지난 주말 한때 인터넷 포털의 검색어 1위는 이명박(MB) 전 대통령이었습니다. 지난 11일 오전 한 주간지 온라인판에 실린 ‘농협, 이명박 상금세탁 충격적 내막’이라는 제목의 기사가 퇴임 이후 1년 가까이 언론에 큰 노출이 없던 MB를 화제의 주인공으로 불러낸 겁니다. 기사는 “이 전 대통령이 2011년 3월 아랍에미리트연합(UAE)에서 ‘자이드 국제환경상’을 수상하며 받은 아랍에미리트은행(에미리트NBD) 발행 상금 수표를 농협은행이 미리 매입해 이 전 대통령의 계좌로 현금을 보냈고 관련된 전산기록을 지웠다”고 의혹을 제기했습니다. MB가 상금 50만 달러(한화 약 5억 3000만원) 수표를 농협은행 청와대 지점에서 현금으로 바꿨고, 이 과정에서 해외에서 받은 금품을 신고해야 하는 공직자윤리법을 피해 갔다는 것입니다. 기사가 보도되자 온라인상에서는 불과 한두 시간 만에 6000개가 넘는 댓글이 달리는 등 큰 반향이 일었습니다. 이날 정오를 전후해 기사가 삭제되자 네티즌들의 관심은 더 증폭됐습니다. MB 측이 주간지에 압박을 가해 기사를 내렸다는 ‘외압설’부터, 2011년 4월의 농협 디도스(DDoS) 공격이 MB의 자금세탁 기록을 지우기 위해 계획된 것 아니냐는 엉뚱한 ‘음모론’까지 나왔습니다. 그러나 당시 농협 청와대 지점에서 현금화 과정을 직접 맡았던 관계자에 따르면 ‘팩트’(fact)가 상당히 거리가 있습니다. 이 관계자는 “당시 이 전 대통령이 받은 외국은행 수표를 현금화해준 것은 맞지만, 외국은행 발행 수표 추심에는 통상 한 달 정도 걸리기 때문에 선이자를 떼고 현금을 먼저 내준다”면서 “전직 대통령뿐 아니라 신용상태가 확실한 사람은 누구나 수표 원본과 신분증 사본만 내면 이 같은 거래가 가능하며, 관련된 전산기록도 모두 남아 있다”고 해명했습니다. 더구나 수표를 매입할 때 국세청, 관세청에 통보하도록 돼 있어 자금 세탁과는 무관하다는 점도 강조했습니다. MB 측도 12일 보도자료를 내고 “납득할 만한 조치가 없을 경우에는 법적 대응을 할 수밖에 없다”고 사실관계를 부인했습니다. 기사를 보도한 주간지 측은 “오보는 아니다”라면서도 “추가로 내용을 확인해 기사에 반영하겠다”는 입장을 내놨지만, 현재로서는 ‘해프닝’으로 끝날 가능성이 높습니다. 윤샘이나 기자 sam@seoul.co.kr

회원 5만여명에게 단속되면 벌금까지 내주겠다고 공지하며 음란사이트를 운영한 30대가 구속됐다. 광주 서부경찰서는 8일 해외서버를 통해 회원 간 성행위 장면 등이 담긴 음란 동영상을 공유하게 한 혐의(성폭력범죄의처벌에관한법률 위반)로 불법 음란사이트 운영자 양모(32)씨를 구속했다. 양씨는 2012년 10월께부터 최근까지 미국에 서버를 두고 음란사이트를 운영하며 현금을 받고 포인트를 충전하는 수법으로 회원 5만여명으로부터 약 1억2천여만원의 부당이익을 취한 혐의를 받고 있다. 조사결과 양씨는 2010년에도 국내에서 음란사이트를 운영하다 적발되자 해외로 서버를 옮겨 범행을 계속한 것으로 드러났다. 양씨는 회원들을 안심시키기 위해 “단속되더라도 판례를 확인했더니 99%가 5만원~100만원 상당의 벌금형만 나온다. 적발 시 최대 200만원까지 벌금을 지원해주겠다”며 음란사이트 게시판에 공지하기도 했다. 또 회원들의 접속 IP를 수시로 초기화시켜 수사기관의 추적으로부터 안전하다며 회원들을 안심시키고 공유를 조장한 것으로 드러났다. 경찰은 양씨가 회원들에게 디도스(DDoS)공격 프로그램을 제공해 포인트를 무료충전해주겠다며 경쟁 음란사이트를 공격하도록 한 정황도 확보해 수사를 진행하고 있다. 경찰은 사이트 운영에 적극적으로 가담한 회원들을 선별해 추가로 입건하는 등 수사를 확대할 방침이다. 온라인뉴스부 iseoul@seoul.co.kr

