 이러한 궁금증을 풀기 위해 이메일 유출의 발단이 된 이탈리아 해킹팀부터 취재해 보기로 했다.
이 기사의 전반부는 해킹팀의 현직 직원과 전직 직원의 인터뷰로 구성했고, 후반부에는 유출된 이메일 중 북한과 관련 있는 부분을 모았다. 해킹팀의 현 직원은 실명을 밝혔지만, 전 직원은 익명을 요청해 와 ‘델타’라는 가명을 썼음을 밝힌다.
원천적 부인 나선 해킹팀 현 직원
해킹팀이란 회사의 웹사이트는 이메일 유출 사건의 여파에도 불구하고 특이한 점이 없었다. 다만 해킹팀의 최신뉴스(Latest News)창을 클릭하면 자신들의 입장을 담은 성명서가 떴다. 내용은 “해킹팀이 여러 국가에 제공한 해킹 프로그램은 합법적인 절차에 의해 이루어진 것”이라고 되어 있다. 또 “이러한 정보를 유출한 자는 분명 범죄”라고 주장하고 있다.
이러한 해킹팀의 성명서를 확인하고 기자는 곧장 서면으로 연락을 취했다. 에릭 라베(Eric Rabe)라는 현직 해킹팀 직원이 답변을 했다.
그는 이번에 유출된 이메일의 파장 때문인지 자신의 직책이 무엇인지 밝히기를 꺼려 했다. 이름만 밝혔다. 기자는 그가 실제 현직 직원인지 확인하고자 유출된 100만 건의 이메일에서 그의 이름을 찾아보았다. 그의 이름은 약 7000여 개에서 검색되었다. 검색된 이메일의 내용을 보면 그는 해킹팀에서 행정 및 대외업무를 도맡아 하는 사람으로 보인다. 안타깝게도 이메일에서도 그의 직책은 없었다. 다음은 그와의 문답이다.
―현재 이메일의 대량 유출은 국제 해커조직 어나니머스(Anonymous)에 의한 것으로 알려져 있는데 맞습니까.
“현재 누가 유출했는지에 대해 경찰과 함께 조사 중입니다. 우리 해킹팀은 이 조사에 적극 협조하고 있습니다.”
―해킹팀이 판매 중인 해킹 프로그램을 북한도 구매한 적이 있나요.
“없습니다.”
―현재 해킹팀의 정보 보안은 어떤가요. 향후 비슷한 경우가 발생할 것을 대비한 계획이 있나요.
“이번 사이버공격이 있고 나서 우리는 우리의 보안 수준을 대폭 보강했습니다. 이런 사이버공격을 받는 것이 우리 해킹팀뿐이던가요. 이미 JP모건, 소니(픽처스), 미국 정부 등도 이런 유사한 사이버공격을 받은 바 있습니다.”
―유출 자료 중 눈여겨볼 자료가 있습니까.
“우리는 이번에 유출된 이메일들이 우리 것이라 한 적 없습니다.”
―더 말하고 싶은 내용이 있습니까.
“우리는 우리와 함께 일하는 파트너, 고객, 혹은 잠재고객 등과 관련한 그 어떠한 내용에 대해서도 답할 수 없습니다. 앞으로도 이런 질문에 대해서는 일절 답하지 않을 것입니다. 현재로서는 이것이 우리가 말할 수 있는 전부입니다.”
해킹팀의 답변을 종합해 보면 해킹팀은 이번 사건의 이메일 유출 경위, 유출된 문건 모두 해킹팀과는 무관하다는 식으로 답변하고 있다. 그러면서도 이와 같은 사이버공격에 대비해 사내 보안을 대폭 강화했다고 강조했다. 유출 문건이 자기들 것인지 확인해 줄 수 없다면서도 추가 공격에 대비한다는 것은 앞뒤가 맞지 않는 말이다.
에릭 라베 해킹팀 직원은 민감한 질문을 모두 피해갔다. 이에 기자는 해킹팀에 이번 사건과 관계없이 사이버보안 전문기업으로서 북한 사이버군(軍)의 능력을 평가해 달라고 다시 서면 질문서를 보냈다. 과연 보안 전문가들이 바라본 북한 사이버군의 능력은 어느 정도일까.
이번에도 에릭 라베 현직 해킹팀 직원은 협조적이지 않았다. 그는 “북한과는 그 어떠한 거래도 한 적이 없다. 이런 상황에서 우리가 북한에 대해 어떤 말을 하는 순간 그 자체만으로도 파장을 만들 수 있다. 그리고 설령 답변을 한다고 해도 그 답변은 오직 추측에 의한 답변일 뿐이다”라고 답했다.
해킹팀은 이번 이메일 유출 사건에 민감한 반응을 보였다. 자신들의 치부를 더 이상 드러내고 싶지 않은 듯 보였다.
해킹팀 내부 상황 전한 전직 직원
해킹팀 내부 상황을 잘 알면서도 모든 질문에 답을 해줄 만한 사람이 있을까. 기자는 여러 해외 취재원을 통해 수소문한 끝에 해킹팀에서 근무한 적이 있는 사람과 어렵게 접촉할 수 있었다. 그는 익명을 요청해 왔다. 편의상 전직 해킹팀 직원을 ‘델타’라고 지칭했다. 기자는 델타가 전직 직원임을 여러 채널을 통해 확인했다. 그의 이름도 유출된 100만 건의 이메일에 분명히 있었다.
델타는 “해킹팀은 전·현직 직원들을 상대로 강도 높은 조사를 진행 중”이라고 했다. 전·현직 직원 모두를 이메일 유출 사건의 용의선상에 올려두고 있다는 것이다. 이 때문에 그는 “자신도 아직 안전하다고 할 수 없다”며 자신의 불안전한 상태를 기자에게 밝혔다.
취재 과정에서 델타와의 접촉은 마치 첩보 영화를 방불케 했다. 사이버보안 전문가이자 현재 해킹팀의 이메일 유출 용의선상에 올라 있는 그는 기자에게 까다로운 보안조건을 요구해 왔다. 취재 과정에서 기자는 델타가 요구하는 보안조건을 충족하지 않고서는 그 어떠한 답변도 얻을 수 없었다. 이 과정은 델타의 신변보호 때문에 자세히 밝힐 수는 없으나 분명 일반적인 접촉방법과는 달랐다. 다음은 델타와의 문답이다.
“사내 규정에 컴퓨터 안티바이러스 깔라는 지침 없어”
―이번 해킹팀의 이메일 100만 건 유출은 국제 해커조직 어나니머스의 소행이라고 하는데 맞습니까.
“현재 누구인지는 조사가 진행 중입니다. 확실한 것은 전·현직 직원 모두가 용의선상에 올라 있다는 점입니다. 나도 예외일 수 없습니다. 이 업계가 좁다 보니 과거 해킹팀에서 일했던 사람들이 더욱 의심을 사고 있습니다.
왜냐하면 해킹팀에서 배운 기술을 토대로 새로운 회사를 차리거나 다른 회사로 이직할 경우, 해킹팀의 기술을 빼돌릴 가능성이 높다고 보기 때문입니다.
해킹팀은 현재 자신들이 개발한 해킹 프로그램 RCS(Remote Control System·원격통제시스템) 등을 전직 해킹팀 직원들이 해독할 수 있다고 의심하고 있습니다. 해독을 위한 자료 등을 이번 이메일 유출 사건처럼 가지고 나갔을 것으로 의심하고 있다는 것이죠. 그런데 사실 전직 직원들이 RCS 기술을 빼돌렸다고 해서 얻을 이득은 아무것도 없습니다.”
―기자가 해킹팀의 에릭 라베 씨에게 문의해 본 결과, 해킹팀이 과거 북한과 거래한 적은 없다고 하던데 정말인가요.
“내가 아는 바로는 맞는 말입니다. 해킹팀이 북한과 거래를 한 적은 없습니다.”
이 부분에서 기자는 앞서 인터뷰한 에릭 라베가 실제 현직 해킹팀의 직원임을 재차 확인할 수 있었다.
―해킹팀의 보안 수준은 어떻습니까.
“해킹팀의 관리자 계정은 비밀번호 등을 포함한 많은 부분이 취약합니다. 아마도 이런 관리자 계정의 취약성이 이번 이메일 유출의 원인이라고 봅니다.
그리고 내가 해킹팀에서 근무하는 동안 회사 규정(Company policy) 어디에도 컴퓨터에 보안 프로그램을 깔아야 한다는 지침은 없었습니다.”
