원전 해커 IP 中 선양에 집중 '北 소행 의심' 점점 짙어진다

합수단, 가상사설망 업체 분석 결과 IP 20여개 선양서 200여 차례 접속

오늘이 원전 공격 경고 D데이, IP추적 위해 中과 사법공조 착수

'원전반대그룹'이 고리원전 1, 3호기 등의 가동 중단을 요구한 시한을 하루 앞둔 24일 부산 기장군 고리원자력본부에서 직원들이 비상근무를 하고 있다. 연합뉴스

자칭 ‘원전반대그룹’이 크리스마스인 25일을 원전 파괴의 데드라인으로 경고한 가운데, 이들이 한국수력원자력 원전도면 유출에 사용한 인터넷주소(IP)가 북한에 인접한 중국 선양(瀋陽)에 집중된 것으로 확인됐다. 검찰은 아직 확정적인 단서가 없다고 선을 그었지만 북한과의 연관성이 짙어지고 있다.

개인정보범죄 정부합동수사단(단장 이정수 부장검사)은 원전반대그룹이 사용한 국내 인터넷가상사설망(VPN) 서비스 업체 3곳에 대해 압수수색 영장을 통해 자료를 분석한 결과, 이들 업체로부터 할당받은 IP 20여개가 중국 선양에서 200여차례 집중적으로 접속된 사실을 확인했다고 24일 밝혔다. 중국 동북 3성 내에 위치한 선양은 수년 전부터 북한이 정찰총국 사이버 요원을 대거 파견해 대남 사이버 공격 업무를 하고 있는 곳으로 알려져 있다. 원전반대그룹은 블로그 등에 원전도면을 게시할 때 이들 VPN업체들을 통해 IP를 할당받았다. VPN을 거친 IP는 글을 쓴 위치가 어딘지 바로 확인되지 않아 일종의 ‘세탁 IP’로 쓰인다.

합수단 관계자는 “파악된 IP의 대부분이 선양에 집중돼 있다는 것이 확인됐고 일본에서도 일부 접속 흔적이 있었지만 미미한 수준”이라며 “다만 수사 초기 단계여서 북한과의 관계는 단정할 수도 부인할 수도 없다”고 했다. 중국에서 활동하는 북한 해커일 가능성을 예상할 수 있지만 북한과 연계된 듯 단서를 남겨 추적에 혼선을 일으키기 위해 고의로 선양을 IP 경유지로 활용했을 가능성도 배제할 수 없다는 설명이다. 검찰은 해당 IP를 추적하기 위해 대검찰청과 법무부를 통한 중국 당국과의 사법공조 절차에 들어갔다.

유출범이 국내 VPN 서비스 가입자의 명의를 도용한 사실도 확인됐다. 명의를 도용당한 피해자는 서울에 거주 중이며 2년 전부터 이 서비스에 가입돼 있었지만 정작 당사자는 가입 사실조차 알지 못했다. 합수단 관계자는 “VPN 서비스 이용료 역시 다른 사람의 인터넷뱅킹 공인인증서를 활용해 국내 은행지점 계좌에서 빠져나가도록 해 놓았다”고 했다.

합수단은 또 미국 연방수사국(FBI)에 공조 수사를 요청해 유출범이 원전 도면 등을 담은 게시글을 올린 트위터 관련 자료를 받아 면밀히 분석 중이다. 유출범은 미국에 서버를 두고 있는 페이스트빈(파일공유사이트) 프로그램을 사용해 인터넷 링크를 걸어 놓기도 했는데, 검찰은 이 트위터 계정 역시 도용됐을 가능성이 큰 것으로 보고 있다.

합수단 관계자는 “IP가 워낙 많이 발견돼 단독 범행으로 보기는 어려운 만큼, 공범이 있는지를 파악하기 위해 (도용된 명의의) 대포폰 사용 단서를 확보하는 작업도 하고 있다”며 “모든 가능성을 열어 두고 유출범을 추적하고 있다”고 밝혔다. 합수단은 한수원으로부터 제출받은 업무용 PC가 원전 원격조종이 가능한 악성코드 등에 감염됐는지도 분석, 한수원 내부 소행일 가능성도 배제하지 않고 있다. 합수단은 추가 피해 예방과 범인 검거를 위해 경찰청 사이버안전국과 협조하기로 했다.

한편 청와대 국가안보실은 25일 김관진 실장 주재로 국가사이버안보위기평가회의를 열어 대책을 논의할 예정이다.

남상욱기자 thoth@hk.co.kr

24일 오후 경북 경주시 양남면 월성원자력발전소의 모습. 자칭 '원전반대그룹'이 성탄절부터 3개월간 국내 원자력발전소의 가동 중단을 요구해 관심이 쏠리고 있다. 연합뉴스