원전 해킹 ‘北 연관성’ 정황은

원전 내부 자료 유출 수사가 시작된 지 28일로 열흘이 지났으나 아직 유출범을 특정할 만한 단서는 나오지 않고 있다.

북한 관련설은 수사 초기부터 제기됐다. 전문가들은 북한 소행으로 볼 만한 정황이 상당하다고 입을 모은다. 개인정보범죄 합동수사단(단장 이정수 부장)은 “단정할 수 없다”면서도 북한 관련 가능성을 배제하지 않고 있다. 합수단은 미국이 북한 소행으로 단정한 소니픽처스 해킹 사건과 이번 사건을 비교·분석하기 위해 미 당국과 사법공조하는 방안을 검토하고 있다고 이날 밝혔다.

임종인 고려대 정보보호대학원 원장은 유출범 추정 인물의 목적이 정치적이라는 점에 주목했다. 임 원장은 “보통 해킹 목적은 유명세, 금전, 정치 세 가지인데, 이번 유출범은 이따금 게시글을 올릴 뿐 리트윗 등 다른 활동은 하지 않고 특별히 구체적으로 돈도 요구하지 않아 정치적인 의도를 가진 것으로 보인다”면서 “한국수력원자력, 검찰, 청와대를 언급하며 불신을 조장하는 것을 봐도 북한이 의심된다”고 말했다. 신용태 숭실대 컴퓨터학부 교수도 “설계도가 예전 것인 점 등으로 미뤄 직접적인 피해를 주기 위해서라기보다 불안감 조성과 국론 분열 조장 등 2차 피해를 노린 것으로 보인다”고 말했다.

장기간 준비한 전문가 집단의 소행으로 여겨지는 점도 사이버 전력을 대거 보유한 것으로 알려진 북한의 연루 가능성에 힘을 실어준다. 검찰 관계자는 “VPN을 이용해 추적을 회피하거나, IP 20~30개를 한꺼번에 이용하는 점, 대량 이메일의 제목을 그럴듯하게 꾸며서 준비하거나 임직원 계정을 구한 점, 여러 유형의 변종 악성코드를 준비한 점 등으로 볼 때 전문가 집단이 최소 수개월 준비한 것으로 판단된다”고 말했다.

북한 소행으로 결론이 난 지난해 ‘3·20 사이버 공격’ 때처럼 APT 수법이 활용된 점도 눈에 띈다. 북한 소행으로 의심되는 최근 미국 영화사 소니픽처스 해킹 사건에도 APT 방식이 동원된 것으로 알려졌다. APT는 장기간에 걸쳐 다량의 이메일을 발송해 악성코드를 심어놓는 방식이다.

지난 9일 이메일 공격 당시 악성코드가 심어진 한글파일의 마지막 작업자 이름이 ‘존’(John)으로 확인된 점도 주목된다. ‘3·20’ 때 동원된 북한 소재 컴퓨터 6대 중 한 대의 사용자 이름이 ‘존’으로 밝혀진 바 있다. 유출범 추정 인물이 게시한 협박 글의 트위터와 페이스북 ID에도 ‘존’이라는 이름이 등장한다. 유출범 추정 인물은 협박 글에 ‘아닌 보살’ 또는 ‘잡았는가요’ 등 북한식 어휘와 말투를 쓰기도 했다. 북한 정보기술(IT) 인력들의 활동 본거지로 의심받는 중국 선양이 이번 사건 공격 시작 지점으로 추정되는 것도 북한과의 연관성을 부채질하는 대목이다.

소셜네트워크서비스(SNS)에 글을 올리는 점은 기존과 다르다는 지적이 있지만 이 역시 수법의 고도화로 이해하는 전문가도 있다. 김범수 연세대 정보대학원 교수는 “이번에는 공격을 미리 알려주며 언론도 적극 반응하게 만들고 있다”며 “피해를 입히는 수준이 상당히 지능화·고도화된 것으로 보인다”고 말했다.

김양진 기자 ky0295@seoul.co.kr

이정수 기자 tintin@seoul.co.kr