가상 화폐 비트코인이 통용되는 온라인 불법 거래 사이트가 해킹돼 10만 비트코인(약 1130억원)이 사라지는 도난 사건이 발생했다. 거래 시 익명성이 보장되는 특성상 해킹 위험에 쉽게 노출되는 비트코인은 최근 5년간 화폐시장의 ‘블루칩’으로 떠올랐다. 지금은 전 세계 상점, 가맹점 약 1373곳에서 통용되고 있지만 중앙통제기관이 존재하지 않아 그에 따른 부작용도 만만치 않다. 3일(현지시간) 영국 일간 가디언에 따르면 무기, 약물 등을 온라인으로 불법 판매하는 ‘시프마켓플레이스’가 지난 1일 해킹 공격을 당해 사이트 이용자와 운영진의 전자지갑에 있던 350만 파운드(약 60억 9000만원) 상당의 5400비트코인이 분실됐다. 운영진은 이틀간 이용자들에게 “‘EBOOK101’이라는 판매상이 우리 시스템을 해킹한 뒤 5400비트코인을 훔쳤다”며 “시스템 복구에 실패해 사이트를 새롭게 개설하고 남아 있는 비트코인을 회원들에게 돌려주겠다”는 내용의 공지문을 보냈다. 그러나 이 사이트는 이날 아예 자취를 감췄고 이용자들은 운영진이 6500만 파운드 상당의 10만 비트코인을 훔쳐갔다고 주장했다. 일부 이용자들은 사이트 폐쇄 직전 일부 판매상이 상품의 가격을 크게 낮춰 판매한 점을 들어 조직적인 사기 범죄가 아니냐는 의혹도 제기하고 있다. 비트코인이 거래되는 사이트에서 이 같은 도난 사고가 발생한 것은 처음이 아니다. 특히 비트코인의 가치가 최근 급상승하자 이에 눈독을 들이는 해커들의 공격이 기승을 부리고 있다. 앞서 유럽 최대 비트코인 거래소인 덴마크의 ‘BIPS’는 디도스(DDoS·분산 서비스 거부) 공격을 받아 100만 달러 상당의 1295비트코인을 도난당했다. 호주의 거래소 ‘트레이드포트리스’와 체코의 거래소 ‘비트캐시’도 해커들로부터 각각 130만 달러와 10만 달러 상당의 비트코인을 도둑맞았다. 비트코인을 사용해 거래에 참여하는 이용자들은 구체적인 개인 정보를 제공하지 않아도 된다. 또 비트코인은 중앙 기관이 따로 없이 개인 대 개인(P2P)으로 거래되기 때문에 감독 당국이 거래를 금지하기도 어렵고 개인의 비트코인 보유 현황을 알 수가 없다. 또 비트코인은 익명성이 보장된다는 특성상 마약, 총기류, 해킹 프로그램 등 불법 상거래에 악용되는 사례가 늘고 있다. 이번에 도난 사건이 난 시프마켓플레이스도 비트코인을 통해 불법 상거래가 이뤄져 온 사이트다. 최훈진 기자 choigiza@seoul.co.kr [용어 클릭] ■비트코인 2009년 개발자명 ‘사카시 나카모토’가 개발한 온라인 가상 화폐로 개인이 인터넷에서 비트코인 채굴 프로그램을 내려받아 순차적으로 문자를 대입해 보는 연산 작업인 ‘채굴’을 통해 비트코인을 캘 수 있다.

유럽연합(EU)과의 협력 협정 불발에 따른 항의 시위가 격화되자 내년 1월 7일까지 집회를 금지하는 등 강경하게 대응했던 우크라이나 정부가 성난 민심 달래기에 나섰다고 리아노보스티통신이 전했다. 빅토르 야누코비치 우크라이나 대통령은 1일 긴급 성명을 통해 “EU와의 협정 체결을 위해 할 수 있는 최선을 다하겠다”고 밝혔다. 이어 그는 “협정 체결에 따른 그 어떤 국가적 손실도 있어서는 안 된다”고 덧붙였다. 앞서 정부는 EU와의 협정 불발 시위가 대통령 탄핵, 내각 총사퇴, 조기 선거, 총파업 등을 요구하며 거세지자 1일부터 38일 동안 수도 키예프의 독립광장 및 주요 지역에서 집회를 금지한다고 선언했었다. 이 같은 소식이 알려지자 격분한 시위대는 정부 홈페이지를 디도스(DDoS·분산서비스거부) 공격해 모두 마비시켰다. 그러자 야누코비치 대통령이 국영 뉴스통신사인 리아노보스티통신을 통해 이같이 성명을 발표한 것이다. 우크라이나에서는 EU와의 협력 협정 불발에 항의하는 반정부 시위가 1주일 넘게 이어지고 있다. 앞서 우크라이나 정부는 지난달 30일 키예프의 독립광장에서 시위대 1만여명을 최루탄과 진압봉을 동원해 강제 진압했다. ‘개혁을 위한 우크라이나 민주동맹’(UDAR) 당수 비탈리 클리치코는 이날 “모두 밖으로 나와 어떤 나라에서 살고 싶은지 입장을 밝혀야 한다”며 “경찰 통제하에 당신의 아이들이 얻어맞는 전체주의 국가인가 아니면 유럽 국가인가”라고 성토했다. 우크라이나 최대 야당 ‘바티키프시나’(조국당) 대표 아르세니 야체뉴크도 “야권이 국가 저항 태스크포스(TF)를 결성하기로 하고 전국 단위 총파업을 논의하고 있다”고 밝혔다. 최훈진 기자 choigiza@seoul.co.kr

북한이 정찰총국 연구소를 중심으로 사이버사령부를 창설하고 국방위원회 및 노동당 산하에 7개 해킹 조직을 만들어 해커 1700여명을 활동시키고 있는 것으로 전해졌다. 국가정보원의 설명대로라면 그 중심에는 “사이버전은 만능의 보검”이라고 판단하는 김정은 국방위원회 제1위원장이 있다. 4일 국정원이 밝힌 내용에 따르면 북한은 외화벌이 수단으로 소프트웨어를 개발하고 인력을 확충했다. 연구소 등에서 4200여명이 소프트웨어 개발을 하는 것으로 전해졌다. 이들은 평시에는 외화벌이를 위한 소프트웨어를 개발하지만 유사시에는 사이버 공격에 동원되며 이를 위한 지원 계획과 조직까지 짜 놓은 것으로 국정원은 보고 있다. 국정원은 이들 북한 소프트웨어 개발자들이 고난도의 사이버 공격 기술을 제공하고 있는 것으로 분석하고 있다. 국정원은 또 최근 북한의 문건을 확보해 북한의 사이버전 시도를 파악했다고 밝혔다. 문건에 따르면 북한은 ▲언론사 인물 정보를 파악해 댓글 달기, 메일 발송 ▲발전소·변전소 등 전력 공급 계통 장악 ▲내부망 컴퓨터 장악 등을 시도하고 있다. 특히 이동식 저장장치(USB)를 이용한 디도스(DDoS) 프로그램 개발도 활발한 것으로 알려졌다. 또 전국의 화학물질 취급소, 취·정수장, 발전소와 변전소 위치 정보와 철도 제어 시스템 설계도 등의 자료를 수집하고 있다고 국정원은 설명했다. 국정원이 이날 북한의 사이버전 관련 정보를 쏟아낸 데 대해서는 일종의 ‘물타기’ 의혹도 제기된다. 앞서 국정원은 지난달 정보위 전체회의에서도 영변 원자로 재가동, 미사일 엔진 연소실험, 은하수 관현악단 단원 10여명 총살 등 민감한 북한 정보를 가감 없이 공개한 바 있다. 정치권의 한 인사는 “국정원이 북한 관련 정보를 쏟아냄으로써 북한에 대한 경각심을 불러일으키고 국정원이 열심히 노력하고 있다는 걸 보여주려는 의도로 보인다”면서 “하지만 국정원의 이 같은 행동은 대북 정보 자산이 드러날 위험이 있는 것은 물론 북한을 자극한다는 측면에서 남북 관계에도 도움이 되지 않는다”고 비판했다. 김효섭 기자 newworld@seoul.co.kr

