석호익 통일IT포럼회장/한국디지털융합진흥원장
북한이 외교·안보 부처와 청와대 공무원의 이메일이나 장관급 인사의 스마트폰 해킹을 시도하고 국민생활과 밀접한 보건·산업 시설까지 전 방위 사이버 테러를 벌이고 있다. 대검찰청은 지난 1일 스피어피싱(특정인을 목표로 개인정보를 훔치는 피싱)이 의심된다는 신고를 접수해 수사한 결과 북한해킹조직으로 추정되는 단체가 올해 1월부터 6월까지 외교·안보 부처 공무원 등을 대상으로 이메일 해킹을 시도해 일부 비밀번호가 유출됐다고 밝혔다. 범행 대상은 외교부·통일부·국방부 공무원 및 출입기자, 북한 관련 연구소 교수, 방산 업체 직원 등 90여명이다. 이 중 56명의 이메일 비밀번호가 유출됐다고 한다. 검찰은 “2014년 발생한 한국수력원자력 자료유출 사건과 도메인, 보안 공지를 위장한 피싱, 이메일의 내용, 피싱 사이트 웹 소스코드, 탈취 계정 저장 파일 형식, 범행에 사용된 중국 선양 IP 등 범행 수법이 동일하다”며 “북한 해킹 조직에 의한 소행으로 추정된다”고 밝혔다.
북한이 즐겨 쓰는 사이버테러 방법은 중요 정보를 다룰 만한 위치에 있는 공무원의 이메일 등 개인정보를 사전에 파악한 뒤, 이메일 비밀번호를 탈취해 이메일에 저장된 안보 관련 중요정보를 입수하는 식이다. 북한은 지난 1월에도 청와대·외교부·통일부 등을 사칭한 해킹 메일을 정부기관과 국책 연구기관 관계자들에게 보냈다. 지난 3월에는 북한이 정부 및 국내 주요 인사들의 스마트폰을 해킹해 온 사실도 드러났다. 5월에는 북한 해커 조직으로 추정되는 집단이 국내 방산 업체와 무기 중개상들을 대상으로 방위사업청을 사칭한 해킹 이메일을 발송해 군 당국이 조사 중이다.
산업·보건 시설도 사이버테러 대상이 되고 있다. 2014년 8월에는 대학병원 전산망에 침입해 서버를 장악했으며 그 해 12월에는 북한이 한국수력원자력 조직도와 설계도면 등을 6차례에 걸쳐 85건을 탈취해 블로그 등에 올린 사건으로 보안업계를 떠들썩하게 하기도 했다. 2015년 11월에는 국내 한 금융보안업체를 해킹, 인증서를 유출해 악성코드를 제작한 뒤 10개 기관 PC 19대에 악성코드를 유포한 바 있다. 지난 5월에는 인터넷 쇼핑몰 인터파크를 해킹해 1030만명의 회원정보를 빼돌리고 이를 유출하겠다고 협박하고 30억원어치의 비트코인(가상화폐)을 요구하기도 했다.
정보당국은 북한의 정찰총국 산하 121국에서 사이버테러 컨트롤타워 역할을 하는 것으로 파악하고 있다. 북한의 사이버요원은 엘리트코스를 밟은 젊은이로 최대 6000명에 이르는 것으로 추산하고 있다. 또한 북한은 대외관계 상황 등을 고려한 정교한 계획 아래 사이버 도발을 획책한다. 2013년 방송사와 금융기관 등을 상대로 한 3.20 사이버테러는 북한이 장거리 로켓 발사에 이어 3차 핵실험을 한 직후 벌어져 무력 도발을 극대화하는 효과가 있었다. 같은 해 청와대 홈페이지를 해킹해 변조한 6.25 테러는 남북 당국회담 무산에 대한 반발, 한국수력원자력 테러는 유엔의 북한 인권 의제 논의라는 국제사회 제재에 대응하는 수단으로 분석됐다. 이번 외교·안보 공무원 이메일 해킹 사건 역시 북한이 극도로 예민해하는 우리 정부의 사드 배치 결정과 무관하지 않다는 게 정보당국의 분석이다.
검찰은 국정원 및 한국인터넷진흥원과 협조해 해당 피싱 사이트를 폐쇄하고, 피해자의 비밀번호를 변경하도록 하는 등 보호조치를 취하고 예방 모니터링을 강화하기로 했다. 그러나 북한의 계속적인 사이버 공격에 적절한 보안 대책이 마련돼 있는지는 의문이다. 더 이상의 침해를 막기 위해서는 사회기반시설 내 취약시스템에 대한 보안점검과 그 결과에 따라 대책을 마련하고 각종 제도를 재정비해야 한다. 그리고 개인정보보호를 위한 기본이자 중요한 비밀번호는 나만이 알 수 있고 중복되지 않는 안전한 비밀번호를 설정하고 주기적으로 변경해야 한다. 지난 6월 제정된 정보보호산업법에 따라 정보보호 신 시장 창출과 체계적 산업 진흥 기반도 조성해야 한다. 정보보호 제품과 서비스에 정당한 대가를 주는 풍토도 정착해야 한다. 또한 19대 국회에서 폐기된 국가사이버안전법도 조속 제정해야 하겠다. 날로 더 교묘해진 북한의 해킹을 민관 공히 총력으로 대응해야 한다.