해외서 원격조종 ‘사이버·글로벌 간첩단’ 진화 [정충신의 밀리터리 카페]

클릭하시면 더 큰이미지를 보실 수 있습니다 요즘 간첩단은 북한과 교신 시 음어 사용, 사이버 드보크, 스태가노그래피 등을 사용하는 등 ‘사이버 간첩’으로 진화했다. 북한이 해킹하는 장면. 연합뉴스

■ 정충신의 밀리터리·카페

‘ㅎㄱㅎ’ · ‘자통’ · ‘민노총 연루 지하조직’ 4가지 공통점
文정부 세 급속 불려·문화교류국 공작원들 경쟁적 포섭
사이버 드보크 교신 사이버화·해외 공작활동 글로벌화


지난해 말과 올해초 압수수색 등을 통해 언론에 보도된 ,국가보안법 위반간첩단 사건인 제주간첩단 ‘ㅎㄱㅎ’, 경남 창원이 거점인 전국 규모 지하조직 ‘자주통일 민중전위(자통)’, 민주노총 전·현직 간부들이 연루된 전국 규모 ‘노동계 침투 지하조직’ 등을 분석하면 네 가지 공통점이 나타난다.

우선 이들 지하조직이 문재인 정부 시절 급속히 세를 불렸으며, 조선노동당 대남공작조직 문화교류국 공작원들이 해외에서 경쟁적으로 남한 노동계·시민단체·정당 등 인사들의 포섭활동을 벌였다는 점이다. 세 번째는 교신시 음어 사용, 사이버 드보크(Cyber Devoke· 온라인상 무인매설함)등을 사용하는 등 ‘사이버 간첩’으로 진화했다는 점이다. 네 번째는 간첩 직접 침투가 아닌 해외 조직망을 활용하는 등 ‘글로벌 간첩’으로 진화했다.

클릭하시면 더 큰이미지를 보실 수 있습니다

첫 번째는 문재인 정부 시절 출범 전후 사회 혼란기인 2016∼2017년쯤 결성돼 급속히 세를 키웠다. 방첩당국은 관련 사실을 인지하고도 압수수색 등 본격적 수사를 진행하지 못하고 내사만 해왔다는 점이다.

특히 문재인 정부 기간 국가정보원은 물론 군·검찰·경찰의 대북 첩보 수집과 수사 기능이 크게 약화된 결과 2011∼2016년 26건이었던 간첩 적발 건수는 문 정부 시절인 2017∼2020년에는 3건에 불과했다. 2021년 8월 북한 지령을 받고 대통령 선거는 물론 총선거에 개입해오던 청주간첩단(자주통일 충북동지회)을 수사했지만 그나마 축소수사 논란이 일었다.

‘ㅎㄱㅎ’은 총책 강모 씨가 2017년 7월29일 캄보디아 앙코르와트에서 문화교류국 소속 대남공작원 김명성을 접선하고 귀국 후 북한과 수차례 교신 끝에 2022년 9월24일 산하 노동 부분 지하조직 한길회를 결성한 것으로 알려져 있다.

‘ㅎㄱㅎ’은 노동부문(한길회) 외에 농업부문, 진보정당 및 여성부문으로 편재된다. 노동부문은 박모 책임지도성원 아래 2명의 지도성원을, 농업부문은 고모 책임 아래 3명의 지도성원을, 진보정당 부문에는 총책 강모가 직접 책임지도를 맡아 7명을 배치했다. 또 여성부문에는 2명의 지도성원을 배치했다. 제주간첩단은 확인된 것만 17명 규모이나, 이들 지도성원들이 다시 포섭한 하위 조직원들을 포함하면 그 수는 훨씬 많을 것으로 보인다.‘자통’과 ‘노동계 침투 지하조직’ 역시 문재인 정부 기간 전국조직 지하망으로 세를 급속히 불렸다.

두 번째 공통점은 지령문을 보내거나 간첩단을 포섭·조직한 주체가 대남공작 조직 중 정찰총국이 아니라 조선노동당 직속 대남공작 조직인 북한 문화교류국이란 점이다. 문화교류국 내 서로 다른 부처가 해외에서 경쟁적으로 국내 지하조직을 결성한 점이 두드러진다.

북한은 문화교류국 외에 또다른 대남공작조직인 정찰총국, 비밀경찰인 국가보위성까지 나서 노동단체, 정당, 시민단체 인사들을 포섭대상으로 삼고 있다. 최근 적발된 창원 ‘자통’을 거점으로 한 제주 ‘ㅎㄱㅎ’ 등 전국조직 간첩망은 문화교류국 소속 공작원 김명성 등이 관리한 것으로 알려졌다.

