‘청와대 사칭 e메일’ 北 소행 추정…“한수원 해킹 발신지와 일치”

최근 공공기관 등을 상대로 발송된 청와대 사칭 e메일 발신지가 2014년 12월 한국수력원자력(한수원) 해킹 발신지와 일치한 것으로 18일 드러났다.

강신명 경찰청장은 이날 기자간담회에서 “청와대 사칭 e메일 발송에 사용된 국내 대형 포털사이트 계정을 압수수색한 결과 중국 랴오닝(遼寧) 성 IP 대역으로 확인됐다”며 “IP 대역이 한수원 사건과 일치한다”고 밝혔다. 당시 검찰은 원자력발전소 도면 등 내부 자료를 공개하고 원전 가동 중단을 협박했던 해킹의 배후가 북한이라고 결론내린바 있다.

경찰은 13, 14일 청와대와 외교부, 통일부를 사칭한 e메일 4건을 확인하고 수사에 착수했다. e메일이 대량으로 정부기관 등에 발송된 것으로 보고 정확한 유포 건수도 확인 중이다. 강 청장은 “정상적인 e메일을 보내서 답장이 오면 악성코드가 담긴 e메일을 다시 보내는 수법으로 보인다”며 “피해가 크지 않거나 없을 걸로 추정이 된다”고 밝혔다.

국내 보안업계는 “2014년 한수원 해킹을 저지른 북한의 해커 조직 ‘킴수키(kimsuky)’ 소행이 확실하다”고 주장하고 있다. 보안업체 하우리 최상명 차세대보안연구센터장은 “청와대 사칭 e메일 발신지가 킴수키 활동 지역과 일치 한다”며 “‘페지’(페이지) 등 북한 용어가 사용됐고 빠른 시간 내 회신을 부탁하거나 한글(hwp) 파일로 첨부해달라는 내용도 한수원 때와 유사하다”고 말했다.

최 실장은 “중국 내 북한 해커는 이런 방식으로 우리 정부의 북한 관련 정보를 수집한 뒤 평양 해커 조직에게 보내는 역할을 하고 있다”고 말했다. 이들이 수집한 정보를 토대로 평양의 해커들이 대대적인 온라인 공격을 기획한다는 것이다. 이번 청와대 사칭 e메일 역시 외교안보 관련 정부 기관 소속 불특정 다수에게 e메일을 발송해 악성코드를 심은 뒤 정보를 수집하기 위한 의도로 풀이된다.

전문가들은 “북한 해커 조직이 백신으로 잡을 수 없는 악성코드를 e메일에 첨부하기 때문에 발신기관과 e메일 계정이 일치하지 않을 경우 메일을 열어보지 않는 것이 가장 좋은 예방책”이라며 주의를 당부했다.
박훈상 기자 tigermask@donga.com
정동연 기자call@donga.com