이 부분에서 델타는 기자에게 해킹팀의 관리자 계정에 사용한 비밀번호를 보내주었다. 이 자료를 보면 해킹팀이 자주 사용한 관리자의 비밀번호는 ‘P4ssword’였다. 한마디로 비밀번호를 뜻하는 ‘Password’의 철자 하나를 모양이 유사한 숫자로 바꾼 것이 전부라는 말이다. 해킹팀의 비밀번호에는 특수문자를 사용하지도 않아 비전문가가 보기에도 허술하고 유추가 가능하다는 점을 확인할 수 있다.
北 사이버군, 익명성 무기로 사이버공격 감행
―해킹팀을 떠난 특별한 이유라도 있나요.
“당시 내 판단은 해킹팀이 맡고 있는 시장이 너무 작다고 생각했습니다. 도리어 일반적인 기업 등을 상대로 일을 하거나, 일반 기업에서 일하는 것이 더 나은 것처럼 보였습니다. 이 때문에 전망이 없다고 생각해서 그만두게 되었죠.”
―당신은 보안 전문가로서 북한의 사이버군에 대해서는 어떻게 평가합니까. 북한은 과거 소니픽처스(Sony Pictures)와 한국 기업에 디도스(DDOS·분산 서비스 거부) 공격을 한 바 있습니다만.
“북한은 이미 상당한 자금을 사이버 분야에 투자해 두었습니다. 왜냐하면 사이버상의 전투는 치명적인 피해를 (상대에) 안기면서도 자신들에게는 직접적인 피해를 안기지 않기 때문입니다. 북한의 입장에서 누구도 피를 흘리는 사상자가 발생하지 않습니다.
그리고 북한은 자신들의 소행임을 숨길 수도 있습니다. 익명성을 담보로 얼마든지 공격이 가능한 것이죠. 이 때문에 강대국이라면 사이버군 양성을 소홀히 할 수 없는 것입니다.
사기업의 입장에서도 이제는 이런 사이버공격에 대비를 해야만 합니다. 이런 공격은 실제로 기업에 큰 피해를 안길 수 있습니다. 모든 사기업은 이런 공격으로부터 스스로 막아낼 수 있는 능력을 배양해야만 합니다. 사이버보안 분야 업체들이 우후죽순처럼 생기는 이유이기도 합니다.”
한국은 지난 2010년 사이버사령부를 창설했으며 병력은 약 400명 정도의 규모다. 국방부의 조사에 따르면 북한의 사이버군 병력은 최소 3000명 정도다.
《조선일보》 7월 22일자 〈北, ‘伊 해킹팀’ 기술로 사이버공격〉 기사에 따르면 북한은 유출된 해킹팀의 이메일에서 원천코드를 뽑아내 한 단계 더 진화한 해킹 기술을 습득했다. 이미 이 기술을 토대로 국내 탈북자 단체 사이트 5군데 정도를 공격한 바 있다. 이렇듯 북한의 사이버군은 계속 진화하고 있는 반면, 한국의 대비책은 미비한 실정이다. 유용원 《조선일보》 군사전문기자는 칼럼에서 “우리 군은 사이버전 교전규칙도 없다”고 지적했다.
“위키리크스 공격은 得보다 失이 많아”
―해킹팀의 유출 이메일에는 수많은 국가 정보기관에 대한 내용이 있습니다. 그런데 이 내용을 공개한 위키리크스는 왜 각국의 정보기관으로부터 공격을 받지 않고 있는지 궁금합니다. 정보기관들이 위키리크스 서버를 공격해 자신들의 정보가 공개되는 것을 막을 수도 있을 텐데요.
“일단 위키리크스의 가치는 중립적입니다. 특정 국가나 단체를 지지하지 않죠. 위키리크스의 이익을 위해 어느 한쪽으로 정보를 이용하지 않는다는 말입니다.
설령 특정 국가의 정보기관이 위키리크스를 공격했다가 그 사실이 밝혀지면 더 수상하게 보이지 않겠습니까. 문제를 더 키울 위험성이 있죠.
물론 과거에 미국의 싱크탱크 스트랫포(Stratfor)의 이메일이 공개된 직후 위키리크스도 디도스 공격을 받은 바 있습니다. 그러나 추후 정상복구 되었습니다.
보안업계의 전문가로서 확실히 말할 수 있는 것은 사이버보안이라는 것은 공격보다 방어에 드는 비용이 더 저렴합니다. 즉 공격을 감행하려면 많은 자금을 필요로 합니다.
가령 위키리크스를 누군가 공격해서 다운시켰다고 합시다. 그렇다고 해도 다시 또 다른 위키리크스를 만들어 오픈하면 그만입니다. 위키리크스를 공격한다고 해서 해결될 수 있는 문제가 아니라는 것이죠. 위키리크스를 공격해서 얻는 득보다 실이 많다는 얘기입니다.”
―위키리크스의 서버는 매우 견고한 것으로 알려져 있는데, 공격하기 어려운 구조인가요.
“그렇습니다. 사이버보안상 위키리크스를 공격하는 것은 어렵고 공격을 위해서는 막대한 자금을 모아야 합니다. 이 때문에 위키리크스를 사이버상에서 공격하는 것보다 위키리크스를 만든 줄리안 어샌지(Julian Assange)를 공격하는 것이 낫다고 보는 시각이 있습니다.”
위키리크스의 서버를 운영하는 반호프사(社)에 따르면 위키리크스의 서버는 피오넨(Pionen)이라 불리는 스웨덴 스톡홀름의 산(山)속 벙커에 있다. 이 벙커는 군사 목적으로 1970년대에 만든 것으로 핵폭탄 및 수소폭탄의 공격에도 버틸 수 있는 구조로 설계되었다. 해당 벙커 출입문의 두께만 40cm에 달하는 것으로 알려져 있다. 내부에는 비상전력 운용을 위한 독일제 잠수함용 디젤엔진 2대까지 있다.
“한국민들은 정보기관이 감시를 할 수밖에 없다는 사실을 깨달아야”
―이번 해킹팀 사건은 한국에서 큰 이슈가 되고 있습니다. 해킹 프로그램을 통한 민간인 사찰 의혹이 제기되고 있는 것이죠. 이런 상황에 대해 어떻게 생각합니까.
“한국 상황은 다른 국가들의 반응과는 상당히 다릅니다. 어느 국가든지 안보를 담당하는 기관(Local Law Enforcement Agency)이 있기 마련입니다. 대개 정보기관이죠. 이런 기관들은 법적으로 간첩(Spy)을 추적하고 체포할 수 있는 권한이 있습니다. 그 나라의 내국인을 상대로 조사를 벌일 권한이 있다는 얘기입니다. 이렇게 함으로써 정보기관 등은 그 나라의 치안을 유지하고 범죄를 예방하는 것입니다.
만약 국가의 안보기관이 자국민을 감시(Surveillance)하지 못한다면, 수많은 범죄의 피해를 고스란히 국민이 떠안게 되는 것입니다. 한국 국민들이 정녕 그런 범죄의 피해를 스스로 받아들이겠다면 정보기관이 감시할 의무는 필요치 않습니다.
나는 오히려 묻고 싶습니다. 정보기관들에 감시할 수 있는 권한이 없다면 어떻게 범죄를 예방하겠습니까? 무슨 방법으로 범죄로부터 국민을 지켜낼 수 있겠습니까. 내 생각에 한국 국민들은 정보기관에 이러한 감시 능력이 필요할 수밖에 없다는 현실을 깨달아야 할 것 같습니다.
정보기관에 감시 능력이 없다면 그 국가는 많은 위협에 직면하게 될 것입니다. 해당 국가는 안보적 안정을 유지할 수 없습니다. 물론 국민의 프라이버시(Privacy)도 존중되어야 합니다. 그렇기 때문에 각 정보기관마다 절차를 가지고 있고 이 절차에 의해서만 감시가 진행되도록 하고 있는 것입니다. 그리고 이런 절차가 존재함으로써 프라이버시와 감시가 균형을 이루는 것입니다.”
델타의 답변은 ‘한국의 국가정보원과 같은 정보기관들이 안보 관련 범죄로부터 국민을 보호하기 위해 국민에 대한 합법적 감시가 필요하다’는 것으로 요약할 수 있다. 그는 한국의 과거 정보기관들이 불법적인 방법으로 범죄와 관련없는 사람들을 사찰해 왔던 전력(前歷) 때문에 국민으로부터 불신을 받고 있는 상황을 이해하지 못하는 듯했다.
―해킹팀은 사기업입니다. 이런 사기업이 여러 나라의 정보기관과 함께 일한 것이 이번 이메일을 통해 드러났습니다. 만약 이탈리아 정부가 국내 안보를 명분으로 해킹팀에 자료를 공개하라고 한다면 공개해야 한다고 봅니까.