정보보안 기업 안랩은 디도스(DDoS·분산 서비스 거부) 공격을 받은 기업 웹사이트가 19개로 확인됐다고 25일 밝혔다. 이번 디도스 공격은 지난 7월 발견된 악성코드와 최근 발견된 변종 악성코드에 의해 발생한 것으로 보인다. 공격을 받은 사이트는 이날 오전 9시 기준으로 다음, 네이트, MSN, 티스토리, 한게임, 넥슨, 중앙일보, CBS 등 13개 기업의 16개 웹사이트였다. 그러나 오후 들어 정체가 확실하지 않은 웹사이트 3개가 추가돼 공격 대상 웹사이트의 수는 총 19개로 늘었다. 1만대로 확인됐던 좀비PC 수는 오후 8시 현재 2만 8000대로 증가하면서 공격 대상 웹사이트도 늘어난 것으로 분석된다. 이번에 감염된 PC는 7월 악성코드가 발견됐을 때 백신을 설치하지 않거나 갱신(업데이트)하지 않은 PC가 대부분이다. 백신 검사를 거쳐 악성코드를 삭제하고 백신 프로그램을 실시간 동작 상태로 유지하는 게 안랩이 제시한 최선의 대응책이다. 안랩은 현재 자체 보안대응센터(ASEC)와 컴퓨터침해사고대응센터(CERT)를 비롯해 전사 비상 대응 체제를 가동하고 변종 악성코드를 긴급히 엔진에 반영했다고 설명했다. 이어 “백신 V3로 해당 악성코드를 모두 진단했고 추가 분석을 통해 악성코드에 대한 정보를 지속적으로 제공할 예정”이라고 밝혔다. 강병철 기자 bckang@seoul.co.kr

인천지검 공안부(부장 박성근)는 22일 북한 대남 공작원과 짜고 디도스(DDoS·분산서비스거부) 공격용 악성코드를 심은 사행성 게임을 국내로 들여온 모 게임 개발업체 운영자 A(36)씨를 국가보안법 위반 등의 혐의로 구속 기소했다. A씨는 지난해 3월부터 지난 1월까지 북한 정찰총국 산하조직 공작원 B(28)씨에게 두 차례에 걸쳐 5500달러(약 580만원)를 주고 온라인 도박게임 프로그램을 전달받아 국내에 유통한 혐의를 받고 있다. 이 도박게임 프로그램에는 북한이 원격으로 디도스 공격을 할 수 있는 악성코드 유포 기능이 내장돼 있었다. 북한 공작원이 악성코드를 이용해 공격 대상 컴퓨터에 접근, 해당 컴퓨터를 좀비 PC로 바꾸는 방식이다. A씨는 2008년부터 북한의 해커들과 컴퓨터 통신을 했으며 B씨와는 지난해 2월부터 총 18차례에 걸쳐 연락을 주고받은 것으로 조사됐다. 지난해 8월 국가정보원의 첩보에 따라 수사에 착수한 경찰은 지난달 말 A씨를 구속해 검찰에 송치했다. 김학준 기자 kimhj@seoul.co.kr

국방부 조사본부가 국군사이버사령부 압수수색에 나섰다. 국방부는 22일 정치적 성향의 글을 올린 의혹을 받아 조사를 받고 있는 국군사이버사령부와 그 지휘계선에 대해 압수수색에 착수했다고 밝혔다. 조사본부는 사이버사령부 심리전단 요원과 간부들의 PC와 사무실, 개인서류, 국방부 등으로부터 받은 공문 등을 압수해 일각에서 제기하는 ‘조직적 정치 개입’ 의혹을 규명할 계획이다. 국방부는 이날 사이버사령부 ‘정치글’ 의혹 관련 합동조사 중간발표를 통해 “사이버사 소속 4명이 (문제의 정치글은) 자신의 생각을 표현한 것이고 별도의 지시는 받지 않았다고 진술했다”고 밝혔다. 국방부는 “일각에서 제기되는 부대 차원의 조직적 개입 여부와 여타 기관과의 연관성 등을 밝히도록 수사로 전환했다”고 설명했다. 국방부는 “언론에 보도된 4건의 SNS 계정이 사이버사 소속 군무원 3명, 현역 부사관 1명의 것으로 확인했다”며 “본인들도 자신들의 계정이 맞다고 인정했다”고 전했다. 국방부는 그러나 정치권 등에서 제기되는 나머지 대부분의 의혹에 대해서는 부인했다. 국방부는 이종명 국정원 전 3차장과 사이버사령부 1처장·530단장 등이 같은 시기에 합참에 근무했다면서 일각에서 연계설을 제기하는 것과 관련해 “3명이 합참 민군심리전부에 같은 시기에 근무한 사실이 없다”고 밝혔다. 이 전 국정원 3차장은 2011년 2월 22일부터 4월 5일까지 합참 민군심리전부장으로 근무한 반면 현 사이버사령부의 1처장과 530 단장은 같은 시기에 근무한 사실이 없다는 것이다. 또 국정원이 예산으로 사이버사령부를 통제했다는 주장에 대해서도 “국정원으로부터 지원받는 예산은 없으며 정보 관련 예산은 국방부에 편성되는 국방비”라고 반박했다. 이와 함께 사이버사령부의 댓글 활동 성과로 대대적 포상을 받았다는 의혹과 관련, “대선 직후(2012년 12월 19~31일) 사이버심리전단에 대한 정부 포상 및 장관 표창은 없었다”면서 “사령관 연말 정기 표창으로 6명을 수여했다”고 말했다. 수상자별 포상 공적 내용은 성과분석 2명, 계획발전 1명, 예산운영 1명, 근무유공 1명, 교육훈련 1명 등이라고 국방부는 설명했다. 특히 지난 2월 대통령 표창을 받은 4급 1명은 국정과제인 핵 안보 정상회담 개최와 관련한 유공자로 인정됐다면서 정치글 작성과의 연계 의혹을 부인했다. 이밖에 사이버사령부가 대선 전 대규모 군무원을 선발해 활용했다는 주장에 대해서는 “대선 전 대규모 선발이 아니고 2010년 1월 창설 때부터 연도별 점증적으로 증편하고 있다”고 밝혔다. 국방부는 “2010년에 북한의 천안함 폭침과 연평도 포격 도발, 2011년에는 3·4 디도스(DDoS) 공격, 농협 금융전산망 공격 등 사이버심리전이 집중됐다. 2012년에도 북한의 대규모 사이버 공격이 예상돼 군무원 79명(530단 47명 포함)을 채용했다”면서 인원 선발과 대선과의 연계 의혹을 일축했다. 국방부는 “국민에게 한 점 의혹이 없도록 철저하고 투명하게 수사해 결과를 발표할 예정”이라고 강조했다. 온라인뉴스부 iseoul@seoul.co.kr

