한수원 이메일공격 추가 확인…유출범과 동일인물 가능성(종합)

한국수력원자력의 원전 도면 등 유출 사건을 수사 중인 개인정보범죄 정부합동수사단(단장 이정수 부장검사)은 악성코드를 심은 이메일 공격이 수개월전부터 준비돼온 정황을 확인했다고 26일 밝혔다.

합수단 관계자는 이날 “한수원 자료에 로그인된 기록을 보면 이메일 공격이 이뤄진 지난 9일 이전에도 상당한 흔적이 있다”며 “최소한 수개월 전부터 준비한 것으로 보인다”고 밝혔다.

이 관계자는 “전문적인 지식을 갖춘 자의 집단에서 지속적으로 저지른 범행 같다”며 “한 사람이 저질렀다고 보기에는 양이 많다”고 덧붙였다.

합수단은 지난 9일 악성코드를 심은 다량의 이메일이 한수원 퇴직자 명의의 계정에서 한수원 직원들에게 발송된 사실을 파악했다.

합수단은 추가 수사를 통해 지난 9일 이후에도 악성코드를 담은 이메일 6개가 한수원 직원에 발송된 사실을 추가 발견했다.

발송된 이메일들에는 ‘파일 삭제’ 기능이 있는 공격용 악성코드가 심어져 있는 것으로 조사됐다. 다만 컴퓨터 내부정보를 유출하는 기능은 없는 것으로 확인됐다.

합수단 관계자는 “자료를 빼내려는 게 아니라 파일을 망가뜨리려는 의도로 보인다”면서 “정보 유출은 12월9일 이전에 행해진 것으로 추정된다”고 말했다.

합수단이 한수원으로부터 제출받아 분석 중인 컴퓨터 4대도 이메일 공격을 받아 파괴된 것이다. 한수원 내부 업무용 컴퓨터 3대, 외부 인터넷 사용 목적으로 쓰인 컴퓨터 1대다.

지난 9일부터 12일까지 한수원에 악성 이메일을 발송한 이메일 계정은 모두 211개로 파악됐다. 이중 55개가 한수원 퇴직자 명의를 도용한 이메일 계정인 것으로 드러났다. 포털사이트 다음의 한메일과 구글의 지메일, MSN의 핫메일 등의 계정이 도용됐다.

한수원 퇴직자 명의가 아닌 이메일 계정은 제3자의 것들이며, 이들 계정 중에는 현직 한수원 내부 직원의 계정은 없는 것으로 나타났다. 제3자인 명의도용 피해자 중에는 세종시에서 농업에 종사하는 농민도 있는 것으로 전해졌다.

이메일에는 ‘○○ 도면입니다’라는 제목 외에도 ‘견적서’, ‘시방서’, ‘송전선로 프로그램 관련’ 등 한수원 직원이라면 무심코 이메일을 열어볼 수 있도록 ‘미끼 제목’을 붙여놓았다.

합수단은 이메일 공격을 한 인물과 지난 15일부터 최근까지 5차례에 걸쳐 인터넷 블로그와 트위터 등에 원전도면 등 한수원 주요 자료를 유출·공개한 인물이 동일 인물일 가능성이 크다고 보고 있다.

합수단에 따르면 지난 9일 이메일 공격에 동원된 악성코드는 실행할 경우 컴퓨터의 데이터가 파괴되는데, 이 컴퓨터를 다시 부팅하면 ‘WHO AM I?’라는 문구가 나타난다. 이는 자료 유출범 추정 인물이 인터넷에 글을 올리면서 쓴 문구와 같다.

또 이메일 공격을 했던 지난 9일부터 유출 자료를 담은 3번째 글이 게시된 지난 19일까지 범인 추정 인물은 중국 선양에서 300회 이상 IP 접속을 한 것으로 파악됐다.