“해킹팀은 사기업으로서 보안솔루션을 각국의 정보기관에 제공해 왔습니다. 이 과정에서 해킹팀은 의뢰받은 대로 솔루션을 제작할 뿐이지, 각국의 정보기관이 어떤 목적으로 또 누구를 대상으로 해당 솔루션을 사용할지는 알 수가 없습니다.
이 내용은 각국의 정보기관에서도 밝히지 않는 내용입니다. 즉 이탈리아 정부가 해킹팀을 조사해도 그 용처를 알 수 없다는 말입니다. 그리고 바세나르 협약(Wassenaar Agreement)에 따라 해킹팀은 스스로 자신들이 타국으로 판매한 기술이 무엇인지, 그리고 어느 나라에 판매했는지를 단계별로 밝히도록 되어 있습니다.”
―국가를 상대로 한 보안솔루션 업계는 다른 업종에 비해 분야가 한정되어 있다고 당신은 앞서 말한 바 있습니다. 이 시장의 규모는 어느 정도인가요. 각 국가의 정보기관이 이런 솔루션을 자체 개발하지 않고 해킹팀과 같은 외부 사기업에 의뢰하는 이유는 무엇입니까.
“모든 국가가 이런 보안솔루션을 자체적으로 개발할 수 있는 것은 아닙니다. 설령 자체 능력을 보유한 국가라고 할지라도 모든 분야의 프로그램에 자체 개발한 프로그램만을 적용할 수는 없는 노릇입니다. 그러니 전부는 아니더라도 일부는 해킹팀과 같은 업체에서 판매하고 있는 솔루션을 사는 것입니다. 그게 아무래도 손쉽게 솔루션을 획득하는 방법일 것입니다.
해킹팀의 프로그램 구매 국가 중 일부는 해킹팀이 개발한 보안솔루션을 연구하기 위한 목적으로 구입합니다. 즉 이미 국제적으로 유통되고 있는 보안솔루션으로부터 사이버공격을 받을 것에 대비해 새로운 프로그램의 개발에 참고하기 위한 목적인 것입니다.”
유출된 이메일 중 북한 관련 내용은 700여 건
기자는 인터뷰를 마치고 실제 유출된 100만 건의 이메일을 확인하는 작업에 착수했다. 기자가 확인하고자 한 부분은 바로 북한이다. 일단 전·현직 해킹팀 직원들의 답변을 통해서 북한이 해킹팀의 해킹 프로그램을 구매하지 않았다는 사실은 확인되었다.
공개된 100만 건의 이메일 중 ‘북한(North Korea)’이라는 단어가 들어간 이메일은 약 700여 건이다. 이 이메일 중 특히 눈에 띄는 것은 해킹팀의 다비드 빈센제티(David Vincenzetti) 사장이 전 직원에게 보낸 ‘북핵’에 관한 이메일이다. 이메일의 제목은 “만약 800kt의 핵탄두가 (미국) 맨해튼(Manhattan) 중심부에서 터진다면?”이다.
北 SLBM 보도 직후, 伊 해킹팀 ‘북핵 주시’
이메일의 발송시점은 북한의 《로동신문》이 핵잠수함 발사 핵미사일(이하 SLBM) 시험발사 성공을 보도한 지난 5월 9일 다음날 오전 10시(한국시각 오전 1시)로 되어 있다. 제목에는 직접적으로 북한을 지칭하고 있지 않으나, 내용을 살펴보면 서두부터 북한의 SLBM 발사 성공에 대한 이야기로 시작한다. 그리고 본 내용을 반드시 숙지하라는 문구를 빈센제티 사장이 직접 써두었다.
숙지하라는 문구는 ‘OT? Definitely Not’이라고 쓰여 있는데, 여기서 OT?는 ‘Off Topic?’의 약어이다. 번역하자면 “이것이 (우리의) 주제 외 이야기인가? 절대 아니다”라는 말을 의미한다. 해킹팀의 전(全) 직원은 북핵 문제에 대해 반드시 숙지하고 있으라는 지시이다.
이 지시에 이어 빈센제티 사장은 “세계에서 가장 혐오스럽고, 비합리적이고, 예측할 수 없는 국가인 북한의 핵폭탄이 우리를 사정권 안에 두고 있다”고 했다. 그러면서 그는 핵과학자회보(The Bulletin of the Atomic Scientists)에 실린 “만약 800kt의 핵탄두가 (미국) 맨해튼 중심부에서 터진다면?”에 대한 분석 자료를 첨부해 직원들에게 전파했다.
해당 자료는 3명의 전문가, 즉 린 이든(Lynn Eden) 미국 스탠퍼드대 선임연구원, 시어도어 포스톨(Theodore Postol) 미국 MIT대 물리학자, 스티븐 스타(Steven Starr) 미국 미주리대 과학 프로그램 연구소장이 분석, 작성한 것이다. 미국 맨해튼 상공에서 핵탄두가 폭발했을 경우 미치는 영향을 면밀히 분석하고 있다.
이 분석에서는 핵탄두에 대한 구체적인 자료가 공개된 러시아의 핵무기를 예로 들고 있다. 러시아가 대륙간탄도미사일(이하 ICBM)을 미국 본토를 향해 발사했을 경우 30분 이내에 미국 서부에 도달한다고 계산했다. 800kt의 핵탄두를 선택한 이유는 러시아가 보유한 핵무기 중 과반수가 바로 이 800kt의 탄두이기 때문이다. 다음은 이메일에 포함된 분석내용을 요약한 것이다.
이 분석은 정확한 수치를 들어 자세하게 핵폭발을 묘사하고 있다. 이를 북한의 핵폭탄에 빗대어 해킹팀의 사장은 직원들에게 북한의 핵개발을 주시하라고 한 것이다.
해당 이메일에는 이 분석과 더불어 《월스트리트저널(WSJ)》에 실린 북핵 관련 기사도 첨부했다. 해당 기사 제목은 “북핵 위협이 높아지고 있다고 중국이 경고했다”이다.
이 기사는 “북한의 핵무기 보유량이 예상보다 많을 것”이라고 강조했다. 특히 “내년(2016년)이 되면 북한은 현재 보유 중인 핵무기의 양이 두 배에 달할 것”이라는 전문가의 예상을 인용했다. 이 기사는 “북한은 KN-08 미사일에 핵무기를 탑재하면 사거리가 약 8900km에 달해 유사시 미국의 서부 지역을 공격할 수 있다”고 분석했다.
이메일에서 해킹팀의 사장은 “북핵은 서방국 대부분을 핵무기의 사정권 안에 두고 있다. 이것은 우리에게 매우 매우 나쁜 것이다(very very bad)”면서 다시 한 번 북핵은 간과할 수 없는 위협임을 직원들에게 강조했다.
“미국이 이란에 한눈을 파는 사이, 북한의 핵무기 저장량이 늘어났다”라는 제목의 이메일도 있다. 역시 빈센제티 사장이 전 직원에게 보낸 것이다. 해당 이메일은 앞서 언급한 ‘800kt 핵탄두’를 다룬 이메일을 보내기 하루 전인 5월 9일 보낸 것이다.
빈센제티 사장은 《뉴욕타임스(NYT)》에 실린 기사를 인용해 중요한 부분은 진하게 표시하여 직원들의 경각심을 고조시켰다. 빈센제티 사장이 진하게 표시한 부분은 “북한이 핵시설을 확장하는 것을 미국이 더 이상 막을 수는 없을 것이다”라는 부분과 “2013년 대비 북한은 이미 보유한 핵무기의 수를 두 배로 늘렸고, 2016년까지 핵무기 20여 기를 보유할 것이다. 이미 지난 20년간 미국은 북한의 핵무기 개발을 저지하는 데 실패했고 핵무기를 보유하게 만들었다. 미국은 이란과의 핵협상을 통해 이런 전철을 다시 밟게 될 것이다”라는 부분이다.
해당 이메일에 포함된 《뉴욕타임스》의 기사에는 북한의 영변 핵시설을 2012년에 촬영한 사진이 실려 있다. 2년 전보다 핵시설을 더 보강한 모습이다.
“핵폭탄은 크든 작든 재앙” 강정민 핵무기 전문가
기자는 앞서 확인한 해킹팀의 “만약 800kt의 핵탄두가 (미국) 맨해튼 중심부에서 터진다면?”에 포함된 분석이 얼마나 신뢰할 수 있는 분석인지 확인해 보기로 했다. 이에 핵무기 전문가인 강정민 박사에게 연락을 취했다. 그는 카이스트(KAIST) 원자력 및 양자공학과 교수이자 미국의 환경싱크탱크인 Natural Resources Defense Council의 핵전문가이다. 다음은 강 박사와의 문답.
