'한수원 자료유출' 북한 소행? 과거 전례는…

한국수력원자력의 원자력발전소 도면과 매뉴얼 등 내부문서가 인터넷에 또 공개된 지난 21일 오후 서울 강남구 영동대로 한수원 본사 로비로 직원들이 오가고 있다. / 사진=뉴스1

원전 설계도면을 비롯한 한국수력원자원의 내부 자료가 유출된 가운데 사정 당국은 북한의 소행일 가능성도 염두에 두고 있다. 과거 북한의 소행으로 드러난 사이버테러와 비슷한 양상을 보이고 있기 때문이다.

22일 검찰과 산업통상자원부 등에 따르면 자칭 '원전반대그룹'은 한수원 내부자료를 빼내 공개하는 과정에서 이른바 '3·20 사이버테러'와 비슷한 공격 형태를 사용했다. 악성코드 소스 등 공격 방식이 유사한 것으로 드러난 것이다.


3·20 사이버테러는 지난해 3월20일 방송사 KBS와 MBC, YTN과 신한은행, 농협 등 금융기관의 웹사이트가 마비된 사태다. 사정 당국은 당시 사태가 북한정찰총국 소행으로 추정된다는 수사 결과를 발표했다.

북한은 이 밖에도 여러 차례 우리 정보기관과 언론사에 분산서비스거부(DDos·디도스), 신상정보 유출 등 사이버테러를 감행했다. 지난해 6월25일에는 청와대 웹사이트를 해킹해 사용자들의 이름과 생년월일, 주민번호 등 10만 건에 달하는 개인정보를 유출시켰다.

통일부에 따르면 북한은 2009년 7월 청와대와 국회, 포털사 네이버의 전산망을 디도스 공격으로 마비시킨 데 이어 총 7차례 대남 사이버테러를 가했다.


과거 사례뿐 아니라 '원전반대그룹'이 SNS(소셜네트워크서비스) 트위터에서 쓴 '청와대, 아직도 아닌 보살'이라는 표현도 북한 소행이라는 추정에 힘을 싣는다. '시치미를 뗀다'는 뜻을 가진 '아닌 보살'은 북한에서 주로 쓰는 표현이기 때문이다.

이 때문에 개인정보범죄 정부합동수사단(단장 이정수 부장검사)도 "(이번 사건과) 북한과의 관련 가능성을 배제하지 않고 있다"고 밝혔다.

그러나 이번 사건을 수사하는 합수단은 현재까지 범인을 특정하지 못한 상태다.

합수단은 '원전반대그룹'이 추적을 피하기 위해 네이버 ID를 도용하고 인터넷주소(IP주소)를 우회한 사실을 확인했다. 이를 토대로 네이버 ID 가입자 주소지인 대구에서 PC와 서버를 수색했지만 ID가 도용됐다는 사실만 파악하는 데 그쳤다. 합수단은 해당 글을 올린 IP를 추적해 실제 이 글을 어디 올렸는지 조사하고 있다.

아울러 합수단은 '원전반대그룹'이 트위터를 이용한다는 점을 고려해 미국에 국제공조수사를 요청하고 있으며 고리·월성 원전에 수사관을 파견, 직원과 관련자의 PC를 분석하고 있다.

앞서 스스로 '원전반대그룹' 또는 'Who I am'이라 밝힌 단체는 지난 15일부터 3차례 한수원의 자료를 유출해 공개한 데 이어 21일 새벽에 월성 1호기와 고리 2호기의 설계도 등을 추가로 공개했다. 이들은 4차 유출에서 '10만 건의 정보를 보유하고 있다'며 이를 돌려받으려면 돈을 달라고 요구했다.