제2의 3.20 사이버테러 노리나
일본 IP사용 언론사에 메일 뿌려
정보수집 기자심리 악용 가능성
일본 IP사용 언론사에 메일 뿌려
정보수집 기자심리 악용 가능성
한국수력원자력의 내부 자료가 또 다시 온라인에 유포됐다. 특히 유포 사실을 앞다퉈 보도하는 기자들의 심리를 악용, 언론사 기자들에게 악성코드가 숨겨진 첨부파일을 보내, 제 2의 3.20 사이버테러를 계획한 것이 아니냐는 의심도 사고 있다.
원전반대그룹이라 자신을 밝힌 유포자는 13일 오전 사회관계망(SNS) 서비스인 트위터를 통해 한수원에 대한 협박문을 게재함과 동시에 온라인 저장소 드롭박스에 한수원 관련 자료를 다수 게재했다. 한수원은 지난 7월 8일 내부 자료유포 당시 '지난해 12월 이후 추가 유출된 정황이 없다'는 입장자료를 배포하며 강력히 부인했으나 유포자가 공개한 자료에는 5월에 작성된 것으로 보이는 한빛발전소 관련 최신 조직도와 내부 자료가 포함되는 등 12월 이후 문서가 포함돼 있는 것으로 나타났다.
한수원 내부 자료는 2014년 12월 유포 사실이 알려진 후 5~6차례 자료 유포됐다. 하지만 유포자나 협박범의 신상은 밝히지 못했고 배후가 북한이라는 검찰의 발표만 있었다.
이번에 한수원 자료를 재차 유포한 범인은 협박문을 게재한 트위터 계정을 기존에 사용하던 '존(Jhon)'이 아닌, 'nnppkrb(원전반대그룹)'라는 계정으로 사용했다. 트위터에는 원전반대그룹, 원전반대B그룹, 원전반대그룹 회장이라 밝힌 '미핵(Mihacp)' 등 세 주체가 등장해 각각 협박문을 게재했으나 동일인으로 보인다는 것이 전문가의 분석이다.
한수원이 7월 8일 당시 유포된 자료에 대해 '기 유출된 자료이며 중요한 문서가 아니다'라고 해명한 데 대해서도 "정말 중요한지 아닌지 직접 판단해 보라"며 요구하는 금전을 내놓지 않을 경우 다른 국가에 자료를 팔아넘기겠다는 협박도 덧붙였다. 특히 지난해 12월 이후로 자료 유출이 없었다는 한수원 해명과 다르게 유포자가 올린 파일 중에는 5월 버전의 조직도 등이 포함돼 있었다. 이 유포자는 "이미 소기의 목적을 달성할 수 있는 길이 열렸다"면서 "이번에 생각지도 못하게 여러 나라와 그룹들에서 거래요청이 들어왔다. 만일 우리가 입수한 자료가 중요하다는 것을 인정하지 않으면 한국의 적대국이나 경쟁국들에서 요구하는 값으로 팔아버리겠다"고 협박했다. 그는 한수원 내부 자료로 4만4410건 10.5GB와 31만3750건 65.7GB 등 총 35만여 건을 확보했다고 주장했다.
언론사를 이용한 심리전 정황도 포착됐다. 유포자와 동일 그룹으로 추정되는 한 인물은 'nnppkrb9798'이라는 다음(daum.net)계정을 이용, 오전 9시 06분 동시다발적으로 '[특종]원전반대그룹 추가자료공개'라는 메일을 보냈다. 지난해 12월 8일 한수원 내부자료 유출 사실을 언론사 몇 곳에 보내 스스로 유포 사실을 알린 것과 동일한 행보다.
특히 이 인물은 오전 9시 27분에 [특종]이라는 동일 제목을 단 메일을 똑같이 뿌렸는데, 메일에 포함된 첨부파일 중에는 악성코드가 백도어 형식으로 포함돼 있어, 기사 작성을 위해 첨부파일을 내려받은 상당수 기자들이 악성코드에 감염됐을 것으로 추정된다. 보안 전문가를 통해 추적한 결과 최종 접속 IP 주소는 일본인 것으로 나타났다.
보안전문가는 "일본 서버를 해킹한 것인지, 우회한 것인지는 확실치 않으나 일본 IP를 사용해 언론사에 메일을 뿌렸다"면서 "특히 첨부파일이 포함된 메일의 경우 악성코드가 숨겨진 파일이 있어 지난 2013년 3.20 사이버테러와 같은 대단위 언론사 테러가 우려된다"고 경고했다.
3.20 사이버테러는 지능형지속위협(APT) 방식으로 언론사 기자들을 겨냥한 악성코드를 유포한 뒤, 동시다발적으로 언론사 시스템을 파괴, 마비시키고 금융망을 공격한 테러행위다. 보안전문가는 "이번 해커의 소행은 한수원이라는 표면적 공격을 앞세워 배후에서 또 다른 공격을 진행했을 가능성이 매우 높다"면서 "12월 한수원 사태 이후로 관련 메일이나 정보를 적극 수집하는 기자들의 심리를 악용해 악성코드를 유포했을 가능성도 배제할 수 없다"고 경고했다.