서울 강남경찰서는 악성코드가 담긴 글을 인터넷 게시판에 올린 혐의(정보통신망법 위반)로 김모(20)씨를 구속했다고 2일 밝혔다. 경찰에 따르면 김씨는 지난해 11월 15일 인터넷 사이트 ‘오늘의 유머’ 게시판에 ‘19’라는 제목의 악성코드가 깔린 글 3500개를 게시한 혐의를 받고 있다. 김씨가 올린 글에는 디도스(DDoS·분산서비스거부) 공격을 할 수 있는 스크립트 명령이 담겨 있어 클릭만 해도 바로 감염돼 컴퓨터 작동이 멈춘 것으로 조사됐다. 게다가 클릭과 동시에 똑같은 제목의 글이 자동 생성되게 해 해당 게시물의 조회 수가 순식간에 불어난 것으로 나타났다. 경찰은 당시 이 글을 열어 봤다가 악성코드에 감염된 피해자가 사흘간 10만명에 이른 것으로 추정했다. 김씨는 그동안 인터넷 프로토콜(IP) 추적을 피하려고 외국에 있는 ‘프락시’(컴퓨터 시스템의 일부 기능을 다른 것이 임시로 대행) 서버를 통해 글을 올린 것으로 드러났다. 홍콩에서 숨어 지내던 김씨는 지난달 23일 입국하다 인천공항에서 붙잡혔다. 김씨는 경찰 조사에서 범행 사실을 시인하면서도 이른바 ‘좀비 PC’로 디도스 공격을 몇 차례 했는지, 공범이 누구인지 등에 대해서는 진술을 거부한 것으로 전해졌다. 경찰은 김씨의 은행 계좌에서 수천만원이 입금된 정황을 발견해 계좌 추적 등을 통해 배후 인물을 추적하고 있다. 윤샘이나 기자 sam@seoul.co.kr

지난달 25일 청와대를 비롯해 정부기관, 언론사 등 69곳에서 동시에 발생한 ‘6·25사이버테러’의 주체가 북한인 것으로 결론났다. 2011년 3·4디도스 공격, 농협 금융망 해킹, 올해 3·20사이버테러 등에 이어 또다시 북한 공격에 뚫린 셈이다. 6·25사이버테러 사건의 분석을 맡은 민·관·군 합동대응팀은 16일 미래창조과학부에서 설명회를 열고 “이번 공격 수법이 기존 북한의 해킹 수법과 일치한다”고 밝혔다. 대응팀은 공격 피해 장비와 공격 경유지 등에서 수집한 악성코드 82종, PC 접속기록(로그), 인터넷주소(IP) 등을 과거 북한의 대남 해킹 자료와 비교·분석해 이 같은 결론을 내렸다고 설명했다. 공격은 최소 5개월 전부터 준비됐던 것으로 분석됐다. 북한은 국내 파일 공유 사이트, 웹하드 서비스 등을 사전에 해킹해 공격 거점으로 삼았다. 특히 다수 기관을 일시에 공격하고, 해외로부터의 서비스 응답으로 공격을 위장하거나 IP를 숨기는 등 진화된 공격 수법을 사용했다. 북한의 IP는 2개가 발견됐다. 해커는 로그를 삭제하고 하드디스크를 파괴했으나 복구 과정을 통해 이를 확인했다. 전길수 한국인터넷진흥원 침해사고대응단장은 “정보기관에서 보유하고 있던 북한 IP 대역과 일치하는 주소”라며 “어떤 목적으로 사용됐는지, 북한 IP 외에 총 몇개 IP가 발견됐는지는 보안 문제 때문에 밝히기 어렵다”고 말했다. 공격에 사용된 IP 주소는 북한 외 다른 국가의 것도 상당수 있는 것으로 알려졌다. 서버를 다운시키기 위해 시스템 부팅영역(MBR)을 파괴, 시스템 파일 삭제, 공격 상황 모니터링을 한 수법, 사용한 악성코드 문자열의 특징도 3·20사이버테러와 같았다. 분산서비스거부(DDos) 공격에 사용한 악성코드도 3·20 때 발견된 악성코드의 변종 형태인 것으로 분석됐다. 대응팀은 그러나 개인정보 유출의 경우는 언제 일어난 것인지 파악하지 못했다. 전 단장은 “개인정보는 공격 때 유출된 것인지, 사전 준비 과정에서 유출된 것인지 확실치 않다”고 말했다. 이번 공격이 또 북한 소행이라는 결론이 나옴에 따라 정부의 향후 대응에 관심이 쏠리고 있다. 오승곤 미래부 정보보호정책과장은 “대응팀의 역할은 사고를 분석하고 그 결과를 밝히는 것뿐”이라며 “이를 바탕으로 정부가 어떻게 대응할지는 정확히 단정할 수 없다”고 못 박았다. 한편 대응팀에는 미래부, 국방부, 검찰, 국가정보원 등 18개 기관의 전문가들이 참여했다. 강병철 기자 bckang@seoul.co.kr

