[되짚어본 특검 60일②] 드루킹은 어떻게 댓글 여론을 조작했나

[천지일보=홍수영 기자] ‘드루킹 댓글 여론조작’ 사건을 수사하던 허익범 특별검사팀(특검팀) 60일 대장정의 가장 큰 성과는 ‘드루킹’ 김동원(49, 구속)씨 일당이 왜 댓글을 조작하는 범행을 저질렀고, 어떤 방식으로 댓글을 조작했는지 규명한 것이다.

지난 27일 특검팀은 이 사건의 수사 결과를 발표했다. 특검팀에 따르면, 드루킹 일당은 댓글 자동조작 프로그램 ‘킹크랩’을 개발·운용해 지난 2016년 12월경부터 올해 3월경까지 약 1억건의 댓글을 조작했다.

킹크랩의 개발 경위를 들여다보면, 드루킹은 2000년대 초반부터 ‘드루킹의 자료창고’라는 진보 성향의 블로그를 운영하면서 파워블로거로 주목 받았다. 이후 2009년과 2010년 연속 ‘시사·인문·경제 파워블로그’에 선정됐다. 누적 블로그 방문자 수는 올해 3월 기준 980만명에 이른다.

드루킹은 기세를 몰아 2009년 1월경 인터넷 포털사이트 네이버에 ‘경제적공진화모임(경공모)’이라는 이름의 인터넷 카페를 개설했다. 2014년 11월경엔 경기도 파주시에 경공모 사무실을 개설했다. 이듬해엔 제도·도매 회사인 ‘느릅나무’, 그 쇼핑몰인 ‘플로랄맘’, 출판사인 ‘느릅나무 출판사’를 설립했다. 올해 3월경까지 경공모 회원은 약 5000명에 달했다.

◆드루킹, 2007년경 댓글 조작 기계 소문 접해… 2016년 11월 ‘킹크랩’ 초기버전 구현

그러던 중 2016년 여름 드루킹은 한 정당 선거관계자로부터 2007년 대선 당시 댓글작성기계 200대를 구입해 운영해 효과를 많이 봤고, 2017년 대선에도 사용할 것이라는 이야기를 들었다.

이에 드루킹은 댓글기계의 필요성을 느껴 당시 더불어민주당 국회의원이던 김경수 경남도지사에게 이를 설명했다는 것이 특검팀 판단이다. 특검팀은 드루킹이 이후 킹크랩의 프로토타입(초기버전)을 제작해 김 지사에게 보여주고 허락을 받아 계속 개발하게 됐다고 봤다.

드루킹의 지시를 받은 경공모 회원 ‘둘리’ 우모씨와 ‘트렐로’ 강모씨가 2016년 11월경 킹크랩 프로토타입을 구현했으며, 특검팀은 그 해 다음 달부터 이를 이용한 실제 댓글순위 조작 작업을 시작한 것으로 확인했다.

킹크랩은 크게 명령을 내리고 정보를 전달하는 관리서버와 관리서버에서 명령과 아이디, 비밀번호, 대상 기사와 댓글 등의 정보를 내려 받아 실제 댓글순위 조작 작업을 수행하는 기기(잠수함)로 구성된다.

잠수함에서는 포털의 매크로 방지 정책을 회피하기 위해 해당 컴퓨터의 주소(IP)를 지속적으로 변경하고, 동일 접속 여부를 판별하기 위해 부여하는 쿠키값을 초기화했다.

또 웹 브라우저의 UA(User Agent, 사용자를 대신해 일을 수행하는 소프트웨어 에이전트 또는 그 문자열) 정보를 임의로 변경해 할당된 아이디들로 자동 로그인한 후, 대상 기사의 댓글들에 대한 공감·비공감이나 추천·반대 클릭을 기계적으로 수행했다.

◆‘킹크랩1’ 휴대전화 이용해 댓글 작업… ‘킹크랩2’ 아마존 서버 이용

킹크랩은 1차 버전과 2차 버전으로 나뉜다. ‘킹크랩1’은 200여대의 휴대전화를 잠수함으로 활용해 휴대전화의 비행기 모드를 껐다 키며 IP를 변경하고, 쿠키를 삭제하고 임의의 UA정보를 설정하는 방법으로 동작했다.

