한수원 유출 '고도의 전문가' 소행…범인 특정에 집중

개인정보범죄정부합동수사단 직원들이 22일 오후 서울 서초구 서울중앙지지검 인터넷범죄수사센터에서 한국수력원자력 관련 트위터 모니터링을 하고 있다. / 사진=뉴스1

사정 당국이 한국수력원자력 내부자료 유출 사건이 오랜 시간 준비된 전문가의 소행이라고 보고 범인을 특정하는데 수사력을 쏟고 있다. 당국은 자료를 빼돌린 인물을 찾는 것이 추가 범행을 막을 유일한 길이라 보고 있지만, 사이버 범죄 수사의 특성상 오랜 시간이 필요할 것이라는 예상이 나온다.


개인정보범죄 정부합동수사단(단장 이정수 부장검사)은 자칭 '원전반대그룹'이 추적을 피하기 위해 포털 사이트 네이버 ID를 도용하고 인터넷주소(IP주소)를 우회한 사실을 확인했다고 22일 밝혔다.

수사 초기 단계로 범인이 확인되지 않았지만 합수단은 전문가가 계획적으로 저지른 범행이라고 보고 있다. 합수단 관계자는 "고도의 전문성을 가진 집단 또는 개인이 상당 부분을 준비해 (범행을) 저지른 것으로 보인다"고 말했다.

합수단은 수사에 상당 시간이 걸릴 것으로 내다보고 있다. 한 관계자는 "사이버 범죄의 특성상 다른사람의 이름을 쓰거나 국경 없이 전 세계의 IP를 이용하는 경우도 있어 추적이 어렵다"며 "3·20 사이버테러 수사에도 수개월이 소요됐다"고 설명했다.

합수단은 원전반대그룹이 사용한 네이버 ID의 가입자 정보를 토대로 전날 가입자의 대구 주소지 등에 수사관들을 보내 PC를 수색했지만 ID가 도용당한 사실만 확인했다. 아울러 한수원 내부 PC를 합수단이 위치한 서울중앙지검으로 이동시켜 이날 분석에 착수했다.


이 밖에도 합수단은 원전반대그룹이 트위터를 이용한 점을 고려해 미국에 국제공조수사를 요청하는 한편 해당 글을 올린 IP를 추적해 실제로 이 글을 어디에 올렸는지 수사 중이다. 현재까지 발견된 IP 중 일부는 미국과 일본에서, 나머지 대부분은 국내에서 발견됐지만, 추적이 끝나지 않아 어디서 글이 등록됐는지는 확정할 수 없다는 것이 합수단의 설명이다.

원전반대그룹은 자신들이 하와이에서 글을 썼다고 주장했지만, 합수단은 현재 IP 추적을 통해 접속 국가까지만 확인한 상태이며 세부 지역까지 조사하는 데는 1~2일이 더 소요될 것으로 보고 있다.

합수단은 이번 범행이 북한과 관련이 있을 가능성도 열어두고 있다. 보안전문가들에 따르면 이번 한수원 내부자료 유출사건이 지난해 3월 20일 KBS와 MBC, YTN 등 주요 방송사와 신한은행, 농협 등 금융기관의 인터넷 웹사이트가 마비된 사태와 유사한 공격형태를 띠고 있다. 당시 3·20 사이버테러는 북한정찰총국 소행으로 추정된다고 결론내려졌다. 검찰 관계자는 "북한과의 관련 가능성을 배제하지 않고 있다"고 밝혔다.

앞서 스스로 '원전반대그룹', 내지는 'Who I am'이라 밝힌 단체는 지난 15일 한수원 데이터센터를 해킹했다며 직원 인적사항을 포함한 내부자료를 블로그를 통해 공개했다.

이후 18일 이들은 한수원 직원 연락처와 경북 경주 월성 1·2호기 제어프로그램 해설서 등을 공개했다. 세 번째 유출은 19일 이뤄졌다. 이들은 19일 트위터와 페이스트빈(해외 서버 온라인 문서편집프로그램)에 고리 1호기 원전 냉각시스템 도면과 발전소 내부 프로그램 구동 캡쳐이미지 등을 공개했다. "크리스마스부터 고리, 월성 원전 일부의 가동을 중단하라"는 요구도 시작했다.