■ 최근 한국수력원자력(한수원)의 원전(原電) 설계도면 등 내부자료 유출사건을 수사 중인 개인정보범죄 정부합동수사단(합수단)이 북한이 사용한 것으로 추정되는 ‘악성코드’를 발견한 것으로 알려졌다.

이와 관련해 24일자 <뉴시스>는 북한의 해킹 악성코드 중 하나인 ‘킴수키(kimsuky)’가 한수원 해킹 방식과 유사한 정황을 합수단이 포착했다고 보도했다.

‘킴수키’는 2010년경부터 최근까지 국방부 통일부 한국국방연구원(KIDA) 등 정부 부처와 유관기관을 해킹해 사회기반 시설과 탈북자 관련 자료를 탈취해 온 북한의 해킹 조직이다.

원전 해커와 킴수키는 해킹 수법과 도구 등 다방면에서 유사성이 있는 것으로 검찰은 파악하고 있다. 특히 원전 해커가 지난해 12월9일 한수원 직원들에게 e메일로 보낸 악성코드의 핵심기술인 ‘셸코드(shell code)’는 킴수키가 사용해온 고유 기술과 90% 이상 일치하는 것으로 알려졌다.

보안업체 하우리의 최상명 차세대보안연구센터장은 최근 <동아닷컴>과의 인터뷰에서 “해당 셸코드는 모방이 어려운 데다가 킴수키가 아닌 다른 조직이 사용한 사례도 발견된 적이 없다”고 말했다. 이외에도 원전 해커와 킴수키의 인터넷주소가 중국 선양(瀋陽)의 가상사설망(VPN) 업체를 활용한 점도 일치했다.

그동안 한수원은 “외부망과 원전 제어시스템이 있는 내부망은 엄격히 분리돼 있고, 악성 코드에 감염된 PC 4대 역시 하드디스크만 파괴됐을 뿐 자료가 유출되진 않았다”고 강조해왔다.

하지만 2012년 12월 감사원 감사에서 한수원은 중앙감시제어 시스템을 일반 업무처리용 업무망과 독립적으로 운용하지 않았다는 사실이 드러났다. 고리 원전 등에서 직원들이 외부 인터넷과 연결해 쓰는 업무용 PC를 내부 시스템에 임의로 연결해 쓴 사실도 적발됐다.

■ 악성코드란 사용자 시스템에 침투해 정보를 유출하거나 정상적인 동작을 지연 또는 방해하는 프로그램을 의미한다. 악성코드에는 바이러스, 웜(worm), 트로이목마 등이 있다. 이 가운데 바이러스는 정상적인 프로그램이나 코드를 바꾸고 다른 컴퓨터로 전염된다.

웜은 스스로 복제 번식하며 빨리 전파된다. 트로이목마는 컴퓨터의 프로그램 내에 사용자가 알 수 없도록 몰래 설치된 프로그램으로 컴퓨터의 정보를 외부로 유출하는 것이 특징이다.

북한은 동북 3성의 최대 도시인 선양을 중국 내 對南 공작의 거점으로 삼고 있다. 북한이 선양에 총영사관을 개설한 것도 이런 맥락에서다. 중국 내 북한 공관은 북경 대사관을 제외하고 선양이 유일하다. 선양에만 수천 명의 북한 사람들이 거주하고 있다.

북한 해커들은 일반적인 IT 인력으로 위장해 중국에 취업한다. 평소에는 중국 기업이 주문한 소프트웨어를 개발하거나 전산 프로그램을 짠다. 애니메이션을 만드는 경우도 있다. 그러나 對南 공작부서인 정찰총국 등의 명령이 떨어지면 곧바로 '사이버 전사'로 돌변한다.

북한 해커는 평양의 과학 영재 학교인 금성 1·2중학교에서 컴퓨터 집중 교육을 받은 뒤 총참모부 산하 지휘자동화대학(일명 미림대학)이나 정찰총국 산하 모란봉대학(일명 223연락소)에서 3~5년간 '사이버 전사'로 키워진다.

<조선닷컴> 보도에 따르면 1만 명 이상으로 추정되는 북한 사이버전 요원 중 약 1000여명이 중국·동남아·유럽 등지에서 활동하고 있다고 한다.

정리/김필재(조갑제닷컴) spooner1@hanmail.net