국정원 트윗 2200만 건 검찰이 찾아내기까지…

12월5일 원세훈 전 국정원장에 대한 공판에서는 검찰이 추가 공소 사실을 프레젠테이션했다.
검찰은 국정원 내부 조직을 추적하기 위해 지난한 과정을 거친 끝에 국정원 안보5팀 직원을 체포했고, 방대한 증거도 찾아냈다.

전혜원 기자(woni@sisain.co.kr)

‘국정원 선거 개입 사건’을 맡은 서울중앙지법 형사21부(이범균 부장판사)는 지난 11월28일 121만 건 트위터 혐의를 추가한 공소장 변경을 허락했다. 재판부는 12월2일 검찰에 추가 공소 사실에 대한 프레젠테이션을 요청했다. 그러나 원세훈·이종명·민병주 피고인 쪽 변호인들이 “검찰이 준비해온 프레젠테이션에 증거 능력이 부여되지 않은 자료가 포함되어 있다. 재판부의 심증 형성에 영향을 미칠 수 있다”라며 반발해 무산됐다. 12월5일에야 검찰은 준비한 프레젠테이션을 할 수 있었다. 이번 법정 중계는, 검찰의 프레젠테이션 내용에 집중했다.

새로운 수사 방법 모색

국정원 여직원이 임의 제출한 노트북 분석 과정에 트위터 글이 포함되었다. 국정원 심리전단 안보5팀이 트위터 활동을 전담한 사실을 알고 수사를 착수했지만 수사 과정에서 어려움이 많았다. 트위터는 서버가 해외에 있어서 가입자 정보를 입수하기가 어려웠다.

그러던 중, 비즈니스 마케팅이나 정치컨설팅 등에 활용하는 빅데이터 업체들이 트위터 계정과 트위터 글도 수집해서 관리하고 있다는 점에 주목했다. 빅데이터 업체들의 협조를 통해서 대선이 임박한 시기인 2012년 9월부터 12월까지 작성된 트위터 글 약 2800만 건을 제공받았다. 기존에 검찰 사이버범죄수사 모니터링에 의해 수집해왔던 트위터 글 약 570만 건을 합쳐 약 3300만 건으로 기초 데이터베이스를 구축했다. ‘원장님 지시강조 말씀’ 내용을 분석해 일반인들이 쓰는 트위터 계정과 구별되는 특징적 키워드를 추출했다. 그 키워드를 포함한 글을 다수 게시한 계정들을 추려나갔다. 같은 아이디로 여러 사이트에 회원 가입하는 경우가 많다는 점을 착안해, 포털 사이트에도 동일한 아이디로 가입한 국정원 직원이 있는지 확인했다. 또 국정원 심리전단 직원들의 통화 내역을 분석해서 국정원 심리전단 안보5팀이 누구인지 특정해 나가는 작업도 병행했다.

국정원 심리전단 안보5팀 직원 추적 경위

김하영 직원이 속한 안보3팀 5파트 직원들을 중심으로 통화 내역을 정밀 분석했다. 통화 상대방의 휴대전화 개설자 명의가 국정원 위장업체(○○문화사, ○○연구소)이면 그 휴대전화 통화 내역도 영장을 받아 다시 추적했다. 그런 식으로 숫자를 늘려, 검찰의 통화 내역 분석 프로그램으로 내부조직도를 그려나갔다. 통화 빈도, 기지국 위치, 통화 내역, 휴대전화번호뿐 아니라 인터넷 포털사에 회원 가입한 정보 등 각종 정보를 취합해 인적 사항을 특정했다. 이렇게 국정원이 비공개라며 협조하지 않는 내부 조직을 추적한 수사는, 정말로 방대한 작업이었고, 매우 오랜 기간 어렵고 지난한 과정을 거쳤다. 마침내 지난 10월 트위터를 전담한 안보5팀 소속으로 추정되는 직원 14명을 찾아낼 수 있었다. 그래서 이 14명의 이메일에 대해 압수수색 영장을 청구해서 발부받았다.

압수한 이메일 가운데 발신자와 수신자가 동일한, 즉 나에게 쓴 메일에서 중요한 단서가 나왔다. 나에게 쓴 메일이란 사무실 밖에서 외근 활동을 하는 직원들이 업무에 필요한 내용을 보관하는 방식이다. ‘트위터 운용’이라는 제목의 첨부파일에는 트위터 계정 만드는 법과 같은 기초적인 방법부터 팔로어 숫자를 늘리는 방법까지 자세히 설명되어 있었다. 다른 첨부파일에는 트위터 사의 제재 조치로 사용 정지된 트위터 계정을 살리는 방법이나 유료로 팔로어를 쉽게 늘리고 다수의 계정을 사용할 수 있게 하는 서비스 등이 기재되어 있었다. 또 다른 국정원 직원의 메일에는, ‘트위터 계정입니다’라는 제목으로 아이디와 비밀번호까지 기재한 다수의 트위터 계정을 첨부파일로 붙여서 민간인 협조자로 추정되는 외부인에게 보낸 것도 있었다. 이 글에는 두 개 팀으로 운영하고 계정을 조장과 팀원들에게 할당하라고 활동지침을 주는 내용까지 기재되어 있었다.