―이메일에 첨부된 분석 내용이 객관성이 있습니까. 정확한 분석인가요.
“비교적 정확합니다. 신뢰할 수 있는 편입니다. 추가로 제가 첨부한 자료를 참고하기 바랍니다.”
강 박사가 기자에게 보내온 자료는 미국 국방부에서 작성한 ‘핵무기의 효과(The Effect of Nuclear Weapon)’라는 제목의 보고서이다. 이 보고서는 200자 원고지 기준 총 660장 분량으로 핵폭탄이 투하되었을 때 나타나는 현상과 영향 등이 면밀히 분석돼 있었다.
과거 미국이 핵무기 실험을 진행하면서 축적한 자료 등이 대거 포함되어 있었으며, 내용은 핵폭발이 지상에서 일어날 경우, 공중에서 터졌을 경우, 지면에서 약간 높은 지점에서 터졌을 경우 등으로 나뉘어 있었다.
폭발 시 발생하는 물리적인 수치와 계산 공식 등도 담겨 있었다. 해당 자료와 이메일에 포함된 내용을 비교해 본 결과, 비교적 정확한 계산으로 산정된 자료였으며 신뢰도가 높은 내용임을 확인할 수 있었다.
―북핵의 경우도 분석보고서의 결과가 가능한가요.
“북한의 플루토늄 핵무기 또는 고농축 우라늄 핵무기의 폭발 성능은 잘해야 나가사키에 투하되었던 (소형) 핵무기의 성능 정도를 가질 겁니다. 즉 20kt의 폭발력을 의미합니다. 이메일에 첨부된 내용은 800kt으로 이렇게 막강한 폭발력은 수소를 사용한 핵무기의 경우에 가능한 것이며, 지금의 북핵 능력으로는 불가능합니다.”
―만약 서울 상공에서 북한 핵무기가 터진다면 어느 정도의 파괴력을 가집니까.
“북한이 보유한 20kt급 핵탄두의 영향력은 하나의 도시로 한정됩니다. 이것은 파괴력이 더 강한 800kt의 경우도 마찬가지입니다. 킬로톤이라는 폭발력은 중요한 것이 아닙니다. 폭발력이 크든 작든 터진 곳에 가해지는 피해는 동일하다는 점을 강조하고 싶습니다.”
―800kt이라는 수치가 정확하게 무엇을 의미하며, 히로시마 원자폭탄과 비교한다면?
“800kt이라는 수치는 80만t의 다이너마이트가 폭발했을 때 발생하는 폭발력을 의미하는 것입니다. 히로시마 원폭 또는 나가사키 원폭과 비교하면 40배 정도 더 강하다고 보면 됩니다.”
―왜 이런 내용을 사이버보안업체(해킹팀)가 예의주시했을까요.
“핵폭발이 발생하면 이로 인한 피해가 막대합니다. 컴퓨터 내 보안자료를 다 파괴하게 됩니다. 또 전산망 마비 등을 발생시킬 수 있기 때문에 예의주시한 것이라고 볼 수 있습니다.”
―북한의 SLBM 개발 추이와 핵무기 개발 추이를 연계해서 분석한다면 어떻습니까.
“SLBM의 개발 추이와 핵개발 추이를 연계시킬 이유는 없다고 봅니다.”
―핵무기에서 특별히 강조하고 싶은 내용이 있습니까.
“20kt이든 800kt이든 핵탄두의 폭발력은 큰 문제가 되지 않습니다. 단 1kt의 핵무기라고 해도 반경 0.8km 이내는 완전히 소멸해 버립니다. 그리고 폭발지점으로부터 수km에 달하는 지역은 치명적인 방사선, 화염폭풍, 방사능 낙진 등으로 피해를 면할 수 없습니다. 즉 그 규모에 관계없이 핵폭탄이 현대 도시 어디에서 폭발하든지 결과는 과거 히로시마와 나가사키의 경우보다 더 치명적인 재앙을 안겨주게 될 것입니다.”
왜 해킹팀은 북핵을 예의주시했나
기자는 해킹팀의 사장이 직원들에게 북한의 핵무기 개발 추이를 지켜보라는 내용의 이메일을 여러 차례 보낸 이유가 궁금해졌다. 강 박사는 핵 공격이 발생할 경우 전산망 마비와 보안자료의 소멸을 염려해 예의주시한 것으로 봤다. 기자는 앞서 인터뷰한 전직 해킹팀 직원 델타에게도 그 이유를 물었다. 델타는 다음과 같이 답변했다.
“해킹팀은 항상 안보적인 부분과 관련해 북한을 예의주시하고 있습니다. 사장의 의도를 정확히 알 수는 없지만 일단 중요한 안보 관련 소식은 종종 사내 직원들과 공유합니다.”
해킹팀이 왜 북핵 내용을 예의주시했는지는 델타의 말처럼 빈센제티 사장만이 정확한 이유를 알 것이다. 어쩌면 강 박사의 분석대로 핵폭발이 미치는 전산장애 등을 고려한 때문일지도 모른다. 또 여러 나라의 정보기관을 상대로 사업을 벌였던 해킹팀의 입장에서 안보와 직결된 뉴스는 세계 안보정세와 트렌드를 읽는 데에도 도움이 되었을 것이다.
이유가 어찌되었건 북한과 관계없는 해킹팀조차 북한 핵을 심각한 안보 위협으로 여겼다는 점만은 확실하다. 해킹팀의 태도는 북한을 마주하고 있는 한국의 분위기와는 사뭇 다르다. 한국 국민은 북한의 도발위협과 북핵 개발을 대수롭게 여기지 않는다.
양치기 소년의 한낱 거짓말로 치부하는 분위기마저 있다. 한국이 북한의 핵개발에 무감각해지는 사이 이역만리 떨어진 이탈리아의 보안업체가 받아들이는 북핵의 심각성은 잠들어 있던 한국의 안보의식을 다시 일깨우고 있다.⊙
이 이메일은 왜, 어떤 경로를 통해 유출됐을까. 이메일 유출이 대한민국 안보에 미친 영향은 무엇일까. 해킹팀의 거래 대상에 북한은 없을까. 기자는 이러한 궁금증을 풀기 위해 이메일 유출의 발단이 된 이탈리아 해킹팀부터 취재해 보기로 했다.
이 기사의 전반부는 해킹팀의 현직 직원과 전직 직원의 인터뷰로 구성했고, 후반부에는 유출된 이메일 중 북한과 관련 있는 부분을 모았다. 해킹팀의 현 직원은 실명을 밝혔지만, 전 직원은 익명을 요청해 와 ‘델타’라는 가명을 썼음을 밝힌다.
원천적 부인 나선 해킹팀 현 직원
 |
| 이탈리아 사이버보안업체 해킹팀의 홈페이지. |
이러한 해킹팀의 성명서를 확인하고 기자는 곧장 서면으로 연락을 취했다. 에릭 라베(Eric Rabe)라는 현직 해킹팀 직원이 답변을 했다.
그는 이번에 유출된 이메일의 파장 때문인지 자신의 직책이 무엇인지 밝히기를 꺼려 했다. 이름만 밝혔다. 기자는 그가 실제 현직 직원인지 확인하고자 유출된 100만 건의 이메일에서 그의 이름을 찾아보았다. 그의 이름은 약 7000여 개에서 검색되었다. 검색된 이메일의 내용을 보면 그는 해킹팀에서 행정 및 대외업무를 도맡아 하는 사람으로 보인다. 안타깝게도 이메일에서도 그의 직책은 없었다. 다음은 그와의 문답이다.
―현재 이메일의 대량 유출은 국제 해커조직 어나니머스(Anonymous)에 의한 것으로 알려져 있는데 맞습니까.
“현재 누가 유출했는지에 대해 경찰과 함께 조사 중입니다. 우리 해킹팀은 이 조사에 적극 협조하고 있습니다.”
―해킹팀이 판매 중인 해킹 프로그램을 북한도 구매한 적이 있나요.
“없습니다.”
―현재 해킹팀의 정보 보안은 어떤가요. 향후 비슷한 경우가 발생할 것을 대비한 계획이 있나요.
“이번 사이버공격이 있고 나서 우리는 우리의 보안 수준을 대폭 보강했습니다. 이런 사이버공격을 받는 것이 우리 해킹팀뿐이던가요. 이미 JP모건, 소니(픽처스), 미국 정부 등도 이런 유사한 사이버공격을 받은 바 있습니다.”
