"한수원 퇴직자 명의로 '악성코드' 이메일 발송"(상보)

25일 오전 서울 강남구 영동대로 한국수력원자력 본사에서 비상체제 근무중인 직원들이 로비를 지나고 있다. / 사진=뉴스1

한국수력원자력 내부자료 유출 사건을 수사하는 당국이 한수원 퇴직자 명의의 이메일 계정에서 현직 직원들에게 악성코드를 담은 이메일이 발송된 사실을 확인했다.

개인정보범죄 정부합동수사단(단장 이정수 부장검사)은 25일 "지난 9일 한수원 직원 수백명에게 악성코드를 담은 파일을 첨부한 이메일이 발송됐고, 메일을 보낸 계정 일부는 한수원 퇴직자 수십명의 것"이라고 밝혔다.


합수단은 메일이 업무를 가장한 제목을 달고 있는 등 의도적으로 한수원 직원들의 PC를 감염시키기 위해 발송된 것으로 보고 있다. 다만 퇴직자들의 이메일 계정은 한수원과 관련 없는 사설 계정으로 확인됐다.

합수단은 퇴직자들의 계정이 도용당한 것으로 추정하고 있으며 이메일에 첨부된 한글파일에 심어져 있던 악성코드 300여개를 확보, 내용을 분석하고 있다. 파일 유출과 파일 삭제, 원격제어 등이 가능토록 하는 악성코드가 포함된 것으로 알려졌다.

합수단은 이메일 발송자가 한수원 자료를 유출한 인물 또는 단체라고 보고 있다. 앞서 원전 도면을 유출한 자칭 '원전반대그룹'(Who am I)은 협박글에서 '12월9일을 역사에 남도록 할 것'이라고 밝혔는데, 이메일이 발송된 날과 일치하기 때문이다.


아울러 이메일을 보낸 IP들 중 상당수가 '원전반대그룹'이 사용한 IP와 매우 유사한 것으로 드러나 이같은 추측에 무게를 싣는다. 메일을 보내는 데 쓰인 IP 일부는 자료 유출자가 사용한 IP와 전체 12자리 중 11자리가 일치한 것으로 전해졌다.

이메일 발송자들이 인터넷에 접속한 방식도 자료 유출자가 사용한 방법과 유사한 것으로 알려졌다. 양쪽 모두 인터넷 가상시설망(VPN) 서비스를 통해 할당받은 IP를 사용했는데, 이 IP들이 중국 선양에서 접속된 흔적이 나온 것이다.

합수단 관계자는 "100% 단정할 수는 없지만 현재까지 상황을 보면 이메일 발송자와 도면 유출자가 동일하다고 볼 수 있다"며 "공개된 자료가 1~2년 전의 자료이고 퇴직자의 이메일까지 도용한 점 등을 고려하면 상당히 오랜 기간 준비해 온 것으로 보인다"고 말했다.

앞서 합수단은 도면 유출범이 VPN 업체로부터 할당받은 IP 가운데 20~30개가 중국에서 접속됐고, 접속 횟수 중 대부분이 중국 선양이라고 밝혔다. 이에 따라 합수단은 IP 추적을 위해 중국 당국에 사법공조를 요청한 상태다.

VPN 서비스는 인터넷망을 전용선처럼 쓸 수 있도록 특수 통신체계와 암호화기법을 제공하는 서비스다. 업체는 서비스 가입자에게 IP를 할당한다.

중국의 협조를 받으려면 상당한 시간이 소요될 것으로 보인다. 합수단 관계자는 "정식 공문을 작성해 보내려면 몇 주에서 한 달이 걸리기도 한다"며 "이 사건은 워낙 긴급해서 신속하게 진행하고 있고, 현재 법무부를 통해 협상이 진행되고 있다"고 말했다.

한편 지난 15일부터 5차례에 걸쳐 한수원 직원 인적사항과 원전 도면 등을 공개한 '원전반대그룹'은 고리 1·3호기와 월성 2호기 가동을 중단하지 않으면 원전을 파괴하겠다고 협박했지만 이상 징후는 나타나지 않았다.