北 공식 IP 없어 증거 찾기 난관… 새로운 악성코드도 매일 수만개
"北 해커 기획력·조직력 뛰어나도 기술은 세계 수준에 못 미쳐" 평가
보안 전문가들은 이번 원전 해킹을 북한 소행으로 단정하기에 아직 이르다는 입장이다. 오히려 북한이든 아니든 섣부른 단정이 해커에게 면죄부를 줄 수 있는 점을 우려하고 있다.
북한 소행을 의심하게 된 까닭은 한국수력원자력의 원전도면 유출에 사용된 인터넷주소(IP) 분석 결과 북한과 인접한 20여개의 중국 선양(瀋陽)발 IP가 발견됐기 때문이다. 하지만 북한발 IP가 직접 발견되기 힘든 상황이어서 이 같은 중국 IP는 북한 소행을 입증하는 직접적 증거는 되지 못한다.
매번 해킹 사고나 디도스(DDoSㆍ분산서비스거부) 공격이 터질 때마다 북한을 의심하면서도 직접적인 북한 IP를 발견하지 못하는 이유는 북한의 경우 공식 IP가 없기 때문이다. 정부 관계자는 “국제인터넷주소관리기구(ICANN)에 직접 등록된 북한 IP는 하나도 없다”며 “북한에 할당된 ‘.kp’라는 국가도메인은 있지만 알 수 없는 이유로 북한이 아닌 독일인 얀 홀트만이 소유하고 있다”고 설명했다.
이 얘기는 곧 북한이 인터넷에 접속할 수 있는 자체망을 갖고 있지 않다는 뜻이다. 그렇다 보니 북한 해커 조직은 중국이나 싱가포르, 말레이시아 등 해외로 나가서 작업을 하는 것으로 알려져 있다. 이 관계자는 “북한이 중국서 끌어간 인터넷망이 있으나 외교 문제 등 여러 이유로 이를 해킹에 이용하지는 않는 것으로 알고 있다”고 전했다.
여기에 보안업계에서는 악성코드 분석만으로 북한 해커의 특징을 잡아내기 힘들다고 입을 모은다. 외국 보안업체 시만텍 관계자는 “매일 수 만개의 새로운 악성코드가 쏟아져 나오는데 악성코드 분석만으로 특정 집단의 소행을 단정하기 어렵다”며 “더러 악성코드 내부에 한글 등이 발견되기도 하지만 이것만 갖고 북한 소행을 의심하기에는 한계가 있다”고 말했다. 미국 CNBC 등 외신들도 같은 이유로 최근 미 연방수사국(FBI)이 소니 해킹을 과거 유사점 만으로 북한 소행이라고 단정하기엔 충분한 증거를 발견하지 못했다고 보도했다.
결정적으로 보안전문가들은 북한 해커들의 실력을 세계 최고 수준으로 보지 않는다. 단, 기술보다는 기획력이 뛰어난 것으로 평가하고 있다. 즉, 사이버전을 전담하는 부대를 동원해 조직적으로 해킹을 벌이다 보니 전략적 목표를 정해 오랜 시간에 걸쳐 치밀하게 준비하고 대규모 공격이 가능하다는 관측이다. 보안업체 C사의 김 모 대표는 “과거 북한 소행으로 의심되는 해킹이나 디도스공격에 사용된 악성코드 등을 분석해 보면 특별히 뛰어난 기술이 보이지 않는다” 고 강조했다.
다만 보안 전문가들은 첨단 기법보다 디도스 공격처럼 단순하지만 반복적이고 지속적인 공격이 오히려 더 위협이 될 수 있다고 경고한다. 외국 보안업체 K사 관계자는 “국내에 알려지지 않았으나 1년 전 정부기관을 겨냥한 해킹 목적의 악성코드가 발견된 적이 있다”며 “북한 소행 여부는 알 수 없으나 단순한 기능인데도 많은 사람을 겨냥한 메일 형태로 배포돼 문제가 된 만큼 주요 기관은 관리자가 허락한 프로그램만 설치되거나 실행되는 보안용 운용체제(OS)를 갖추는게 중요하다”고 지적했다.
최연진기자 wolfpack@hk.co.kr
기사 URL이 복사되었습니다.
댓글0