지난 25일 청와대를 비롯한 국가 기관, 언론사 등을 대상으로 자행된 사이버 공격에 관한 정보가 별도 서버에 백업된 로그(Log) 파일에 모두 기록돼 있는 것으로 파악됐다. 또 이번 공격이 악성 스크립트를 이용한 신유형 해킹이라는 분석도 나왔다. 전문가들은 보안투자법안 등 민관 합동의 신속한 대책 마련을 주문했다. 26일 미래창조과학부 등에 따르면 전날 청와대 등에 사이버 공격을 했던 해커들은 홈페이지를 해킹한 뒤 서버 접속 및 작업 내역이 기록되는 로그 파일도 조작한 것으로 알려졌다. 이는 자신이 침입한 경로와 작업 내역 등을 지우기 위해 해커들이 흔히 쓰는 수법이다. 하지만 청와대 등 주요 기관은 로그 조작에 대비해 실시간으로 이를 별도 서버에 백업하는데 이번 공격 기록도 별도 서버에 있는 로그 파일에 남아 있는 것으로 전해졌다. 미래부는 이를 분석하면 이번 공격의 주체가 누구인지, 침투 경로는 무엇인지 파악할 수 있을 것으로 보고 있다. 미래부 관계자는 “여러 기관 자료를 비교해 침입 경로, 발생 경위 등을 중점적으로 분석하고 있다”며 “이번 공격에 방어하는 백신을 오늘 새벽 적용한 이후 추가 공격이나 피해는 없다”고 전했다. 특히 이번 공격에는 해커가 악성 스크립트를 설치해 놓은 웹사이트에 방문하면 미리 설정된 특정 사이트로 공격 트래픽을 발생시키는 새로운 유형의 해킹 방식이 사용됐다. 보안업체 안랩에 따르면 해커들은 악성 스크립트 방식과 기존의 좀비 컴퓨터를 이용한 디도스(DDoS·분산 서비스 거부) 공격을 함께 사용했다. 또 보안업체 잉카인터넷은 이번 공격에 극우 성향 인터넷 커뮤니티 일간베스트가 이용됐다는 분석도 내놨다. 미래부 관계자는 “확인되지는 않았으나 기술적으로 가능한 얘기”라고 가능성을 내비쳤다. 전문가들은 반복되는 사이버 테러를 막기 위해서는 다방면의 보안 수준을 높이는 게 중요하다고 지적한다. 조규곤 파수닷컴 대표는 “3·20 테러나 이번 사태에서도 보듯이 보안은 한쪽이 완벽해도 다른 쪽이 문제를 일으키면 소용이 없다”며 “공공기관뿐 아니라 민간이 함께 보안 투자를 늘려야 한다”며 “사고 후 일시적으로 투자하는 것이 아닌 지속적인 투자가 가능하도록 법안 제정 등이 필요하다”고 조언했다. 한편 안랩은 일반 사용자들을 위한 ‘좀비PC 예방 십계명’을 내놨다. 사용자 수가 적은 웹사이트 접속을 자제할 것, 소셜네트워크서비스(SNS) 사용 시 모르는 사람의 페이지에서 단축 경로를 클릭하지 말 것, 신뢰할 수 없는 프로그램에 대한 경고가 나오면 ‘예’ ‘아니요’ 어느 것도 선택하지 말 것 등이다. 강병철 기자 bckang@seoul.co.kr

25일 발생한 해킹은 한국전쟁이 발발한 6·25에 맞춰 청와대 및 정부 부처, 정당, 언론사 등 16개 기관을 대상으로 광범위하게 이뤄졌다는 점이 특징이다. 안랩은 이번 디도스(DDoS) 공격을 유발한 악성코드가 25일 0시부터 배포됐으며 오전 10시에 디도스 공격을 수행하도록 서버로부터 명령을 받은 것으로 확인했다고 밝혔다. 프로그래밍대로 공격은 오전 10~11시에 집중됐다. 안전행정부, 미래창조과학부, 통일부 홈페이지가 줄줄이 문제를 일으켰고 오후 2시 40분쯤 보건복지부 홈페이지에도 접속 장애가 발생했다. 안랩은 또 지난 2011년의 3·4 디도스 공격 때와 마찬가지로 웹하드를 통해 악성코드가 배포된 것으로 분석했다. 이번 해킹 피해는 단순 홈페이지 위·변조나 접속 장애 외에 개인 정보 유출로까지 이어진 것으로 보인다. 해킹을 당한 새누리당 일부 시·도당에서는 당원 명부가 유출됐다는 의혹이 나오고 있다. 박재문 미래부 정보화전략국장도 이날 브리핑에서 “유출된 개인정보를 유포하는 사이트 3곳을 발견해 차단했다”면서 “유출된 정보의 진위 여부와 유출 기관 등을 파악 중”이라고 설명했다. 정부는 이번 해킹을 ‘한 단체의 소행’으로 의심하고 있지만 어떤 단체인지, 목적이 무엇인지를 특정하지 못하고 있다. 해킹된 홈페이지에는 국제 해커그룹으로 알려진 어나니머스(Anonymous)의 이름이 쓰여 있으나 정부는 단정하기는 이르다는 입장이다. 이번 해킹은 북한 소행이라는 주장도 나온다. 6월 25일에 맞춰 대대적인 해킹 공격이 이뤄졌다는 점, 공격수법이 2009년과 2011년 북한이 벌인 디도스 공격과 유사하다는 점 등이 근거다. 그러나 박 국장은 “아직 단정할 단계가 아니다”라면서 “해킹의 경로나 방법, 로그 기록 등을 분석해서 유사성이 발견돼야 하는데 아직 조사하고 있다”고 말했다. 이런 가운데 방송사·금융사 정보전산망이 공격받은 3·20 사이버 테러 이후 석 달 만에 청와대 등의 보안망이 뚫리면서 그간 대책 마련이 소홀했던 게 아니냐는 지적도 나온다. 한편 어나니머스 소속 일부 해커들은 이날 낮 12시를 기해 북한 관련 사이트 46곳을 디도스 공격하겠다고 밝혔다. 일부 사이트는 접속 장애 등을 일으킨 것으로 전해졌다. 어나니머스 측은 이날 북한 웹사이트의 해킹을 통해 확보한 명단을 공개했다. 어나니머스는 이를 “북한 군 고위간부”라고 주장했다. 이 명단에는 곽종구, 권덕기, 김석일, 리철석 등 13명의 이름과 생년월일, 전화번호, 주소 등이 적혀 있다. 하지만 명단 속 주소지가 대부분 북한이 아닌 중국인 데다 일부 인사들은 1982년, 1989년생 등으로 표기돼, ‘고위 간부’란 주장은 무리라는 지적이 나온다. 강병철 기자 bckang@seoul.co.kr