가장 중요한 단서인 ‘시큐리티 텍스트 파일’이라는 첨부파일도 압수했는데, 여기에는 국정원 업무에 사용한 것으로 추정되는 트위터 아이디와 비밀번호 목록이 기재되어 있었다. 국정원 심리전단 안보5팀 직원 이름 중에 앞 두 글자를 기재하고 그 옆에 계정 비밀번호를 매칭해 계정 사용자를 표시해둔 문건이었다. 이메일 압수를 통해 안보사업 5팀의 팀장을 포함한 총 24명 전체 명단을 확인할 수 있었다. 이런 증거를 소명자료로 해서 주요 피의자 4명에 대한 체포영장을 발부받았고 그중 3명에 대해 체포영장을 집행했다(10월17일 윤석열 특별수사팀장이 총대를 메고 체포영장을 전격 집행했다).

체포된 5팀원 2명이 변호사 참여하에 검찰 조사를 받으면서도 안보사업 5팀의 조직과 트위터 업무, 사용한 계정 등에 대해 상세히 진술했다. 3300만 건 트위터 글로 구축된 데이터베이스에서 압수한 국정원 직원 이메일을 통해 총 414개의 국정원 트위터팀 계정을 확인했다. 그 계정으로 작성된 트위터 글 24만여 건을 최초 구축한 데이터베이스에서 찾아냈고 이 가운데 5만5689건의 정치·선거 글을 분류해 1차 공소장 변경을 신청했다. 414개 계정 중에 364개 계정이 그룹으로 활동했음을 확인했다. 또 압수된 이메일 내용과 진술로 조직적인 트위터 활동이 인정되는 계정이 19개였다. 364개 계정과 19개를 합쳐 383개를 1차 계정으로 특정했다(414개 가운데 나머지 31개는 입증하는 데 절차와 시간이 필요해서 신속한 재판을 위해 검찰이 제외했다). 383개 계정과 연계해 활동한 2270개 국정원 계정을 2차 계정으로 추가 발견했다. 2270개의 트위터 계정으로 작성된 글이 총 2200만 건이었다.

121만 건 특정 경위

자동 프로그램 없이 같은 글을 초 단위 시간까지 똑같이 동시에 리트윗하는 것은 불가능하다. 1차 계정 383개 명의로 작성된 트위터 글 가운데 선거·정치 글 12만여 건을 일일이 분류했다. 1차 계정과 동시에 트윗-리트윗한 2차 계정 2270개로 작성된 트위터 글은 전체가 약 2200만 건에 육박했는데, 제한된 인력과 공판 인력상 전수조사는 현실적으로 불가능했다. 그래서 선택과 집중 원칙을 택해, 1차 계정이 쓴 선거·정치 글 12만여 건과 내용이 완전히 동일한 트위터 글만 뽑았다. 그렇게 해보니 약 109만 건의 선거·정치 글이 추출되었다. 이 109만여 건은 1차 계정 분류 시에 선거·정치 글로 명확히 분류한 글과 동일한, 똑같은 글만 포함되었다.

국정원 직원의 트위터 공략 방법

첨부파일 중에서는 대선을 앞두고 해시태그를 활용해 트위터 이용자에게 대화를 유도하라는 것도 있었다. # 다음에 단어를 넣는 해시태그를 사용하면 파란색 링크가 생기게 되고 링크를 클릭하면 동일한 종류의 글을 검색할 수 있다. 그러니까 여론 조작을 하는 데 큰 도움이 된다. 국정원 직원의 첨부파일 내용 중에 2012년 10월10일자 논지라는 글에서는 ‘우파 글 확산’이라는 내용이 있다. 이들이 전파의 대상으로 삼는 보수 논객 트위터 계정까지 기재돼 있었다.

국정원 직원들은 변희재, 윤정훈 목사 등 유명 우파 논객 글을 다수 리트윗하기도 했다. 팔로우KR(http://followkr.com, 한글 사용자들의 급상승 RT, 오늘 RT 랭킹, 인기 해시태그 등을 보여주는 사이트) 등에 자신들의 트위터 내용을 상위에 올리는 것을 중요하게 봤다. 실시간 이슈가 되는 트위터 글을 소개하는 서비스에서 인기글로 게시되면 집중 관심을 받는다. 인터넷 커뮤니티 사이트에서 베스트 글에 올라가는 것과 똑같다(안보3팀 5파트 직원들도 ‘오늘의 유머’ 등에서 추천·반대를 클릭해 베스트 게시판을 조작하기도 했다). 즉, 국정원 심리전단 트위터팀은 자동전송 프로그램을 이용해 트위터상에서 금지하는 대량 리트윗을 전파함으로써 인기글, 관심글로 여론의 흐름을 주도했다.