강은성기자 esther@dt.co.kr
원전반대그룹이라 자신을 밝힌 유포자는 13일 오전 사회관계망(SNS) 서비스인 트위터를 통해 한수원에 대한 협박문을 게재함과 동시에 온라인 저장소 드롭박스에 한수원 관련 자료를 다수 게재했다. 한수원은 지난 7월 8일 내부 자료유포 당시 '지난해 12월 이후 추가 유출된 정황이 없다'는 입장자료를 배포하며 강력히 부인했으나 유포자가 공개한 자료에는 5월에 작성된 것으로 보이는 한빛발전소 관련 최신 조직도와 내부 자료가 포함되는 등 12월 이후 문서가 포함돼 있는 것으로 나타났다.
한수원 내부 자료는 2014년 12월 유포 사실이 알려진 후 5~6차례 자료 유포됐다. 하지만 유포자나 협박범의 신상은 밝히지 못했고 배후가 북한이라는 검찰의 발표만 있었다.
이번에 한수원 자료를 재차 유포한 범인은 협박문을 게재한 트위터 계정을 기존에 사용하던 '존(Jhon)'이 아닌, 'nnppkrb(원전반대그룹)'라는 계정으로 사용했다. 트위터에는 원전반대그룹, 원전반대B그룹, 원전반대그룹 회장이라 밝힌 '미핵(Mihacp)' 등 세 주체가 등장해 각각 협박문을 게재했으나 동일인으로 보인다는 것이 전문가의 분석이다.
한수원이 7월 8일 당시 유포된 자료에 대해 '기 유출된 자료이며 중요한 문서가 아니다'라고 해명한 데 대해서도 "정말 중요한지 아닌지 직접 판단해 보라"며 요구하는 금전을 내놓지 않을 경우 다른 국가에 자료를 팔아넘기겠다는 협박도 덧붙였다. 특히 지난해 12월 이후로 자료 유출이 없었다는 한수원 해명과 다르게 유포자가 올린 파일 중에는 5월 버전의 조직도 등이 포함돼 있었다. 이 유포자는 "이미 소기의 목적을 달성할 수 있는 길이 열렸다"면서 "이번에 생각지도 못하게 여러 나라와 그룹들에서 거래요청이 들어왔다. 만일 우리가 입수한 자료가 중요하다는 것을 인정하지 않으면 한국의 적대국이나 경쟁국들에서 요구하는 값으로 팔아버리겠다"고 협박했다. 그는 한수원 내부 자료로 4만4410건 10.5GB와 31만3750건 65.7GB 등 총 35만여 건을 확보했다고 주장했다.
언론사를 이용한 심리전 정황도 포착됐다. 유포자와 동일 그룹으로 추정되는 한 인물은 'nnppkrb9798'이라는 다음(daum.net)계정을 이용, 오전 9시 06분 동시다발적으로 '[특종]원전반대그룹 추가자료공개'라는 메일을 보냈다. 지난해 12월 8일 한수원 내부자료 유출 사실을 언론사 몇 곳에 보내 스스로 유포 사실을 알린 것과 동일한 행보다.
특히 이 인물은 오전 9시 27분에 [특종]이라는 동일 제목을 단 메일을 똑같이 뿌렸는데, 메일에 포함된 첨부파일 중에는 악성코드가 백도어 형식으로 포함돼 있어, 기사 작성을 위해 첨부파일을 내려받은 상당수 기자들이 악성코드에 감염됐을 것으로 추정된다. 보안 전문가를 통해 추적한 결과 최종 접속 IP 주소는 일본인 것으로 나타났다.
보안전문가는 "일본 서버를 해킹한 것인지, 우회한 것인지는 확실치 않으나 일본 IP를 사용해 언론사에 메일을 뿌렸다"면서 "특히 첨부파일이 포함된 메일의 경우 악성코드가 숨겨진 파일이 있어 지난 2013년 3.20 사이버테러와 같은 대단위 언론사 테러가 우려된다"고 경고했다.
3.20 사이버테러는 지능형지속위협(APT) 방식으로 언론사 기자들을 겨냥한 악성코드를 유포한 뒤, 동시다발적으로 언론사 시스템을 파괴, 마비시키고 금융망을 공격한 테러행위다. 보안전문가는 "이번 해커의 소행은 한수원이라는 표면적 공격을 앞세워 배후에서 또 다른 공격을 진행했을 가능성이 매우 높다"면서 "12월 한수원 사태 이후로 관련 메일이나 정보를 적극 수집하는 기자들의 심리를 악용해 악성코드를 유포했을 가능성도 배제할 수 없다"고 경고했다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
