이탈리아 '해킹팀'의 RCS 해킹 프로그램을 추적해온 시티즌랩(Citizen Lab)의 연구원 빌 마크작(Bill Marczak)은 30일 "국정원은 해킹팀에 RCS 프로그램이 카카오톡을 감청할 수 있는지 물었으며 감청기능을 추가할 의향을 피력했다"고 밝혔다.
마크작은 이날 국회에서 이종걸 새정치연합 원내대표·사단법인 오픈넷 공동주최로 열린 토론회에서 화상통화를 통해 국정원의 △카톡 감청 요청 △삼성 갤럭시 스마트폰 사찰 가능성 △이통사실시간 감청기능 문의 등 국정원의 주장에 배치되는 다양한 사실을 폭로했다.
마크작은 "이탈리아 해킹팀의 이메일 송수신 내역에 따르면 해킹팀 직원이 한국에 출장와서 국정원 직원과 면담하며 카톡 감청을 문의했다"며 "다만 해킹팀에서 이후 실제 카톡 감청이 가능한 버전을 만들어 보급했는지는 알 수 없다"고 설명했다.
마트작은 또 국정원이 '국내 실험용'이라고 밝힌 스마트폰 'GT-N7100'이 실제로는 '실제 (해킹)타깃'일 수 있다고도 밝혔다.
그는 "해킹팀의 이메일을 보면 국정원은 해킹요청을 할 때 '실제타깃'과 '실험용'을 구분했는데 말씀하신 휴대폰은 '실제 타깃'이라고 보고됐다"며 "실제 국정원에서 이 폰으로 실제 해킹을 했는지는 추가적 조사가 필요하다"고 밝혔다.
마트작은 이어 "유출된 해킹팀 이메일을 보면 국정원에서 실시간 감청프로그램도 관심을 가졌던 것으로 보인다"며 "(스파이웨어를 심은 휴대폰에) 스카이프(Skype) 등을 통해 통화가 이뤄질 경우 실시간으로 들을 수 있는 기능도 있다. 구체적으로 SK텔레콤 등을 언급하며 이통사를 이용해 감청을 문의하는 내용도 담겨있다"고 밝혔다.
다만 그는 "국정원 등 고객사가 RCS 프로그램을 통해 취득한 정보는 독립된 시스템에서 보존되며 이탈리아 해킹팀이 접근할 권한은 없다"고 설명해, 우리측 정보의 유출 가능성은 낮게 평가했다.
국정원의 민간인 사찰 가능성을 묻는 질문에는 "주로 에티오피아나 모로코, 두바이에서 언론인이나 민간활동가 사찰에 RCS를 사용한 사례를 봐왔다"며 "RCS를 일단 구입한 뒤에는 외부의 감독이 약해져 구매 후 정부가 어떤 식으로든 사용할 가능성은 있다. 한국에서 민간인 사찰에 사용될 가능성은 알지 못하지만 감독체제가 필요하다"고 답했다.
마크작은 "시티즌랩 연구 결과 RCS를 구매한 주체는 대한민국 정부와 파키스탄, 에티오피아, 두바이, 우즈베키스탄, 아제르바이젠 등 21개국인데 상당수는 억압적 국가들"이라며 "한국은 시민사회 활동가들의 참여가 활발해 사회적 반향이 컸다고 본다"고 말했다.
이날 화상통화에 참여한 전자개척자재단(EFF)의 네이트 카르도조(Nate Cardozo) 연구원은 "미국은 해외정보수집 등 국외 정보활동에 대한 영장발부를 전담하는 비밀법원이 1970년대에 세워졌지만 스노든의 폭로에 따르면 99.97%는 영장을 승인해주는 형식적 역할만 하고 있다"며 "수사기관뿐 아니라 피감청 대상의 권익을 대변하는 변호인이 있어 쌍방의 얘기를 듣고 판단하도록 해야 한다"고 밝혔다.
이어 "국가에 의한 해킹은 어쩔 수 없이 계속 이뤄질 것"이라며 "RCS 사태와 같은 상황을 막기 위해 강력한 통제수단을 마련해야 하고 제재 제도가 마련되기 전에는 국가에 의한 해킹이 금지돼야 한다"고 강조했다.
[저작권자 @머니투데이, 무단전재 및 재배포 금지]