민노총 침투 지하조직은 북한 부부장(차관보)급인 ‘리광진 공작조’가 결성했다. ‘리광진 공작조’는 배성룡·김일진·전지선과 이름이 특정되지 않은 ‘40대 공작원’ 등 5명으로 구성됐다. 김명성과 같은 문화교류국 소속이지만 관할 부처가 다른 것으로 알려졌다.

문화교류국은 북한 정권 수립 초기부터 대외연락부, 사회문화부, 225국 등으로 이름을 바꿔가며 간첩 남파 등의 임무를 수행해왔다. 1992년 남한조선노동당 중부지역당, 1994년 구국전위, 1999년 민족민주혁명당, 2006년 일심회, 2011년 왕재산 등 각종 간첩 사건을 주도했다.

세 번째 공통점은 ‘ㅎㄱㅎ’‘자통’등 조직들이 하나같이 북한의 지령을 주고받는 등 교신 때 사이버 드보크, 암호프로그램 등 등을 이용하는 등 ‘사이버 조직’으로 진화했다는 점이다. 조직 비밀성을 유지하기 위해 조직명칭도 교신 시 음어를 사용했다는 점이다.

특히 제주간첩단은 조직 보안을 위해 접선 시 차단된 아지트 이용, 휴대전화 전원 오프(Off) 및 음어 사용을 일상화했다. 또 북한과의 교신 시 클라우드와 이메일 등을 이용한 사이버 드보크를 활용했고, 첨단암호화 방식인 스태가노그래피(Steganography)를 사용하기도 했다.

북한에 의해 국내에 직파된 간첩 및 장기간 암약하는 고정간첩들은 과거와 같이 무전기를 통한 대북보고나 무인매설함에 의존하지 않고도, 진일보한 방법으로 인터넷을 통해 간단하게 대북보고나 지령을 하달받는 것으로 확인됐다.

클릭하시면 더 큰이미지를 보실 수 있습니다 국가정보원과 경찰이 지난 18일 서울 중구 정동 민주노총 본부 사무실에 대한 압수수색을 벌이고 있는 과정에서 대규모 경찰인력을 건물 주변에 배치하고 있다. 박윤슬 기자

북한의 대남공작부서는 ‘사이버 드보크’라는 신종 연락수단을 개발해 사이버상 도처에 드보크를 설치해 간첩통신수단으로 활용하고 있다. 예를 들면 북한 상부선과 국내 간첩이 외국계 이메일 계정을 개설해 아이디와 패스워드를 공유하면서 음어화된 보고내용과 지령내용을 올려놓고 교신하는 방식이다. 또 다른 유형은 국내 간첩이 수집한 자료를 상호 약정된 수십 개의 특정 웹사이트 내 자유게시판 등에 업로드해 놓고 교신하는 방법이다. 이는 페이스북 등 소셜미디어(SNS) 계정을 통해서도 활용할 수 있는 방식이다. 2010년 적발된 간첩 한춘길사건과 연방통추 강순정사건에서 본격적으로 사이버 드보크가 등장한 바 있다.

또한 북한은 간첩교신 수단으로 첨단 스테가노그래피방식을 활용하고 있다. 스테가노그래피란 비밀메시지를 이미지, 오디오, 비디오 또는 텍스트 등 ‘커버’라 불리는 다른 미디어에 숨겨서 전송하는 첨단 과학 기법이다. 이 방식은 메시지를 숨기는 것은 물론 메시지 전송 여부를 알지 못하게 하는 데 목적이 있다. 이 방식은 2001년 알카에다가 9·11테러 공격의 준비와 실행에 사용한 것으로 알려져 있는데, 2011년 왕재산간첩단 사건과 2021년 청주간첩단 사건에서도 발견됐다.

마지막으로 북한의 스파이 작전도 글로벌화 됐기 때문에 ‘북에서 바로 들어오는 간첩을 앉아서 잡는’ 시대는 갔다는 평가가 나온다. 따라서 앞으로 간첩 조직을 잡기 위해서는 다른 나라 정보기관과 ‘정보 교환’이 필수적이라는 얘기가 나온다.

유동열 자유민주연구원장은 북한의 대남 공작 조직 활동 구조의 변천을 네 단계로 구분하고 있다. 첫째 먼저 분단 후 남한에 자생하는 간첩 조직을 활용하는 것. 두 번째는 북한 간첩이 남한에 내려와 요인을 만나고 포섭하는 방식. 셋째 2010년대 들어서는 해외에 거점을 둔 북한 간첩조직이 남한 인사들을 해외로 불러 포섭하고 지령을 내리는 방식으로 ‘글로벌화’ 했다는 것이다.

이번 간첩단 사건은 세 번째에 해당한다. 중국과 동남아(베트남, 캄보디아) 에서 활동하는 문화교류국 공작원들이 남한 인사들을 불러내 충성맹세를 하게 하고, 공작금을 지급하는 등 글로벌화한 공통점이 발견된다는 것이 첩보당국의 분석이다.

정충신 선임기자