[특집]태블릿PC 속 의문의 ‘공유메일’

검찰의 포렌식 보고서 전문 입수… 암호화된 첨부파일에는 무엇이 들었나

‘태블릿PC 1년’ 기사를 쓴 직후, <주간경향>은 689쪽짜리 검찰의 태블릿PC 포렌식 보고서 전문을 입수했다. 지난 3주간 이 보고서에 대한 정밀분석 작업을 했다. 핵심은 태블릿 안에 남아있는 670건의 통화내역과 23건의 이메일, 58건의 G메일 계정과 49건의 카카오톡 메시지 등이다. 이 태블릿PC에는 010-4080-5783이라는 SK텔레콤 휴대폰 번호가 부여되어 있지만 실제 음성통화 기능은 없다. 따라서 통화내역 대부분은 휴대전화 문자메시지(SMS)와 이메일이다. 이에 대한 정밀분석은 태블릿PC를 입수한 JTBC는 물론 이제까지 누구도 주목하지 않은 작업이다.

<주간경향>의 지금까지 분석 결과로만 놓고 볼 때, 태블릿PC 사용자임을 주장하는 신혜원씨는 이 태블릿PC를 사용했기는커녕 목격했을 가능성도 0%에 가깝다. ‘흔적’은 이 태블릿PC가 여러 사람의 손을 탄 것이 아니라 극소수의 폐쇄적인 범위 안에 있는 사람들만이 접근할 수 있었던 것을 보여준다.

국가정보원의 특수활동비 수십억 원을 상납받은 혐의를 받는 안봉근 전 국정홍보비서관(왼쪽)과 이재만 전 총무비서관이 11월 2일 오후 구속영장 실질심사를 받기 위해 서초구 서울중앙지방법원으로 출석하고 있다. / 권도현 기자

“신혜원, 사용은 커녕 목격 가능성 0%”

예외는 있다. 검찰 태블릿 보고서의 날짜를 분·초 단위까지 타임라인 상으로 재배열해 보면, 2012년 6월 22일 12시5분51초에 김한수 당시 마레이컴퍼니 대표가 이 태블릿을 개통한 이래, 사흘 뒤인 6월 25일 오후 6시30분쯤 최순실씨 집 인근 중식당 JS가든에서 열린 것으로 추정되는 식사자리 전후로 여러 사람의 손을 탔다. 이날 이 태블릿으로 찍은 여러 사진들 중 최순실씨 사진은 2장이다.

가장 흥미를 끄는 것은 이 태블릿에서 사용된 두 메일이다. 각각 zixi9876@gmail.com과 greatpark1819@gmail.com이다. 구글계정에 남아있는 정보를 볼 때 greatpark1819 계정의 비밀번호가 변경된 것은 2012년 6월 19일로, 태블릿PC 개통 전이다. 이 태블릿PC 이전에 다른 기기에서 가입·운영되던 계정일 가능성이 높다. 메일에서는 어떤 내용이 오고 갔을까. 이런 형식의 메일 중 가장 많은 분량을 차지하는 것은 zixi9876 메일이다. <주간경향>의 집계 결과 총 490건이다.

‘zixi9876’의 ‘zixi’라는 이름에서 누군가의 지시사항을 주고받는 메일계정이라는 것을 알 수 있다. 수신자와 발신자가 모두 zixi9876@gmail.com으로 자기자신에게 메일을 쓰는 형식이다. 여러 사람이 비밀번호를 공유해 쓰는 일종의 사서함 개념으로 사용되던 메일이었다. 과거 <주간경향>의 취재에 따르면 구글 G메일을 이런 식으로 비밀리에 지시나 정보를 공유하는 방식으로 활용하는 것은 MB 청와대 때부터 애용해온 방식이다.

검찰 태블릿 보고서를 보면 메일을 통해 오고간 제목과 본문의 일부 내용이 수록되어 있다. 얼핏 봐서는 전혀 맥락 없는 내용들이다. 예를 들어 2013년 1월 16일 저녁 9시40분에 발송된 메일의 제목은 ‘손연재’이고, 내용은 “가수 고영욱(36)이 ‘체조 요정’ 손연재(18)와 소셜네트워크 서비스(SNS)를 통해…”와 같이 제목에 등장한 키워드가 등장하는 언론 보도문 중 일부분을 ctrl+C,V(카피앤 패이스트)한 내용으로 채워져 있다.

그런데 유심히 보면 이메일 제목 설정에서 법칙성이 드러난다. 위의 손연재 메일에서 약 3분 전 발송된 메일을 보면 ‘정… 담뱃갑 디자인’이라는 제목이 붙어 있다. 다른 메일 제목들에서도 비슷한 패턴을 발견할 수 있다. “안… 부동산”(13년 1월 3일), “재… 대설주의”(2012년 12월 28일) 등이다. 정은 정호성, 안은 안봉근, 재는 이재만을 말한다. 공유 이메일로 지시대상 내지는 수행결과가 드러나지 않으므로 구별 짓기 위한 것으로 보인다. 가장 많이 등장하는 표시는 ‘정’이다. 정호성 관련 업무로 보인다. 메일 중 ‘해님’이라는 표시가 달린 경우는 VIP, 다시 말해 박근혜 전 대통령과 관련된 일정으로 추정된다.