‘킹크랩2’는 휴대전화 대신 아마존 웹 서비스(AWS) 서버의 각 리전(Region, 서버 소재지)별로 10대씩 총 100대의 서버 객체(인스턴스)를 잠수함으로 이용했다.

이를 통해 킹크랩2는 ▲AWS서버 인스턴스 동작 정지·시작을 통해 IP를 변경 ▲웹 브라우저 크롬의 시크릿 모드를 통해 쿠키값을 초기화 ▲크롬 확장 프로그램 ‘User Agent Swicher’를 이용해 UA정보를 임의로 설정하는 방법 등으로 동작했다.

킹크랩2는 킹크랩1에 비해 네트워크 오류로 인한 동작 실패 가능성이 작고, 관리서버는 물론 잠수함까지도 모두 해외 서버에 설치돼 수사기관의 압수수색 위험에서 비교적 안전하다는 장점이 있다.

◆경공모 회원 노트북에서 킹크랩 정보 확보… 포털 3사 압수수색해 로그 분석

특검팀이 킹크랩의 실체를 규명할 수 있었던 키포인트는 트렐로의 노트북이었다. 특검팀은 경찰에서 압수했으나 암호 해제에 실패해 정보를 획득하지 못했던 트렐로의 노트북 암호를 해독하는데 성공했다. 특검팀은 그 안에 저장된 킹크랩 관리서버의 메뉴 구성 및 동작, 소스코드 등을 확보·분석해 킹크랩의 기능을 확인했다.

아울러 특검팀은 수사과정에서 네이버·다음·네이트 3개 포털사를 압수수색하고 각 사이트의 로그 데이터를 분석해 각 사이트 별 댓글 조작 내역을 특정했다.

이러한 수사 결과 드루킹 일당은 2016년 12월경부터 올해 3월경까지 포털 3사 아이디 총 3027개를 동원, 8만 1623개 기사 141만 643건의 댓글에 총 9971만 1788회의 공감·비공감을 부정 클릭한 것으로 드러났다.

이들 범행의 대부분을 차지하는 네이버 관련 뉴스기사 내역을 살펴보면 제19대 대선을 앞두고 폭발적으로 증가한 것을 볼 수 있다.

킹크랩 개발 초기인 2017년 1월에는 1만 4000여회에 불과한 클릭수가 박근혜 전 대통령이 탄핵된 3월엔 약 74만회, 대선 정국이 펼쳐진 4월과 5월엔 각각 760만회, 740만회의 클릭수를 기록했다. 특검팀은 이를 근거로 이들이 선거에 영향을 끼치려했다고 판단했다.

◆올 1월 평창 동계올림픽 앞두고 무려 약 2200만건의 댓글 조작 벌여

다른 주목할 점은 제19대 대선일을 전후로 범행 내역을 구분하면 대선일 이후에 더 많은 댓글 조작을 시행했다는 부분이다. 대선 이전엔 공감 1105만 2633회, 비공감 160만 1353회, 총 1265만 3986회의 클릭을 했다. 대선 이후엔 공감 6307만 1343회, 비공감 1260만 8241회, 총 8698만 9700회의 클릭 수를 기록했다.

특히 평창 동계올림픽을 앞둔 올해 1월엔 무려 2265만 9752회의 클릭이 이뤄졌다. 조작이 이뤄진 댓글의 많은 수가 현 정부를 비판하는 내용이었다. 이를 볼 때 드루킹 일당은 오사카 총영사 청탁 문제로 김 지사와 사이가 틀어진 이후론 현 정부를 비난하는 댓글을 다는 일에도 많은 힘을 쏟은 것으로 볼 수 있다.

1월의 엄청난 조작 숫자는 당시 민주당이 정식으로 댓글 조작에 대한 수사의뢰를 하게 된 계기이기도 했다. 이후 경찰의 수사로 3월 25일 드루킹 일당이 잡혔고, 4월 13일 이 사실이 보도되고 동시에 여권의 핵심 인사가 연루됐다는 의혹이 제기되면서 ‘드루킹 댓글 여론조작’ 사건은 정국을 뒤흔들 사태로 커지게 됐다.