"원전 자료유출·중단협박 북한 소행"

합수단 "악성코드 유사… IP 접속지역 북한이 25개"
한국수력원자력의 내부 자료를 온라인에 공개하고 원자력발전소 가동을 중단하라며 협박했던 범행의 배후는 북한이라는 수사 결과가 나왔다. 사이버 안보 및 보안 전문가들이 악성코드의 유사성과 심리전 전개 수법, 북한식 어투 등을 들어 한수원 공격의 배후로 북한을 지목한 것과 다르지 않은 결과다.

개인정보범죄 정부합동수사단(이하 합수단)은 17일 한수원 사이버테러 중간수사 결과를 발표했다. 합수단은 한수원 시스템에 악성 이메일을 보내 내부 시스템을 파괴하려던 공격을 분석한 결과 북한 해커조직이 쓰는 악성코드 '킴수키(kimsuky)'와 구성 및 동작 방식이 거의 유사하다고 밝혔다.

범인은 자료 탈취와 이메일 공격, 자료 공개 등 범행에서 IP 추적을 막기 위해 국내 인터넷 가상사설망(VPN) 서비스 업체 H사에서 할당받은 IP를 사용했다. H사가 관리하는 IP 중 작년 12월 하순께 접속 지역이 북한인 IP 25개, 북한 체신성 산하 통신회사인 KPTC에 할당된 IP 주소 5개가 접속한 흔적도 발견됐다. 합수단은 "범인이 H사의 VPN 서비스에 접근하기 앞서 접속한 IP는 중국 선양에 소재한 것으로, 이 IP 대역은 북한 압록강 주변에서 접속할 수 있고 그 인접 지역에서도 무선 인터넷 중계기를 사용해 접속이 가능하다"며 한수원에 대한 공격은 북한에서 이뤄졌음을 시사했다.

지난 12일 또 다시 한수원 내부 자료를 공개하면서 '돈을 달라'고 협박했던 글은 종전 자료 유포 온라인 게시글과 동일한 계정을 사용했으며 접속에 사용된 IP는 러시아 블라디보스토크에 있는 것으로 조사됐다.

합수단 측은 "국민 안전과 직결되는 기간설비 원자력발전소를 '인질' 삼아 공개적으로 협박해 사회불안을 야기하고 국민의 불안심리를 자극한 사건"이라면서 "이번 해킹 사건을 계기로 주요 국가기관 등은 사설 이메일을 가급적 업무에 사용하지 않도록 하고 비밀번호는 수시로 변경하며 사내외 망분리 등 다양한 사이버 보안조치를 취할 필요가 있다"고 강조했다.합수단은 범인이 사용한 SNS의 서버가 있는 미국, 범행에 동원한 IP 접속 흔적이 있는 중국 등과 국제 사법공조를 벌여 해킹 세력의 실체와 배후를 파악하기 위한 추적 작업을 지속할 방침이다.

강은성기자 esther@