―유출 자료 중 눈여겨볼 자료가 있습니까.
“우리는 이번에 유출된 이메일들이 우리 것이라 한 적 없습니다.”
―더 말하고 싶은 내용이 있습니까.
“우리는 우리와 함께 일하는 파트너, 고객, 혹은 잠재고객 등과 관련한 그 어떠한 내용에 대해서도 답할 수 없습니다. 앞으로도 이런 질문에 대해서는 일절 답하지 않을 것입니다. 현재로서는 이것이 우리가 말할 수 있는 전부입니다.”
해킹팀의 답변을 종합해 보면 해킹팀은 이번 사건의 이메일 유출 경위, 유출된 문건 모두 해킹팀과는 무관하다는 식으로 답변하고 있다. 그러면서도 이와 같은 사이버공격에 대비해 사내 보안을 대폭 강화했다고 강조했다. 유출 문건이 자기들 것인지 확인해 줄 수 없다면서도 추가 공격에 대비한다는 것은 앞뒤가 맞지 않는 말이다.
에릭 라베 해킹팀 직원은 민감한 질문을 모두 피해갔다. 이에 기자는 해킹팀에 이번 사건과 관계없이 사이버보안 전문기업으로서 북한 사이버군(軍)의 능력을 평가해 달라고 다시 서면 질문서를 보냈다. 과연 보안 전문가들이 바라본 북한 사이버군의 능력은 어느 정도일까.
이번에도 에릭 라베 현직 해킹팀 직원은 협조적이지 않았다. 그는 “북한과는 그 어떠한 거래도 한 적이 없다. 이런 상황에서 우리가 북한에 대해 어떤 말을 하는 순간 그 자체만으로도 파장을 만들 수 있다. 그리고 설령 답변을 한다고 해도 그 답변은 오직 추측에 의한 답변일 뿐이다”라고 답했다.
해킹팀은 이번 이메일 유출 사건에 민감한 반응을 보였다. 자신들의 치부를 더 이상 드러내고 싶지 않은 듯 보였다.
해킹팀 내부 상황 전한 전직 직원
해킹팀 내부 상황을 잘 알면서도 모든 질문에 답을 해줄 만한 사람이 있을까. 기자는 여러 해외 취재원을 통해 수소문한 끝에 해킹팀에서 근무한 적이 있는 사람과 어렵게 접촉할 수 있었다. 그는 익명을 요청해 왔다. 편의상 전직 해킹팀 직원을 ‘델타’라고 지칭했다. 기자는 델타가 전직 직원임을 여러 채널을 통해 확인했다. 그의 이름도 유출된 100만 건의 이메일에 분명히 있었다.
델타는 “해킹팀은 전·현직 직원들을 상대로 강도 높은 조사를 진행 중”이라고 했다. 전·현직 직원 모두를 이메일 유출 사건의 용의선상에 올려두고 있다는 것이다. 이 때문에 그는 “자신도 아직 안전하다고 할 수 없다”며 자신의 불안전한 상태를 기자에게 밝혔다.
취재 과정에서 델타와의 접촉은 마치 첩보 영화를 방불케 했다. 사이버보안 전문가이자 현재 해킹팀의 이메일 유출 용의선상에 올라 있는 그는 기자에게 까다로운 보안조건을 요구해 왔다. 취재 과정에서 기자는 델타가 요구하는 보안조건을 충족하지 않고서는 그 어떠한 답변도 얻을 수 없었다. 이 과정은 델타의 신변보호 때문에 자세히 밝힐 수는 없으나 분명 일반적인 접촉방법과는 달랐다. 다음은 델타와의 문답이다.
“사내 규정에 컴퓨터 안티바이러스 깔라는 지침 없어”
 |
| 지난 2013년 3월 20일 한국인터넷진흥원 인터넷침해대응센터 직원들이 방송사·금융사에 대한 북한의 사이버공격에 대처하기 위해 바쁘게 움직이고 있다. |
“현재 누구인지는 조사가 진행 중입니다. 확실한 것은 전·현직 직원 모두가 용의선상에 올라 있다는 점입니다. 나도 예외일 수 없습니다. 이 업계가 좁다 보니 과거 해킹팀에서 일했던 사람들이 더욱 의심을 사고 있습니다.
왜냐하면 해킹팀에서 배운 기술을 토대로 새로운 회사를 차리거나 다른 회사로 이직할 경우, 해킹팀의 기술을 빼돌릴 가능성이 높다고 보기 때문입니다.
해킹팀은 현재 자신들이 개발한 해킹 프로그램 RCS(Remote Control System·원격통제시스템) 등을 전직 해킹팀 직원들이 해독할 수 있다고 의심하고 있습니다. 해독을 위한 자료 등을 이번 이메일 유출 사건처럼 가지고 나갔을 것으로 의심하고 있다는 것이죠. 그런데 사실 전직 직원들이 RCS 기술을 빼돌렸다고 해서 얻을 이득은 아무것도 없습니다.”
―기자가 해킹팀의 에릭 라베 씨에게 문의해 본 결과, 해킹팀이 과거 북한과 거래한 적은 없다고 하던데 정말인가요.
“내가 아는 바로는 맞는 말입니다. 해킹팀이 북한과 거래를 한 적은 없습니다.”
이 부분에서 기자는 앞서 인터뷰한 에릭 라베가 실제 현직 해킹팀의 직원임을 재차 확인할 수 있었다.
―해킹팀의 보안 수준은 어떻습니까.
“해킹팀의 관리자 계정은 비밀번호 등을 포함한 많은 부분이 취약합니다. 아마도 이런 관리자 계정의 취약성이 이번 이메일 유출의 원인이라고 봅니다.
그리고 내가 해킹팀에서 근무하는 동안 회사 규정(Company policy) 어디에도 컴퓨터에 보안 프로그램을 깔아야 한다는 지침은 없었습니다.”
이 부분에서 델타는 기자에게 해킹팀의 관리자 계정에 사용한 비밀번호를 보내주었다. 이 자료를 보면 해킹팀이 자주 사용한 관리자의 비밀번호는 ‘P4ssword’였다. 한마디로 비밀번호를 뜻하는 ‘Password’의 철자 하나를 모양이 유사한 숫자로 바꾼 것이 전부라는 말이다. 해킹팀의 비밀번호에는 특수문자를 사용하지도 않아 비전문가가 보기에도 허술하고 유추가 가능하다는 점을 확인할 수 있다.
北 사이버군, 익명성 무기로 사이버공격 감행
―해킹팀을 떠난 특별한 이유라도 있나요.
“당시 내 판단은 해킹팀이 맡고 있는 시장이 너무 작다고 생각했습니다. 도리어 일반적인 기업 등을 상대로 일을 하거나, 일반 기업에서 일하는 것이 더 나은 것처럼 보였습니다. 이 때문에 전망이 없다고 생각해서 그만두게 되었죠.”
―당신은 보안 전문가로서 북한의 사이버군에 대해서는 어떻게 평가합니까. 북한은 과거 소니픽처스(Sony Pictures)와 한국 기업에 디도스(DDOS·분산 서비스 거부) 공격을 한 바 있습니다만.
“북한은 이미 상당한 자금을 사이버 분야에 투자해 두었습니다. 왜냐하면 사이버상의 전투는 치명적인 피해를 (상대에) 안기면서도 자신들에게는 직접적인 피해를 안기지 않기 때문입니다. 북한의 입장에서 누구도 피를 흘리는 사상자가 발생하지 않습니다.
그리고 북한은 자신들의 소행임을 숨길 수도 있습니다. 익명성을 담보로 얼마든지 공격이 가능한 것이죠. 이 때문에 강대국이라면 사이버군 양성을 소홀히 할 수 없는 것입니다.
사기업의 입장에서도 이제는 이런 사이버공격에 대비를 해야만 합니다. 이런 공격은 실제로 기업에 큰 피해를 안길 수 있습니다. 모든 사기업은 이런 공격으로부터 스스로 막아낼 수 있는 능력을 배양해야만 합니다. 사이버보안 분야 업체들이 우후죽순처럼 생기는 이유이기도 합니다.”
한국은 지난 2010년 사이버사령부를 창설했으며 병력은 약 400명 정도의 규모다. 국방부의 조사에 따르면 북한의 사이버군 병력은 최소 3000명 정도다.
《조선일보》 7월 22일자 〈北, ‘伊 해킹팀’ 기술로 사이버공격〉 기사에 따르면 북한은 유출된 해킹팀의 이메일에서 원천코드를 뽑아내 한 단계 더 진화한 해킹 기술을 습득했다. 이미 이 기술을 토대로 국내 탈북자 단체 사이트 5군데 정도를 공격한 바 있다. 이렇듯 북한의 사이버군은 계속 진화하고 있는 반면, 한국의 대비책은 미비한 실정이다. 유용원 《조선일보》 군사전문기자는 칼럼에서 “우리 군은 사이버전 교전규칙도 없다”고 지적했다.
