<3·20 사이버 도발>동일조직이 6곳 모두 공격… 특정세력 ‘의도적 테러’ 추정

이번에 집중적으로 해킹 피해를 본 언론·금융 6개사 모두 동일 조직에 의해 공격이 자행된 것으로 조사돼 이번 악성코드 공격이 특정 세력에 의해 조직적인 형태로 이뤄진 것으로 추정된다. 특히 중국 인터넷프로토콜(IP)이 농협 업데이트 서버에 접속해 악성파일을 만든 것으로 조사돼 해커 실체 범위가 사건 초기보다 다소 좁혀졌다.

21일 방송통신위원회 등에 따르면 정부는 이러한 악성코드 공격이 동일 조직에 의해 이뤄졌다고 판단하고 있다. 방통위 고위 관계자는 이와 관련해 “아직까지 조사가 충분히 이뤄지지 않아 가정을 갖고 설명하기는 곤란하다”고 전제한 뒤 “다만 하드디스크를 손상시키는 악성코드의 특징들이 6개 피해회사에서 동일한 데다 악성코드 문자가 똑같이 나타난 점으로 봤을 때 동일 조직에 의한 소행인 것으로 추정된다”고 말했다. 특히 중국 IP(101.106.25.105)가 농협 업데이트 서버에 접속해 악성파일을 생성한 것으로 조사돼 해커 실체에 대한 규명은 사건 초기보다 다소 진전된 것으로 보인다.

현재로선 추가 피해 가능성도 배제할 수 없다는 게 정부의 입장. 하지만 이번 악성코드 공격은 주로 자산 관리 서버를 해킹해 악성코드를 퍼뜨린 형태의 공격이기 때문에 주요 기관에 백신 업데이트 서버를 인터넷과 분리하도록 통보했다고 방통위는 설명했다. 이러한 작업이 이뤄지면 향후 같은 유형의 공격에는 어느 정도 대응이 이뤄질 것으로 예상된다.

악성코드 유무를 진단하고 치료하는 백신 프로그램이 해킹의 주요 경로로 활용된 것으로 드러났다.

방통위 관계자는 이날 “피해 기업에서 수집한 악성코드를 분석한 결과 피해 기업의 백신 프로그램 업데이트 관리 서버를 거쳐 직원들의 PC로 악성코드가 유포된 것으로 확인됐다”고 밝혔다. 백신 프로그램은 특성상 새로운 악성코드에 대한 인지와 이에 대한 치료 방법을 계속 업데이트해야 하는데 현재까지 드러난 정황으로는 해커가 이러한 백신 프로그램의 작동 방식을 교묘히 이용해 방송사, 금융회사 등의 전산망에 악성코드를 퍼뜨려 무력화한 것으로 나타났다.

하우리는 해커가 자사 시스템의 취약점을 이용해 악성코드를 유포한 것은 사실이라고 밝혔다. 안랩은 공식적으로 해킹을 당했는지 여부는 인정하지 않았지만 백신 프로그램 업데이트 과정을 통해 악성코드가 심어졌다는 점에 대해선 시인했다. 안랩과 하우리는 국내 정보보호업계 1, 2위 기업으로 국내 대부분의 기업과 공공기관이 이 회사들의 백신 프로그램을 사용하고 있는 상태다. 통상 백신 프로그램의 업데이트 시스템은 운용되는 서버 차원에서 볼 때 업데이트 서버, 업데이트 관리 서버, 자산 관리 서버 등 3단계로 구분할 수 있다.

업데이트 서버란 외부 네트워크 인터넷데이터센터(IDC)에 위치하며 전 제품에 대한 업데이트를 수행하는 업데이트용 서버를 통칭하고, 업데이트 관리 서버란 말 그대로 이를 관리하는 서버를 말한다. 자산 관리 서버란 기업의 내부 네트워크에서 최신 소프트웨어로 유지되는지 중앙에서 관리하는 서버를 가리킨다. 안랩은 점검 결과 자사 업데이트 서버와 업데이트 관리 서버에 해킹당한 흔적이 없는 점으로 미뤄 자산 관리 서버에서 문제가 발생했다고 밝혔다.

유회경·최준영 기자 yoology@munhwa.com