진짜 지시사항은 암호화되어 첨부되어 있는 파일에 들어 있었던 것으로 추정된다. 검찰 보고서에서는 이 암호화된 첨부파일에 대한 분석은 나오지 않는다. 다만 23건의 이메일 분석에서 이 암호 첨부파일이 ‘+oindexbody_messagekeyBody CREA’의 형식으로 시작되는 인스크립션이라는 것을 알 수 있다. 이들이 암호화해 주고받은 내용의 일단을 확인할 수 있는 것은 삭제되었다가 검찰 포렌식으로 복구된 일부 메일이다. 2013년 9월 12일 ‘오늘’이라는 제목으로 작성됐다가 삭제된 메일을 보면 앞부분은 정부서울청사에서 열린 경제관계장관회의에 대한 보도문이다. 그런데 중간에 맥락 없이 “-오늘 그동안 해외방문 일정 동안 진행했던 상황을 말씀드리겠습니다”로 시작되는 장문의 문구가 삽입되어 있다. 대통령 모두말씀 초안으로 추정되는 내용이 본문에 노출되는 사고(?) 때문에 삭제한 것으로 보인다.

김한수, 법정에서 최순실 관계 사실 안 밝혔다

인상적인 것은 greatpark1819 계정이다. 역시 운영방식은 위 zixi9876 메일과 동일한데, 검찰 보고서에서 정상수신된 1건의 제목은 2012년 7월 15일 오후 4시22분에 발송된 “선데이 저널… 내일 밤 다시 장맛비…”다. 본문은 장마 소식을 다루는 뉴스인데, 제목에서 언급된 미국 LA에서 발행되는 ‘선데이저널’의 해당 날짜 보도를 추적해 보면 “박근혜 대통령, 글쎄올씨다”라는 제목으로 최태민 관계 의혹 등을 다룬 칼럼과 박지만씨 부부의 LA 출국을 다룬 기사가 나온다. 다시 말해 네거티브 대응이 목적이다. 6월 29일 오전 11시35분의 “월간 중 앙 …” 제목의 기사에서 본문은 CF 모델 김혜영씨 관련 기사를 붙인 것이지만, 역시 그 달 발간된 <월간중앙>에서는 김영삼 전 대통령 아들 김현철씨의 인터뷰를 통해 ‘박 전 대통령 출산설’을 다루고 있다. 월간중앙은 이어 발간된 7월호에서 “김현철씨의 주장은 사실무근”이라며 정정보도문을 담았다.

‘지시사항’ 메일이라고 하지만 실제 이 태블릿을 통해 지시가 오간 흔적은 없다. 태블릿PC에서 zixi9876 메일에 ‘발신’이 이뤄지는 것은 총 3건에 불과하다. 2건의 ‘테스트메일’과 사용 초기인 12년 7월 8일 “회신:슬로… 대형마트-SSM, 일요일 영업확산”이라는 제목의 메일에서 “잘 받았어요 오케이 좋은 하루^^”라고 답한 것이 전부다. 실제 지시는 메일 형태가 아닌 전화 등을 통해 이뤄졌거나, 아니면 지시를 내리는 사람이 따로 있을 가능성이 높다.

<월간조선>은 최근 발매한 11월호에서 이 메일 사용자를 “이춘상 전 보좌관과 함께 사고로 사망한 당시 김우동 박근혜 후보 선거대책위원회 홍보팀장, 유현석 박근혜 후보 선거대책위원회 홍보팀장, 이재만 전 청와대 총무비서관, 정호성 전 청와대 제1부속비서관, 김휘종 전 청와대 행정관이라고 한다”고 썼지만 그 근거는 밝히지 않았다. 위에서 언급한 패턴 상으로는 김우동, 유현석, 김휘종 씨의 사용 여부는 확인되지 않는다.

박영수 특검팀의 이규철 특검보가 1월 11일 서울 대치동 특검 사무실에서 장시호씨가 제출한 최순실씨의 태블릿PC를 공개하고 있다. 이 태블릿PC는 JTBC가 삼성동 비덱스포츠에서 입수해 공개한 태블릿PC와는 다른 태블릿이다. / 김영민 기자

그런데 또 한 사람의 패턴이 확인된다. ‘한…’이라는 사람의 등장이다. 태블릿PC 연락처 등에 등장하는 한 팀장, 김한수씨와 관련한 지시일 가능성이 많다. 김한수 전 행정관은 zixi9876 메일을 사용하는 비선 이너서클의 일원이었을까.

