한수원 이메일 계정 최소 211개 도용…"오래전부터 계획"(종합)
지난 9일 이후에도 3일 동안 악성코드 담긴 이메일 추가 발송 합수단 "퇴직자 이메일은 55개, 모두 다음 등 사설 이메일"
|
(서울=뉴스1) 전성무 기자,홍우람 기자 =
한국수력원자력의 원자력발전소 내부 자료 유출 사건을 수사 중인 개인정보범죄정부합동수사단(단장 이정수 부장검사)은 26일 유출범이 도용한 한수원 전·현직 직원 이메일 계정이 이날까지 확인된 것만 총 211개에 달한다고 밝혔다. 합수단 관계자는 "지난 9일 해커로 추정되는 인물 또는 집단이 한수원 직원에게 악성코드가 포함된 대량의 이메일을 발송했다"며 "발송된 이메일 분석결과 도용된 이메일 계정은 총 211개로 보인다"고 말했다. 합수단에 따르면 도용된 이메일 계정 211개 가운데 한수원 퇴직자 이메일 계정은 모두 55개로 'co.kr'로 끝나는 한수원 사내 이메일 계정이 아닌 다음, 지메일, 핫메일 등 사설 계정이었다. 나머지는 한수원 현직 직원이나 '제3자'의 이메일 계정으로 나타났다. 이밖에 지난 9일 이후에도 악성코드가 담긴 이메일이 한수원 직원들에게 지난 10~12일 3일에 걸쳐 6건 가량이 발송된 사실이 새롭게 확인됐다. 주로 '견적서', '시방서', '자료배포', '송전선로' 등 단어가 포함된 업무 관련 미끼성 제목이 달려 보내졌다. 합수단은 또 한수원 직원들에게 이메일을 발송하고 유출된 원전 관련 자료를 지난 15일부터 5차례에 걸쳐 네이버, 네이트 등 국내 포털과 트위터에 올린 인물 또는 집단이 동일하다고 결론 냈다. 지난 9일 발송된 이메일로 한수원에서는 현재까지 내부망에 연결된 업무용 컴퓨터 3대와 외부망이 연결된 컴퓨터 1대 등 4대의 컴퓨터가 악성코드에 감염됐는데, 모두 재부팅 해보니 'WHO AM I'라는 문구가 화면에 표시됐다. 'WHO AM I'는 인터넷에 유출된 원전 도면 이미지에 임의로 덧씌워진 문구와 동일하다. 이들이 이용한 국내 가상사설망(VPN) 업체 3곳에서 IP를 역추적 한 결과 '175'로 시작하는 12자리 주소 가운데 11자리가 동일했고 끝자리만 다른 유사성을 보이기도 했다. 합수단 관계자는 "협박 게시자 인터넷프로토콜(IP) 분석 결과 동일 시간대에 같은 IP로 한수원 퇴직자 이메일 계정에 접속한 사실이 확인됐다"며 "양쪽 모두에서 한수원 퇴직자 명단을 가진 동일인 또는 집단이 연루돼 있다는 방증이다"고 말했다. 앞서 합수단은 한수원 직원들에게 발송된 이메일에 첨부된 한글파일에 총 300여종의 악성코드가 담겨있는 사실을 확인하고 유포 경위를 추적 중이다. 이 악성코드는 분석결과 하드디스크를 파괴하는 기능은 있었지만 자료를 유출하는 기능은 없었던 것으로 파악됐다. 이에 따라 합수단은 이번 원전 자료 유출 사건은 이메일이 대량 발송되기 이전부터 오랫동안 치밀하게 계획됐다고 보고 수사 중이다. 특히 이 이메일은 국내 VPN에서 부여된 IP를 이용해 발송된 것이었고 역추적 한 결과 북한 정찰총국 소속 해커들이 주로 활동하는 동북 3성 내에 있는 중국 선양에서 접속이 집중된 것으로 확인됐다. 합수단은 국내 VPN에 300회 이상 접속한 사실이 확인된 선양 현지 통신업체(ISP?Internet Service Provider) 가입 IP 20~30개를 특정해 중국 공안에 제출하고 국제공조수사를 요청한 상태다.
<저작권자 © 뉴스1코리아, 무단전재 및 재배포 금지> <저작권자 © ‘돈이 보이는 리얼타임 뉴스’ 머니투데이, 무단전재 및 재배포 금지>
|
)
)