[3·20해킹]중국IP→농협IP→北소행 결론내리기까지 30일

[아시아경제 김영식 기자]국내 사이버안보태세의 취약함을 여지없이 일깨운 3·20 해킹 사태는 결국 북한이 오래 전부터 준비해 온 사이버테러의 결과로 결론내려졌다. 전말이 밝혀지기까지 30일 동안의 사건들을 다시 한번 살펴봤다.

◆ 청와대 관계자 “해킹 북한 소행 가능성” = 20일 방송사와 금융기관의 전산망에 대한 동시다발 해킹이 발생하자 정부는 사이버위기 ‘주의’ 경보를 발령했고 청와대도 국가안보실 산하 위기관리센터를 중심으로 사태파악에 나섰다.

정부는 북한의 소행일 가능성에 대해서는 신중한 입장을 유지했지만, 한미연합훈련을 맞아 최근 북한이 해킹공격을 당했다며 보복할 것이라고 밝힌 것 등 북한의 사이버 테러를 가했을 가능성이 충분하다는 주장이 제기됐다. 사건 발생 직후부터 북한이 배후에 있을 가능성이 제기됐으나 해킹사고의 특성상 명확한 증거를 잡지 못해 ‘심증은 있으되 물증은 없는’ 상황이 이어졌다. 청와대 고위관계자는 “북한의 소행일 가능성에 강한 의구심을 갖고 있으며 모든 가능성을 면밀히 검토하고 있다”고 언급하기도 했다.

◆ 악성코드 유입지 ‘중국’이라더니… 하루만에 번복 = 21일 정부는 해킹으로 악성파일이 유입된 과정에 중국 IP(인터넷주소)가 있었다고 밝혔다. 민ㆍ관ㆍ군 합동대응팀은 21일 “공격을 받은 농협 시스템을 분석한 결과 중국 IP(101.106.25.105)가 백신 소프트웨어 업데이트 관리서버(PMS)에 접속해 악성파일을 생성한 것을 확인했다”고 밝혔다. 이로 인해 북한의 소행일 가능성에 무게가 실렸다.

그러나 정부는 하루만에 이를 번복했다. 방송통신위원회는 22일 피해서버 접속기록 및 IP사용현황 등을 정밀 분석한 결과 농협 내부직원이 사내정책에 따라 사설IP로 사용한 것을 오인한 것이었다고 해명했다. 정부의 섣부른 대응에 비난 여론이 거세지자 최문기 미래창조과학부 장관 내정자는 “국민 혼란이 없도록 신중하게 발표하라”고 주문하기도 했다.

이후 악성코드의 유입 경로는 미국과 유럽 일부 국가 등 4개국으로 확인됐지만 보안업계 전문가들은 “IP주소는 손쉽게 변조가 가능하기에 해킹 진원지를 찾는 것은 거의 불가능에 가깝다”고 입을 모았다.

◆ 사실로 드러난 북한 해커들의 ‘ICT 알바’ = 3·20사태의 원인 분석을 위해 본지가 마련한 긴급좌담회에서는 북한에서 양성된 사이버전문인력들이 중국에서 외화벌이에 나서고 있으며 일부는 아웃소싱을 통해 국내 IT기업들에까지 손을 뻗치고 있다는 사실이 드러났다.

이경호 고려대학교 교수(사이버)는 “북한 해커들이 우리나라 기업들이 발주한 아웃소싱에 참여할 뿐만 아니라 유지보수까지 맡고 있을 가능성이 높다”고 지적했다.

실제로 이달 10일 중국에서 활동 중인 북한 해커들과 공모해 해킹 정보로 돈을 챙긴 일당들이 검찰에 적발됐다. 이들 일당은 지난 2007년 무렵 북한 노동당 산하 위장 무역회사인 ‘릉라도정보센터’ 소속 해커 및 국가안전보위부 공작원과 지속적으로 접촉했다. 스팸메일 대량발송을 위해 이들 북한 해커들로부터 악성코드 파일을 받아 유포하고 이들이 만든 프로그램으로 불법 선물거래 사이트까지 개설해 13억원의 수수료를 챙긴 것이다. 이 과정에서 북한 해커들이 1억4000만여 건의 국내 개인정보를 이들에게 건넸다는 사실도 밝혀졌다.

◆ 어나니머스, “北대남선전 ‘우리민족끼리’ 해킹 = 북한의 소행 여부가 미궁에 빠진 동안 북한은 개성공단 가동을 잠정 중단하고 연일 도발 위협의 수위를 높여갔다. 이 가운데 악명높은 국제 ‘핵티비스트’ 집단 어나니머스가 북한의 대남선전 사이트 ‘우리민족끼리’ 등 수 곳을 해킹하면서 사이버공간의 해킹 대리전 양상이 펼쳐지기도 했다.

이달 4일 어나니머스는 우리민족끼리 가입자 1만5000명 분을 빼내 이름·이메일·생년월일·계정정보 등을 차례로 공개했다. 이들은 북한에 '김정은 사임' '자유민주주의 도입' '핵 포기' 등을 요구하며 요구가 받아들여지지 않을 경우 주요 사이트들을 해킹해 중요 정보들을 지워버리겠다고 압박했다. 임종인 고려대 정보보호대학원 원장은 북한 내부에 동조자가 있을 가능성을 점쳤다.

김영식 기자 grad@