“위키리크스 공격은 得보다 失이 많아”
 |
| 국가정보원과 이탈리아 보안업체 해킹팀 사이에서 해킹 프로그램 거래를 중개한 나나테크 현관. |
“일단 위키리크스의 가치는 중립적입니다. 특정 국가나 단체를 지지하지 않죠. 위키리크스의 이익을 위해 어느 한쪽으로 정보를 이용하지 않는다는 말입니다.
설령 특정 국가의 정보기관이 위키리크스를 공격했다가 그 사실이 밝혀지면 더 수상하게 보이지 않겠습니까. 문제를 더 키울 위험성이 있죠.
물론 과거에 미국의 싱크탱크 스트랫포(Stratfor)의 이메일이 공개된 직후 위키리크스도 디도스 공격을 받은 바 있습니다. 그러나 추후 정상복구 되었습니다.
보안업계의 전문가로서 확실히 말할 수 있는 것은 사이버보안이라는 것은 공격보다 방어에 드는 비용이 더 저렴합니다. 즉 공격을 감행하려면 많은 자금을 필요로 합니다.
가령 위키리크스를 누군가 공격해서 다운시켰다고 합시다. 그렇다고 해도 다시 또 다른 위키리크스를 만들어 오픈하면 그만입니다. 위키리크스를 공격한다고 해서 해결될 수 있는 문제가 아니라는 것이죠. 위키리크스를 공격해서 얻는 득보다 실이 많다는 얘기입니다.”
―위키리크스의 서버는 매우 견고한 것으로 알려져 있는데, 공격하기 어려운 구조인가요.
“그렇습니다. 사이버보안상 위키리크스를 공격하는 것은 어렵고 공격을 위해서는 막대한 자금을 모아야 합니다. 이 때문에 위키리크스를 사이버상에서 공격하는 것보다 위키리크스를 만든 줄리안 어샌지(Julian Assange)를 공격하는 것이 낫다고 보는 시각이 있습니다.”
위키리크스의 서버를 운영하는 반호프사(社)에 따르면 위키리크스의 서버는 피오넨(Pionen)이라 불리는 스웨덴 스톡홀름의 산(山)속 벙커에 있다. 이 벙커는 군사 목적으로 1970년대에 만든 것으로 핵폭탄 및 수소폭탄의 공격에도 버틸 수 있는 구조로 설계되었다. 해당 벙커 출입문의 두께만 40cm에 달하는 것으로 알려져 있다. 내부에는 비상전력 운용을 위한 독일제 잠수함용 디젤엔진 2대까지 있다.
“한국민들은 정보기관이 감시를 할 수밖에 없다는 사실을 깨달아야”
―이번 해킹팀 사건은 한국에서 큰 이슈가 되고 있습니다. 해킹 프로그램을 통한 민간인 사찰 의혹이 제기되고 있는 것이죠. 이런 상황에 대해 어떻게 생각합니까.
“한국 상황은 다른 국가들의 반응과는 상당히 다릅니다. 어느 국가든지 안보를 담당하는 기관(Local Law Enforcement Agency)이 있기 마련입니다. 대개 정보기관이죠. 이런 기관들은 법적으로 간첩(Spy)을 추적하고 체포할 수 있는 권한이 있습니다. 그 나라의 내국인을 상대로 조사를 벌일 권한이 있다는 얘기입니다. 이렇게 함으로써 정보기관 등은 그 나라의 치안을 유지하고 범죄를 예방하는 것입니다.
만약 국가의 안보기관이 자국민을 감시(Surveillance)하지 못한다면, 수많은 범죄의 피해를 고스란히 국민이 떠안게 되는 것입니다. 한국 국민들이 정녕 그런 범죄의 피해를 스스로 받아들이겠다면 정보기관이 감시할 의무는 필요치 않습니다.
나는 오히려 묻고 싶습니다. 정보기관들에 감시할 수 있는 권한이 없다면 어떻게 범죄를 예방하겠습니까? 무슨 방법으로 범죄로부터 국민을 지켜낼 수 있겠습니까. 내 생각에 한국 국민들은 정보기관에 이러한 감시 능력이 필요할 수밖에 없다는 현실을 깨달아야 할 것 같습니다.
정보기관에 감시 능력이 없다면 그 국가는 많은 위협에 직면하게 될 것입니다. 해당 국가는 안보적 안정을 유지할 수 없습니다. 물론 국민의 프라이버시(Privacy)도 존중되어야 합니다. 그렇기 때문에 각 정보기관마다 절차를 가지고 있고 이 절차에 의해서만 감시가 진행되도록 하고 있는 것입니다. 그리고 이런 절차가 존재함으로써 프라이버시와 감시가 균형을 이루는 것입니다.”
델타의 답변은 ‘한국의 국가정보원과 같은 정보기관들이 안보 관련 범죄로부터 국민을 보호하기 위해 국민에 대한 합법적 감시가 필요하다’는 것으로 요약할 수 있다. 그는 한국의 과거 정보기관들이 불법적인 방법으로 범죄와 관련없는 사람들을 사찰해 왔던 전력(前歷) 때문에 국민으로부터 불신을 받고 있는 상황을 이해하지 못하는 듯했다.
―해킹팀은 사기업입니다. 이런 사기업이 여러 나라의 정보기관과 함께 일한 것이 이번 이메일을 통해 드러났습니다. 만약 이탈리아 정부가 국내 안보를 명분으로 해킹팀에 자료를 공개하라고 한다면 공개해야 한다고 봅니까.
“해킹팀은 사기업으로서 보안솔루션을 각국의 정보기관에 제공해 왔습니다. 이 과정에서 해킹팀은 의뢰받은 대로 솔루션을 제작할 뿐이지, 각국의 정보기관이 어떤 목적으로 또 누구를 대상으로 해당 솔루션을 사용할지는 알 수가 없습니다.
이 내용은 각국의 정보기관에서도 밝히지 않는 내용입니다. 즉 이탈리아 정부가 해킹팀을 조사해도 그 용처를 알 수 없다는 말입니다. 그리고 바세나르 협약(Wassenaar Agreement)에 따라 해킹팀은 스스로 자신들이 타국으로 판매한 기술이 무엇인지, 그리고 어느 나라에 판매했는지를 단계별로 밝히도록 되어 있습니다.”
―국가를 상대로 한 보안솔루션 업계는 다른 업종에 비해 분야가 한정되어 있다고 당신은 앞서 말한 바 있습니다. 이 시장의 규모는 어느 정도인가요. 각 국가의 정보기관이 이런 솔루션을 자체 개발하지 않고 해킹팀과 같은 외부 사기업에 의뢰하는 이유는 무엇입니까.
“모든 국가가 이런 보안솔루션을 자체적으로 개발할 수 있는 것은 아닙니다. 설령 자체 능력을 보유한 국가라고 할지라도 모든 분야의 프로그램에 자체 개발한 프로그램만을 적용할 수는 없는 노릇입니다. 그러니 전부는 아니더라도 일부는 해킹팀과 같은 업체에서 판매하고 있는 솔루션을 사는 것입니다. 그게 아무래도 손쉽게 솔루션을 획득하는 방법일 것입니다.
해킹팀의 프로그램 구매 국가 중 일부는 해킹팀이 개발한 보안솔루션을 연구하기 위한 목적으로 구입합니다. 즉 이미 국제적으로 유통되고 있는 보안솔루션으로부터 사이버공격을 받을 것에 대비해 새로운 프로그램의 개발에 참고하기 위한 목적인 것입니다.”
유출된 이메일 중 북한 관련 내용은 700여 건
기자는 인터뷰를 마치고 실제 유출된 100만 건의 이메일을 확인하는 작업에 착수했다. 기자가 확인하고자 한 부분은 바로 북한이다. 일단 전·현직 해킹팀 직원들의 답변을 통해서 북한이 해킹팀의 해킹 프로그램을 구매하지 않았다는 사실은 확인되었다.
공개된 100만 건의 이메일 중 ‘북한(North Korea)’이라는 단어가 들어간 이메일은 약 700여 건이다. 이 이메일 중 특히 눈에 띄는 것은 해킹팀의 다비드 빈센제티(David Vincenzetti) 사장이 전 직원에게 보낸 ‘북핵’에 관한 이메일이다. 이메일의 제목은 “만약 800kt의 핵탄두가 (미국) 맨해튼(Manhattan) 중심부에서 터진다면?”이다.
