하나투어 해킹, 조사 일주일도 안돼 북한 소행?

[한겨레] Weconomy | 김재섭의 뒤집어보기

국내 최대 여행사인 하나투어 컴퓨터(서버)를 해킹해 고객 개인정보를 대량 빼내간 해커로 ‘북한’이 지목되고 있다. 일부 언론이 수사를 맡고 있는 경찰 쪽의 말을 들어 ‘해킹 주체가 북한일 가능성이 높다’고 전하고 있다. 해커가 훔쳐간 개인정보를 돌려주는 대가로 가상화폐를 요구했다는 점이 근거로 꼽혔다.

북한이 그랬을 가능성도 배제할 수는 없다. 갈수록 조여드는 경제 제재로 외화벌이에 어려움을 겪고 있는만큼 해킹을 통해 중요한 정보를 가로챈 뒤 돈을 주면 돌려주겠다고 했을 수 있다. 수사를 하고 있는 경찰 쪽에서는 당연히 염두에 두고 있어야 하고, 다른 관련기관들도 가능성에 대비해야 한다고 본다.

일부 언론, 경찰 쪽 인용해 “북한 소행 가능성 높다”
정보 돌려주는 대가로 가상화폐 요구했다는 게 근거
랜섬웨어 공격 등 돈벌이 해킹 급증하는데 성급한 추론
“보안 관련 조직 확장 위해 ‘북한소행설’ 남발” 지적도

반면, 다른 가능성도 있다. 얼마 전까지만 해도 해커들은 자신의 실력을 뽐내거나 인터넷 보안에 대한 경각심을 높이고, 악덕 기업을 혼내주는 등의 목적으로 해킹을 하는 경우가 많았다. 이런 탓에 해커들의 ‘불법 행위’가 때로는 순기능으로 작용하기도 했다. 하지만 요즘은 돈벌이 목적으로 해킹을 하는 경우가 잦다. 파일을 암호화해 사용하지 못하게 해놓은 뒤 돈을 주면 해제 키를 주겠다고 하는 ‘랜섬웨어’ 공격이 급증하는 게 대표적이다.

※ 누르면 확대됩니다.

돈벌이를 필요로 하는 곳(사람)이 북한만이 아니라는 점에서 가상화폐를 요구했다는 것만으로는 북한 소행이라고 단정하기 어렵다. 물론 경찰이 하나투어 해킹을 북한 소행으로 볼 수 있는 확실한 정황이나 물증을 잡았지만 수사 보안 때문에 공개하지 않았을 수도 있다. 하지만 박정호 한국인터넷진흥원 부원장은 17일 국정감사 때 이와 관련된 질문을 받고 뚜렷한 답을 하지 않았다. 그는 검찰이 지난 6월 일어난 국내 최대 가상화폐 거래소 ‘빗썸’에 대한 해킹을 북한 해커의 소행으로 보고 수사중이라는 언론 보도에 대해서도 “판단하기 쉽지 않다”고 말했다.

이전 해킹 사건에 견줘 해커가 특정된 시점이 상당히 빠른 것도 이상하다. 하나투어는 17일 누리짐에 공지문을 올려 해킹을 당해 고객 개인정보가 유출된 사실을 공개하고 사과했다. 한국인터넷진흥원은 이날 국정감사에서 지난 11일 하나투어가 해킹당한 사실을 신고받아 지난 주말부터 본격 조사를 벌였다고 밝혔다. 본격 조사가 시작된 지 일주일도 안돼 해커를 추적한 셈이 된다.

해커의 능력은 서버 관리자 몰래 방화벽을 뚫고, 흔적을 남기지 않으면서 자료를 빼내고, 추적을 얼마나 잘 피하느냐가 핵심이다. 이를 위해 가상으로 만든 ‘공갈 서버’와 ‘좀비’ 컴퓨터 등을 포함해 사전에 세계 여러 나라를 거미줄처럼 경유하고, 갖가지 방법으로 다른 사람이 한 것처럼 위장하기도 한다. 며칠만에 추적됐다면 완전 초보 해커이거나 진범이 아닐 수도 있다는 지적이 나온다.

실제로 세상을 떠들썩하게 했던 해킹 사건 가운데 상당수는 몇 달 내지 몇 년씩 조사가 진행중이거나 해커를 잡지 못한 채 조사가 마무리됐다. 그 중에는 ‘북한 소행’ 가능성으로 종결된 것도 있다. 북한이 많이 쓰는 인터넷주소(IP) 데이터가 발견됐고, 해킹에 사용된 악성코드의 프로그래밍 기법이 그동안 북한 해커들이 사용해왔던 것과 유사하다는 등의 설명이 달렸다.

보안 전문가들의 말을 들어보면, 북한 소행 가능성이 제기되는 순간부터 해커 추적 작업은 동력을 잃는다. 이후 추적 작업은 북한의 혐의를 벗겨주기 위한 행위로 오해될 수 있기 때문이란다. 해커 추적에 실패했는데 솔직히 밝히기 곤란할 때 ‘북한 소행’ 카드를 써먹는 것 같다고도 했다.

시민단체 쪽에서는 관계기관들이 조직을 늘리는 수단으로 ‘북한소행설’을 써먹는 거 아니냐는 의혹도 제기한다. 이전에 주요 국가기관·국책연구소와 기업·대학 수백곳이 해킹을 당했다는 발표가 잦을 때가 있었다. 그 때마다 보안업체 주가는 치솟았고, 이후 국가정보원·경찰·기무사 등의 사이버 공격 대응 조직이 커졌다.

당시나 지금이나 누리집 서버 등 별로 중요하지 않은 정보가 담겼거나 해커가 분탕질을 쳐놔도 쉽게 복구할 수 있는 것은 속도 때문에 방화벽 밖에 두는 경우가 많다. 사실상 누리집 서버는 해킹 집계 대상에서 제외시켜야 하지만 그러지 않았다. 기관과 기업의 이름을 공개하면서도 해킹을 당한 게 어느 서버였는지는 분명하게 밝히지 않을 때가 많았다.

이런 저런 이유로 하나투어 해킹에 대한 경찰의 수사 결과 발표가 기다려진다.

김재섭 기자 jskim@hani.co.kr

◎ Weconomy 홈페이지 바로가기: http://www.hani.co.kr/arti/economy/home01.html/
◎ Weconomy 페이스북 바로가기: https://www.facebook.com/econohani/

▶ 한겨레 절친이 되어 주세요! [신문구독]
[사람과 동물을 잇다 : 애니멀피플] [카카오톡]
[ⓒ한겨레신문 : 무단전재 및 재배포 금지]