현재 진행되고 있는 박근혜 국정농단 재판 공판기록을 보면 2012년 대선 당시, 그리고 그 이전에 김 전 행정관이 했던 역할에 대한 질문과 답변은 거의 없다. 재판에서 김 전 행정관은 최순실씨를 “‘병헌이모’로만 알고 있었다”고 답하고 있지만 이 답변은 사실이 아닐 가능성이 높다. 재판에서 거론되지 않은 대선 본선 이전, 김 전 행정관은 truekorea라는 사이트를 개설해 운영하고 있었다. 현재는 전부 삭제된 이 사이트는 박근혜 후보에 대한 네거티브, 예를 들어 앞서 언급한 것과 같이 ‘출산설’과 같은 네거티브 대응을 담고 있었다. 네거티브 대응을 담당한 그가 최순실을 몰랐을 가능성은 없다. ‘truekorea’ 사이트를 보다 보면 또 하나 눈에 띄는 것이 있다. ‘박근혜 후보’의 근접 사진을 찍은 이가 김휘종씨다. 그는 태블릿PC에도 실린 ‘저도의 추억’ 사진도 찍은 것으로 알려져 있다. 두 사람은 나란히 청와대 행정관으로 들어가 2016년 11월 국정농단사건 직전까지 근무했다. 이른바 ‘태블릿PC 조작설’ 측에서 김휘종씨를 배신자로 낙인찍은 뒤, 김휘종씨는 현재까지 잠적한 상태다.

GPS 데이터 공개되면 논란 불식될까

태블릿PC 논란 초기, 이 태블릿을 김한수씨의 회사 마레이컴퍼니에서 개설한 것으로 알려지면서 이 회사에 대한 의혹이 쏟아져나왔다. 공식적으론 이마트에 스케치북, 노트 등을 공급한 문구류 유통회사였지만 2012년 대선 당시 박근혜 후보 측의 피켓과 플래카드 등을 제작·공급한 캠프 외곽 회사로 알려졌다. 두 사람의 관계에 대해 앞서 2012년 당시 박근혜 대선캠프의 고위 인사는 “두 사람은 서로 소속된 조직이 달라서 두 사람의 관계나 다른 선거운동원과의 관계는 알 수 없었다”고 덧붙였다.

태블릿PC 보도 1주년이 되면서 JTBC 측은 고려대 정보보호대학원·한국디지털포렌식 학회와 공동으로 이른바 조작설에 대한 검증작업을 했다. 작업을 통해 그동안 조작설에서 내세우던 일부 의혹은 거의 해명됐다. 태블릿의 한컴뷰어앱에서 JTBC가 입수한 시간 9시간 전에 열어본 것으로 나오는 까닭은 한컴뷰어의 소스코드가 국제표준시간(GMT)으로 표시하도록 설정되어 있기 때문이었다. 이른바 드레스덴선언 파일이 _.hwp로 표시된 것은 다른 아래아한글과 달리 웹브라우저에서 해당 파일을 열어봤기 때문에 리네임된 것이었다. “그렇다고 하더라도 최종적으로 이 태블릿의 사용자가 누구라고 단정지을 수는 없다. 다만 기술적으로 오류에 기반해 주장된 내용을 검증할 수 있을 뿐이다. 지금으로서는 최순실씨이거나 최소한 최순실씨와 동선이 일치하는 누구라고 말할 수 있을 뿐이다.” 11월 2일 기자를 만난 이상진 고려대 정보보호대학원 교수의 말이다. 태블릿PC 바깥의 구체적인 사람들의 권력관계 규명은 포렌식의 영역을 넘어선다는 언급이다.

“조작설이 끊이지 않지만 확실하게 검증할 수 있는 방법이 없는 건 아니다. 태블릿PC에 들어 있는 파일의 GPS 데이터를 공개하는 것이다.” 포렌식 전문가 김인성 전 한양대 교수의 말이다. 검찰이 JTBC가 제출한 태블릿PC를 분석하는 데 쓴 프로그램은 ‘파이널모바일포렌식5(FinalMobile Forensics5)’이라는 프로그램이다. 이 프로그램엔 태블릿PC 안의 파일들, 예를 들어 해당 태블릿으로 찍은 사진에 부가되어 있는 GPS 정보에 대한 분석항목이 없다. 포렌식 보고서 이외에 JTBC 측이 복사해둔 태블릿 안의 실물파일들이 공개되면 교차검증을 할 수 있다. “조작설을 주장하는 사람들이 자료가 없어 주장하는 것은 아니지 않는가.” 지난해 JTBC 태블릿 보도에서 태블릿 검증팀장을 맡았던 손용석 팀장의 말이다. 설혹 파일들이 공개되어 GPS 데이터가 나오더라도 음모설을 주장하는 사람들은 또 다른 음모의 근거를 끌어낼 것이라는 주장이다. JTBC가 제출한 태블릿PC는 정호성 전 비서관 재판에서 증거자료로 채택되었다. 재판에서 정 전 비서관은 “해당 메일을 자신이 보낸 것은 사실”이라고 인정했다. 정 전 비서관이 거짓말을 한 것은 아니다. 하지만 다른 사람들, 이를테면 11월 3일 구속된 안봉근씨와 이재만씨는 이 비선그룹 내에서 어떤 역할을 했는지, 이들은 그동안 어떻게 잠적·도피를 할 수 있었는지 밝혀진 것은 없다. 아직 갈 길은 멀다.

<정용인 기자 inqbus@kyunghyang.com>