北 SLBM 보도 직후, 伊 해킹팀 ‘북핵 주시’
 |
| 뉴욕 맨해튼에서 핵탄두가 폭발했을 경우를 묘사한 그래픽. 핵과학자회보(The Bulletin of the Atomic Scientists) 사이트 사진 캡처. |
숙지하라는 문구는 ‘OT? Definitely Not’이라고 쓰여 있는데, 여기서 OT?는 ‘Off Topic?’의 약어이다. 번역하자면 “이것이 (우리의) 주제 외 이야기인가? 절대 아니다”라는 말을 의미한다. 해킹팀의 전(全) 직원은 북핵 문제에 대해 반드시 숙지하고 있으라는 지시이다.
이 지시에 이어 빈센제티 사장은 “세계에서 가장 혐오스럽고, 비합리적이고, 예측할 수 없는 국가인 북한의 핵폭탄이 우리를 사정권 안에 두고 있다”고 했다. 그러면서 그는 핵과학자회보(The Bulletin of the Atomic Scientists)에 실린 “만약 800kt의 핵탄두가 (미국) 맨해튼 중심부에서 터진다면?”에 대한 분석 자료를 첨부해 직원들에게 전파했다.
해당 자료는 3명의 전문가, 즉 린 이든(Lynn Eden) 미국 스탠퍼드대 선임연구원, 시어도어 포스톨(Theodore Postol) 미국 MIT대 물리학자, 스티븐 스타(Steven Starr) 미국 미주리대 과학 프로그램 연구소장이 분석, 작성한 것이다. 미국 맨해튼 상공에서 핵탄두가 폭발했을 경우 미치는 영향을 면밀히 분석하고 있다.
이 분석에서는 핵탄두에 대한 구체적인 자료가 공개된 러시아의 핵무기를 예로 들고 있다. 러시아가 대륙간탄도미사일(이하 ICBM)을 미국 본토를 향해 발사했을 경우 30분 이내에 미국 서부에 도달한다고 계산했다. 800kt의 핵탄두를 선택한 이유는 러시아가 보유한 핵무기 중 과반수가 바로 이 800kt의 탄두이기 때문이다. 다음은 이메일에 포함된 분석내용을 요약한 것이다.
이 분석은 정확한 수치를 들어 자세하게 핵폭발을 묘사하고 있다. 이를 북한의 핵폭탄에 빗대어 해킹팀의 사장은 직원들에게 북한의 핵개발을 주시하라고 한 것이다.
해당 이메일에는 이 분석과 더불어 《월스트리트저널(WSJ)》에 실린 북핵 관련 기사도 첨부했다. 해당 기사 제목은 “북핵 위협이 높아지고 있다고 중국이 경고했다”이다.
이 기사는 “북한의 핵무기 보유량이 예상보다 많을 것”이라고 강조했다. 특히 “내년(2016년)이 되면 북한은 현재 보유 중인 핵무기의 양이 두 배에 달할 것”이라는 전문가의 예상을 인용했다. 이 기사는 “북한은 KN-08 미사일에 핵무기를 탑재하면 사거리가 약 8900km에 달해 유사시 미국의 서부 지역을 공격할 수 있다”고 분석했다.
이메일에서 해킹팀의 사장은 “북핵은 서방국 대부분을 핵무기의 사정권 안에 두고 있다. 이것은 우리에게 매우 매우 나쁜 것이다(very very bad)”면서 다시 한 번 북핵은 간과할 수 없는 위협임을 직원들에게 강조했다.
“미국이 이란에 한눈을 파는 사이, 북한의 핵무기 저장량이 늘어났다”라는 제목의 이메일도 있다. 역시 빈센제티 사장이 전 직원에게 보낸 것이다. 해당 이메일은 앞서 언급한 ‘800kt 핵탄두’를 다룬 이메일을 보내기 하루 전인 5월 9일 보낸 것이다.
빈센제티 사장은 《뉴욕타임스(NYT)》에 실린 기사를 인용해 중요한 부분은 진하게 표시하여 직원들의 경각심을 고조시켰다. 빈센제티 사장이 진하게 표시한 부분은 “북한이 핵시설을 확장하는 것을 미국이 더 이상 막을 수는 없을 것이다”라는 부분과 “2013년 대비 북한은 이미 보유한 핵무기의 수를 두 배로 늘렸고, 2016년까지 핵무기 20여 기를 보유할 것이다. 이미 지난 20년간 미국은 북한의 핵무기 개발을 저지하는 데 실패했고 핵무기를 보유하게 만들었다. 미국은 이란과의 핵협상을 통해 이런 전철을 다시 밟게 될 것이다”라는 부분이다.
해당 이메일에 포함된 《뉴욕타임스》의 기사에는 북한의 영변 핵시설을 2012년에 촬영한 사진이 실려 있다. 2년 전보다 핵시설을 더 보강한 모습이다.
[폭발 초기, 불덩이(Fireball)] 800kt의 핵탄두가 가지는 파괴력은 TNT 다이너마이트 80만t과 동일한 것이다. 이 핵탄두의 폭발력 배가는 지상에서부터 약 1.6km(1마일) 위 상공에서 폭발시킬 경우이다. 폭발시점에서 핵탄두의 중심부는 섭씨 약 1억 도까지 온도가 상승한다. 이 온도는 태양보다 4~5배 더 뜨거운 온도이다. 이처럼 과열된 온도로 인해 주변 공기의 온도도 고온으로 오르게 되고 폭발과 함께 이 공기는 사방으로 발사되듯이 분산된다. 이때 공기가 퍼져나가는 속도는 시속 수천km에 달한다. 이 여파는 일종의 충격파(衝擊波·Shockwave)이며 상당한 파괴력을 가지고 있다. 폭발 후 1초가 지나면 반경 2km 내외는 초토화되며 중심부에서 퍼져나가는 충격파의 온도는 최초 폭발시점보다는 줄어들어 섭씨 약 8800도가 된다. 최초 폭발 때보다는 차가워진 온도지만 태양의 표면 온도보다는 높은 것이다. 즉 핵폭탄이 폭발함과 동시에 약 7800만 평에 달하는 면적은 모두 불에 타 버린다. [화염폭풍] 폭발이 발생한 직후 폭발 지역 주변은 모두 화염에 휩싸이게 된다. 불이 붙어 엄청난 열기를 뿜어낸다. 폭발과 함께 뿜어져 나간 공기가 일시적으로 사라졌다가 다시 이 공간을 메우게 되면 화력은 배가된다. 이 과정에서 주변에 흩어졌던 화염이 한데 어우러져 더 큰 화염폭풍을 일으키게 된다. 이때 응집되는 화력은 폭발 시 발생했던 폭발력보다 약 15~20배 강한 에너지를 지니고 있다. 화재 시 형성되는 굴뚝현상(Chimney effect)은 폭발 지역 주변의 찬 공기를 끌어 모으고 이 과정에서 화염폭풍은 더 커지게 된다. 이 화염폭풍은 주변의 물체를 잡아당겨 피해의 범위는 더 넓어진다. [핵무기의 폭발지점(Ground zero) 맨해튼] 상공에서 핵폭탄이 터지면 그 밑에 모든 물체는 한순간에 소멸된다. 그 강력한 폭발로 해당 지역의 모든 건축물을 증발시켜 버리는 것이다. 이것은 제아무리 단단한 콘크리트 구조물이라고 할지라도 마찬가지다. 폭발 지역 주변의 모든 건물이 찢어지듯이 산산조각날 것이고 이렇게 부서진 건물의 잔해 안에 숨겨진 가연성 물질 등이 폭발의 열기를 증폭시킬 것이다. 이 열기로 인해 엠파이어 스테이트 빌딩, 크라이슬러 빌딩 등이 흔적도 없이 사라지고 폭발 반경 이내의 건축물들은 부서지고 외벽의 페인트가 녹아서 흘러내릴 것이다. 화염폭풍 때문에 지상의 자동차들은 마치 추풍낙엽처럼 흩날릴 것이다. 이 폭발의 영향권에 들어 있는 자동차와 건물들은 고온의 열기를 이기지 못해 불이 붙고, 가로수를 비롯한 모든 식물의 잎은 폭발할 것이다. 직접적인 폭발범위 밖의 UN본부 건물도 녹아내릴 것이다. [생존자 없다] 폭발지점인 맨해튼의 미드타운(Midtown)부터 반경 5~7마일(8~11km) 이내에는 생존자가 없다. 