25일 청와대 홈페이지 해킹 사건으로 알려진 정부기관 디도스(DDoS·분산서비스거부) 공격이 보수 성향의 인터넷 커뮤니티로 알려진 ‘일간베스트 저장소’(일베)를 통해 이뤄졌다는 분석이 나왔다. 보안업체 잉카인터넷은 “일베를 통해서 청와대와 국정원, 새누리당 등의 홈페이지를 공격하는 코드가 삽입된 것으로 확인됐다”고 26일 밝혔다. 잉카인터넷과 안랩 등 보안업체의 설명에 따르면 이번 공격에는 다수의 일반 PC를 미리 좀비PC로 만들어 디도스 공격을 하는 기존 방식과 ‘악성스크립트’를 이용한 새로운 방식이 사용됐다. 악성스크립트 방식 디도스 공격은 해당 스크립트를 설치해놓은 웹사이트를 사용자들이 방문하기만 하면 미리 설정해둔 웹사이트로 공격 트래픽(전송량)을 발생시켜 사이트를 다운시키는 방식이다. 해커는 극우 성향 누리꾼들이 주로 찾는 일베 등에 이 악성스크립트를 심어 디도스 공격을 유도한 것으로 알려졌다. 일베 이용자들이 일베를 방문하는 습관적인 행동이 주요 정부기관에 대한 공격으로 이어진 셈이다. 사실상 청와대 홈페이지 해킹이 아닌 디도스 공격으로 인한 일시적 마비 현상으로 보인다. 온라인뉴스부 iseoul@seoul.co.kr

청와대 홈페이지가 어제 또다시 해킹을 당했다. 국무조정실 등 일부 부처와 언론사, 새누리당 8개 시도당의 홈피에서도 해킹 또는 접속 지연 등 해킹 의심사례가 발생했다. 다행히 피해가 크지 않은 것으로 알려졌지만, 최근 들어 청와대만 해도 2011년 3월에 이어 두번째 해킹을 당했다. 아직 공격의 주체가 확인되지 않고 있지만 잇단 사이버 공격으로 인해 국민들은 불안하기 짝이 없는 노릇이다. 북한을 비롯한 특정 세력의 사이버 공격은 어제오늘의 일이 아니다. 2009년 디도스(DDoS·분산 서비스 거부) 공격에 이어 2011~2012년, 지난 3월 농협·언론사의 전산망 마비사태는 엄청난 사회적 혼란과 피해를 낳았다. 이처럼 최근의 사이버 공격 대상은 정부기관은 물론 금융기관 등으로 전방위적이며 지속화 하는 양상으로 바뀌고 있다. 오죽하면 미국·중국 등 국가들도 사이버 공격 대응이 곧 국가 안보를 지키는 것이란 인식 아래 예산을 집중 투입하겠는가. 북한과 대치 중인 우리로서는 하시라도 사이버 경계 태세를 늦춰서는 안 되는 게 작금의 현실이다. 하지만 이번 청와대 홈피 해킹 사태를 보면, 불과 두 달 전 정부가 발표한 사이버 공격 종합 대책이 무색할 지경이다. 정부는 청와대 홈피가 해킹을 당한 뒤 피해 확산을 막는다며 보안 강화를 당부했지만, 사전 홍보 등 기본적인 매뉴얼이 가동됐는지 의심스럽기조차 하다. 이번 해킹은 국제해커집단인 어나니머스가 6·25에 맞춰 북한 사이트에 대한 디도스 공격을 하겠다고 밝힌 터여서 관련 기관은 만반의 대비책을 세웠어야만 했다. 또한 어나니머스가 청와대 홈피 공격은 자신들의 소행이 아니라고 밝혔지만, 해킹의 주체가 이들이든 북한이든 허술한 대비가 문제이긴 매한가지다. 정부기관을 대상으로 한 사이버 공격은 주요 정보가 유출될 우려가 크기에 사전 대비가 철저해야 한다. 우리는 그동안 대규모 해킹 사태가 발생할 때마다 철저한 선제 대응만이 차후의 공격을 막고 피해를 최소화할 수 있다고 주문했다. 사이버 공격을 원천적으로 막는다는 것은 쉽지 않은 게 현실이다. 하지만 정부가 공언한 사이버 민방위훈련은 이번에 가동되지 않았다. 사이버 공격 관련 법률안이 만들어지지 않았기 때문이란 것은 변명일 뿐이다.

어아니머스가 예고한 대로 25일 북한 사이트에 대한 일제 공격을 시작한 것으로 나타났다. 25일 오전 10시 15분 쯤 이날 어나니머스 소속이라고 자신을 밝힌 해커는 자신의 트위터(@Anonsj)를 통해 “조선중앙통신(kcna.kp), 노동신문(rodong.rep.kp), 내나라(naenara.com.kp) 등 북한 웹사이트들을 탱고다운(tango down) 시켰다”는 내용의 글을 게재했다. ’탱고다운’은 어나니머스에서 주로 사용하는 해커들의 은어로 사이트를 해킹해 마비시켰다는 것을 의미한다. 현재 조선중앙통신 등의 북한 홈페이지는 접속이 불가능한 상태다. 앞서 어나니머스는 해커들이 정보공유사이트로 활용하는 패스트빈에 지난달 46개 사이트를 공격할 계획이라고 밝힌 바 있다. 어나니머스는 46개 공격 대상 사이트와 함께 분산서비스거부(DDoS)용 공격 툴을 사용할 것이라고 예고했다. 한편 이날 북한으로 추정되는 세력이 청와대와 국무총리실 홈페이지를 해킹해 접속이 지연되고 있다. 온라인뉴스부 iseoul@seoul.co.kr