폭발지점으로부터 약 14km 밖은 폭발 시 발생한 충격파의 영향으로 모든 건물의 창문이 깨지고 폭발 중 불에 타 재가 되어버린 먼지들이 바람을 타고 주변을 휩쓸 것이다. 이 먼지바람은 버스와 트럭들을 날려버릴 정도로 강력한 것이다. 폭발지점으로부터 약 3km 밖에 있는 메트로폴리탄미술관(Metropolitan Museum)까지도 고열에 흔적도 없이 사라질 것이다. 그 박물관 안의 고귀한 전시품들도 마찬가지다. 약 5km 밖, 뉴저지(New Jersey)주에 있는 유니언시티(Union City)도 폭발 시 발생한 섬광(閃光)의 영향권에서 벗어날 수 없다. 폭발 시 발생하는 빛은 태양의 1900배에 달하는 밝기이다. 핵폭발이 발생한 지역의 5km 밖에 있는 사람들이라고 할지라도 여기서 발생한 열기를 피할 수 없다. 고열에 피부가 타들어 가거나 최소 3도에서 4도 화상을 입게 된다. 앞서 설명한 모든 내용은 최초 핵폭발이 발생하고 난 뒤 12초에서 14초가 지난 후를 묘사한 것이다. 5km 밖에서도 최초 폭발지점으로부터 발생하는 열기와 충격파는 최소한 3초 이상 지속된다. 이 충격파로 인해 대부분의 건축물은 박살이 나고 고층건물도 대부분 부서진다. 8.5km 밖의 할렘(Harlem)을 비롯한 퀸스(Queens) 등의 지역들도 정오에 내리쬐는 사막의 태양보다도 600배 강한 폭발의 열기와 에너지로 인해 모든 것이 산산조각날 것이다. 폭발지점의 약 14.4km 밖, 뉴저지주의 이글우드(Eaglewood) 등에서 폭발을 지켜보았을 때, 폭발에서 발생하는 빛은 태양보다 약 100배 강한 빛이다. 이 폭발로 인해 맨해튼에는 생존자가 없을 것이다. 수십km 밖의 도시들도 몇 시간이 지나면 핵폭탄에서 방출되는 방사능으로 인해 서서히 피해를 보게 된다. |
“핵폭탄은 크든 작든 재앙” 강정민 핵무기 전문가
기자는 앞서 확인한 해킹팀의 “만약 800kt의 핵탄두가 (미국) 맨해튼 중심부에서 터진다면?”에 포함된 분석이 얼마나 신뢰할 수 있는 분석인지 확인해 보기로 했다. 이에 핵무기 전문가인 강정민 박사에게 연락을 취했다. 그는 카이스트(KAIST) 원자력 및 양자공학과 교수이자 미국의 환경싱크탱크인 Natural Resources Defense Council의 핵전문가이다. 다음은 강 박사와의 문답.
―이메일에 첨부된 분석 내용이 객관성이 있습니까. 정확한 분석인가요.
“비교적 정확합니다. 신뢰할 수 있는 편입니다. 추가로 제가 첨부한 자료를 참고하기 바랍니다.”
강 박사가 기자에게 보내온 자료는 미국 국방부에서 작성한 ‘핵무기의 효과(The Effect of Nuclear Weapon)’라는 제목의 보고서이다. 이 보고서는 200자 원고지 기준 총 660장 분량으로 핵폭탄이 투하되었을 때 나타나는 현상과 영향 등이 면밀히 분석돼 있었다.
과거 미국이 핵무기 실험을 진행하면서 축적한 자료 등이 대거 포함되어 있었으며, 내용은 핵폭발이 지상에서 일어날 경우, 공중에서 터졌을 경우, 지면에서 약간 높은 지점에서 터졌을 경우 등으로 나뉘어 있었다.
폭발 시 발생하는 물리적인 수치와 계산 공식 등도 담겨 있었다. 해당 자료와 이메일에 포함된 내용을 비교해 본 결과, 비교적 정확한 계산으로 산정된 자료였으며 신뢰도가 높은 내용임을 확인할 수 있었다.
―북핵의 경우도 분석보고서의 결과가 가능한가요.
“북한의 플루토늄 핵무기 또는 고농축 우라늄 핵무기의 폭발 성능은 잘해야 나가사키에 투하되었던 (소형) 핵무기의 성능 정도를 가질 겁니다. 즉 20kt의 폭발력을 의미합니다. 이메일에 첨부된 내용은 800kt으로 이렇게 막강한 폭발력은 수소를 사용한 핵무기의 경우에 가능한 것이며, 지금의 북핵 능력으로는 불가능합니다.”
―만약 서울 상공에서 북한 핵무기가 터진다면 어느 정도의 파괴력을 가집니까.
“북한이 보유한 20kt급 핵탄두의 영향력은 하나의 도시로 한정됩니다. 이것은 파괴력이 더 강한 800kt의 경우도 마찬가지입니다. 킬로톤이라는 폭발력은 중요한 것이 아닙니다. 폭발력이 크든 작든 터진 곳에 가해지는 피해는 동일하다는 점을 강조하고 싶습니다.”
―800kt이라는 수치가 정확하게 무엇을 의미하며, 히로시마 원자폭탄과 비교한다면?
“800kt이라는 수치는 80만t의 다이너마이트가 폭발했을 때 발생하는 폭발력을 의미하는 것입니다. 히로시마 원폭 또는 나가사키 원폭과 비교하면 40배 정도 더 강하다고 보면 됩니다.”
―왜 이런 내용을 사이버보안업체(해킹팀)가 예의주시했을까요.
“핵폭발이 발생하면 이로 인한 피해가 막대합니다. 컴퓨터 내 보안자료를 다 파괴하게 됩니다. 또 전산망 마비 등을 발생시킬 수 있기 때문에 예의주시한 것이라고 볼 수 있습니다.”
―북한의 SLBM 개발 추이와 핵무기 개발 추이를 연계해서 분석한다면 어떻습니까.
“SLBM의 개발 추이와 핵개발 추이를 연계시킬 이유는 없다고 봅니다.”
―핵무기에서 특별히 강조하고 싶은 내용이 있습니까.
“20kt이든 800kt이든 핵탄두의 폭발력은 큰 문제가 되지 않습니다. 단 1kt의 핵무기라고 해도 반경 0.8km 이내는 완전히 소멸해 버립니다. 그리고 폭발지점으로부터 수km에 달하는 지역은 치명적인 방사선, 화염폭풍, 방사능 낙진 등으로 피해를 면할 수 없습니다. 즉 그 규모에 관계없이 핵폭탄이 현대 도시 어디에서 폭발하든지 결과는 과거 히로시마와 나가사키의 경우보다 더 치명적인 재앙을 안겨주게 될 것입니다.”
왜 해킹팀은 북핵을 예의주시했나
기자는 해킹팀의 사장이 직원들에게 북한의 핵무기 개발 추이를 지켜보라는 내용의 이메일을 여러 차례 보낸 이유가 궁금해졌다. 강 박사는 핵 공격이 발생할 경우 전산망 마비와 보안자료의 소멸을 염려해 예의주시한 것으로 봤다. 기자는 앞서 인터뷰한 전직 해킹팀 직원 델타에게도 그 이유를 물었다. 델타는 다음과 같이 답변했다.
“해킹팀은 항상 안보적인 부분과 관련해 북한을 예의주시하고 있습니다. 사장의 의도를 정확히 알 수는 없지만 일단 중요한 안보 관련 소식은 종종 사내 직원들과 공유합니다.”
해킹팀이 왜 북핵 내용을 예의주시했는지는 델타의 말처럼 빈센제티 사장만이 정확한 이유를 알 것이다. 어쩌면 강 박사의 분석대로 핵폭발이 미치는 전산장애 등을 고려한 때문일지도 모른다. 또 여러 나라의 정보기관을 상대로 사업을 벌였던 해킹팀의 입장에서 안보와 직결된 뉴스는 세계 안보정세와 트렌드를 읽는 데에도 도움이 되었을 것이다.
이유가 어찌되었건 북한과 관계없는 해킹팀조차 북한 핵을 심각한 안보 위협으로 여겼다는 점만은 확실하다. 해킹팀의 태도는 북한을 마주하고 있는 한국의 분위기와는 사뭇 다르다. 한국 국민은 북한의 도발위협과 북핵 개발을 대수롭게 여기지 않는다.
양치기 소년의 한낱 거짓말로 치부하는 분위기마저 있다. 한국이 북한의 핵개발에 무감각해지는 사이 이역만리 떨어진 이탈리아의 보안업체가 받아들이는 북핵의 심각성은 잠들어 있던 한국의 안보의식을 다시 일깨우고 있다.⊙