국가정보원의 대선·정치 개입 의혹 등을 수사 중인 검찰이 ‘댓글 사건 축소·외압 의혹’과 관련해 서울지방경찰청을 전격 압수수색했다. 검찰이 경찰 핵심 기관을 압수수색한 것은 2007년 ‘한화그룹 회장 보복 폭행 사건’과 2009년 1월 용산참사 수사, 지난해 ‘선관위 디도스(DDoS·분산서비스거부) 공격 사건’에 이어 네 번째다. 경찰이 같은 수사기관인 검찰에 의해 또다시 압수수색을 당하는 수난을 겪은 것이다. 서울중앙지검 특별수사팀(팀장 윤석열)은 20일 오전 9시 검사 4명과 수사관 23명을 사이버범죄수사대와 수사2계 등에 보내 수사라인이 주고받은 각종 문건과 전산 자료, 이메일 내역 등을 확보했다. 압수수색은 대선을 앞두고 서울경찰청이 국정원 여직원의 댓글 사건을 수사하던 수서경찰서에 수사 축소 은폐 압력을 행사했다는 의혹을 규명할 증거 자료를 확보하기 위한 것이다. 압수품에는 서울청장실과 수사과장·부장실, 홍보담당관실의 하드디스크도 포함됐다. 검찰은 지난 8일 권은희 전 수서서 수사과장을 시작으로 중간 수사결과를 발표했던 이광석 전 수서서장 등 경찰 간부들을 불러 수뇌부로부터 사건 은폐·축소 지시를 받았는지 조사해 왔다. 검찰은 조만간 김용판 전 서울청장 등을 피고발인 신분으로 소환할 예정이다. 최지숙 기자 truth173@seoul.co.kr

지난달 20일 KBS·MBC·YTN 등 방송사와 농협·신한·제주은행·NH생명보험·NH손해보험 등 금융기관의 내부 전산망 마비 사태를 일으킨 ‘3·20 사이버테러’는 북한의 소행이라는 공식 조사결과가 나왔다. 정부는 이번 공격이 북한 정찰총국의 소행일 가능성이 큰 것으로 보고 있다. 민·관·군 사이버위협 합동대응팀은 10일 과천 미래창조과학부 브리핑실에서 “피해기관의 감염장비 및 국내 공격 경유지 등에서 수집한 악성코드 76종과 수년간 국가정보원과 군에서 축적한 북한의 대남 해킹 조사결과를 종합적으로 반영해 이렇게 추정했다”고 밝혔다. 합동대응팀에 따르면 공격자는 최소한 9개월 이전부터 목표 기관 내부의 PC나 서버를 장악해 자료를 절취하고 전산망의 취약점을 파악하는 등 지속적인 침투를 해왔다. 백신 등 프로그램의 중앙배포 서버를 통해 PC 파괴용 악성코드를 내부 전체 PC에 일괄 유포하거나 서버 저장장치 삭제 명령을 실행한 것으로 드러났다. 실제로 지난해 6월 28일부터 최소한 6대의 북한 내부 PC가 1590회의 접속을 통해 금융기관에 악성코드를 유포하고 PC에 저장된 자료를 절취한 것으로 확인됐다. 또 올해 2월 22일 북한 내부 인터넷프로토콜(IP)주소(175.45.178.XXX)에서 감염 PC를 원격으로 조작하는 등 국내 경유지에 시험 목적으로 처음 접속한 흔적도 발견됐다. 이는 2009년 7·7 디도스(DDoS·분산서비스 거부), 2011년 3·4 디도스, 농협(2011년), 중앙일보 전산망 파괴(2012년) 등 북한의 이전 해킹수법과 일치한다. 또 사이버테러의 공격 경로를 추적한 결과 북한 내부의 인터넷 주소가 나왔고 접속 흔적을 제거하려고 시도한 사실도 발견됐다. 한편 정부는 11일 국가정보원장 주재로 미래부, 금융위원회 등 15개 정부기관 관계자가 참석하는 ‘국가사이버안전전략회의’를 열어 재발 방지 대책을 논의키로 했다. 홍혜정 기자 jukebox@seoul.co.kr

우리나라 사업자들이 중국에서 활동 중인 북한 해커에게 디도스(DDos, 분산서비스 거부) 공격용 악성코드 파일과 해킹장비를 받아 사업을 하고 북한의 외화벌이까지 도운 사실이 드러났다. 검찰에 따르면 최모(28)씨 등 3명은 북한 해커에게서 받은 해킹 프로그램으로 선물거래(HTS)와 인터넷 게임, 도박사이트 등을 운영해 해커와 수익금을 나눠 가졌다는 것이다. 이들은 북한 해커가 ‘능라도정보센터’ 요원인 줄 알면서 거래를 했고, 이 과정에서 우리 국민의 개인정보 1억 4000만건이 북한에 넘겨졌을 가능성이 높다고 한다. 북한이 이를 이용해 사이버상에서 또 무슨 일을 저지를지를 생각하면 아찔하기만 하다. 북한은 지금 대남 군사적 위협과 동시에 사이버 테러 카드를 만지작거리고 있다. 이런 시기에 사업자 몇 명이 돈에 눈이 멀어 국민의 정보를 북한에 넘겨 국가 안보까지 위태로운 지경으로 내몰고 있으니 통탄할 일이다. 최씨는 백화점·주유소·쇼핑몰 등을 해킹해 고객의 아이디와 비밀번호, 이메일 주소, 주민등록번호 등 개인정보를 확보했다고 한다. 1억 4000만건이면 웬만한 국민의 정보는 다 들어 있을 것 아닌가. 북한이 이를 도용해 우리 사회의 혼란을 야기시키고 인터넷 어느 구석에 악성 코드라도 심어 놓으면 사이버 대란은 불을 보듯 뻔할 것이다. 피의자를 관련법 위반으로 단순하게 처벌하고 넘어갈 사안이 아닌 것이다. 검찰은 철저히 수사해서 전모를 더 밝혀내야 한다. 북한은 이미 1990년대 초부터 해마다 1000명의 ‘사이버 전사’를 양성해 왔다. 당시 김정일 국방위원장은 “인터넷은 총이다. 남한 전산망을 손금 보듯이 파악하라”고 교시까지 내렸다. 김정은 노동당 제1비서도 최근 “용맹한 (사이버)전사만 있으면 어떤 제재도 뚫고 강성국가 건설도 문제없다”고 큰소리를 쳤다. 지난 몇 년 동안 북한의 소행으로 확인·추정되는 사이버 공격이 어디 한두 건인가. 이번 사건은 바로 그런 북한의 전사와 결탁해 사이버 공격 통로를 닦아준 꼴이다. 사이버 공간은 육·해·공·우주에 이어 제5의 전쟁터라고 한다. 국민이 힘을 합쳐 지켜야 할 또 다른 대한민국의 영토인 셈이다. 정보기술(IT) 강국인 대한민국의 국민답게 이제 개인들도 사이버 공간에 대한 경각심으로 무장해야 한다. 이는 총을 들고 우리의 땅과 바다, 하늘을 지켜내는 것 못지않게 중요한 안보 태세이기도 하다.

중국에서 ‘외화벌이’에 나선 북한 해커들에게서 받은 각종 해킹 자료를 활용해 대량 스팸메일 발송과 불법 선물거래사이트 운영 등을 일삼은 일당이 검찰에 적발됐다. 서울중앙지검 공안2부(부장 이정회)는 7일 중국에서 활동하는 북한 해커들과 연계해 각종 불법을 저지른 스팸메일 발송업자 최모(28)씨를 국가보안법상 회합·통신·금품수수·편의제공 위반 등의 혐의로 구속 기소했다. 최씨의 형(29)과 김모(34)씨도 같은 혐의로 불구속 기소했다. 최씨는 2004년부터 중국에서 스팸메일 발송 등을 했다. 2007년 북한 해커들과 손을 잡으면 쉽게 돈을 벌 수 있다고 판단, 북한 노동당 산하 ‘릉라도정보센터’ 소속 해커 및 국가안전보위부 공작원과 접촉했다. 릉라도정보센터는 노동당 39호실 산하 공작기관으로, 합법적인 무역회사로 위장해 각종 불법을 일삼으며 외화벌이를 하는 곳이다. 최씨는 2009년 9월과 2010년 9월 릉라도정보센터 소속 해커 한모씨로부터 디도스(DDoS·분산서비스거부) 공격에 이용할 수 있는 악성코드 파일을 받았다. 이 파일은 2009년 7·7 디도스 공격과 2011년 3·3 디도스 공격 때 사용됐던 것이다. 최씨는 이를 활용해 개인 PC들을 좀비 PC로 만든 뒤 좀비 PC를 통해 스팸메일을 무차별적으로 발송했다. 최씨는 한씨로부터 개인정보 1억 4000여만건을 건네받아 도박·성인사이트를 광고하는 스팸메일을 무작위로 보냈고, 북한 해커가 제작한 스팸메일 대량 발송 프로그램 등도 제공받았다. 최씨는 2011년 5∼7월 북한 국가안전보위부 소속 공작원 리모씨와 또 다른 북한 해커인 일명 ‘신 실장’을 만나 해킹에 필요한 노트북 2대와 USB를 제공하고 대가로 개인정보 1000여건을 받기도 했다. 최씨는 2011년 7월 북한 해커가 해킹한 엔씨소프트의 영업 비밀인 게임 캐릭터 조작 등의 정보가 담긴 ‘오토 프로그램’을 중국에서 판매하고 수익(4500만원)의 50%를 해커에게 건넸다. 2011년 8월부터 지난해 1월까지 북한 해커들이 제작한 주식거래시스템(HTS)으로 불법 선물 거래 사이트를 운영해 13억여원을 챙겼다. 이 수익의 20%도 북한 해커에게 지급하기로 약정했다. 검찰 관계자는 “이번 수사를 통해 북한이 집중 양성한 해커들이 중국 등지에서 활동하는 국내 불법 사이트 운영자에게 해킹한 개인정보를 팔거나 자체 개발한 카드게임 등 각종 불법 사이트를 제공하며 외화를 벌어들이는 정황이 드러났다”고 설명했다. 김승훈 기자 hunnam@seoul.co.kr

북한의 대남·해외 공작 및 사이버테러 핵심 전력으로 지목되는 정찰총국 요원들이 3월 초 중국 등 해외로 파견됐으며 중국을 무대로 사이버 공작 활동을 전개하는 것으로 파악됐다. 미국 자유아시아방송(RFA)은 22일 북한군 출신 소식통의 말을 인용해 이번 전산망 마비의 배후가 정찰총국이라고 보도했다. 이 소식통은 “지난달 평양으로 들어갔던 정찰총국 3국 기술정찰국 소속 요원들이 3월 초순 중국 등 해외로 다시 급파됐다”며 “이 사이버 전사들은 평양 시내 고급 아파트를 배정받고 훈장 등 포상에 고무됐다”고 전했다. 북한 관련 소식통 등에 따르면 정찰총국 산하 해킹 부대원들은 위장 신분으로 중국에서 활동하는 것으로 알려졌다. 이들은 오전에 출장 명령을 받으면 오후에 중국으로 들어갈 만큼 해외 여행이 자유롭고 대좌(대령)급 이상은 북한에서 매달 400달러(약 45만원)를 받는 것으로 알려졌다. 탈북자 출신인 김성민 자유북한방송 대표는 “정찰총국 요원들은 외화벌이 무역회사 직원 등으로 위장해 중국에서 친북사이트 운영 등 사이버 공작 활동을 한다”며 “이들은 베이징, 단둥, 선양 등을 거점으로 건물을 빌려 집단 생활을 하고 숫자도 100명은 넘을 것”이라고 전했다. 해커 요원을 교육하는 기관 중 하나인 평양 미림대학(현 김일자동화대학)의 경우 1986년 설립됐으며, 매년 200여명의 졸업생이 정찰총국 산하 110호 연구소 등 사이버 전담 부서에 배치된다. 김일자동화대학 출신의 한 탈북자는 “졸업생들은 110호 연구소에 소속돼 해킹 및 보안 프로그램 침투 등 전문 기술을 연구한다”면서 “영어, 일본어 등 외국어로 수업을 하며 미국 정부 전산망을 파괴할 수 있는 능력을 갖췄다”고 증언했다. 북한의 사이버 공작도 디도스(DDoS) 공격 등 직접적인 테러뿐 아니라 심리전과 정보 수집, 여론 분열 등의 방식으로 다양하게 전개되고 있다. 유동열 치안정책연구소 선임연구관은 “이번 사이버테러는 110호 연구소에서 1년 넘게 작업한 것으로 본다”며 “대남 공작 부서에서는 이미지와 영상 오디오 등에 비밀 메시지를 숨겨 교신하는 ‘스테가노그래피’ 방식 등 첨단 기법도 활용한다”고 말했다. 이는 알카에다가 2001년 9·11 테러 공격을 준비할 때 사용했던 방식이다. 하종훈 기자 artg@seoul.co.kr