군(軍)정찰국 115호 연구소 지휘 핵·미사일과 같이 계획짠듯
북한인 확실한 해커 윤(尹)모 기계연(硏) 공격했다 꼬리밟혀

국가정보원은 이번 한·미 주요 기관에 대한 사이버테러 공격 경로 추적을 통해 "평양에 지휘부를 둔 북한 해커조직들이 중국 등에서 동시다발로 실제 공격을 감행했을 것"이라고 판단하고 있는 것으로 10일 알려졌다. 한 소식통은 "북한은 올해 초부터 치밀하게 사이버테러를 준비했을 것"이라고 했다.

◆"지휘부는 평양 115호 연구소"

국정원은 이번 사이버테러의 지휘부로 그간 국내에 전혀 알려지지 않았던 '115호 연구소'를 지목하고 나서 주목된다. 이 기구는 이번 사이버테러를 앞두고 북한 해커조직에 "남조선 괴뢰 통신망을 파괴할 수 있는 프로그램을 개발하라"(국정원 입수 문건)는 지시를 내린 것으로 국정원은 파악하고 있다.

소식통은 "115호 연구소는 소프트웨어 개발 회사 등으로 위장한 평양의 해커 지휘부로 추정된다"고 했다.

정보 당국에 따르면 북한은 정보화 시대가 열리기 시작한 1990년대 초 적군(敵軍)의 컴퓨터 명령 체계를 교란시키기 위한 해커부대를 만들었다. 90년대 후반에는 이 부대를 해킹과 사이버전 전담부대로 확대 개편했다. 2006년 공개된 한국군 보고서는 "북한 해커부대가 미 태평양사령부의 지휘통제소를 마비시키고 미 본토 전산망에도 피해를 줄 수 있다"고 평가했다.

◆중국 북경·심양 등이 거점

국정원이 이번 테러를 북한 소행이라고 자신하는 것은 "북한인이 확실한 해커 윤모의 IP를 확인했기 때문"(정부 당국자)이란 설명이다. 이 해커는 6월 30일 중국 심양에서 한국기계연구원 광주전산망을 디도스(DDoS·분산서비스 거부)로 처음 공격했다가 국정원에 꼬리를 밟혔다. 이에 앞서 북한은 북경과 심양에서 보위부 직원이 운영하는 것으로 추정되는 위장 업체를 통해 모의 공격을 연습한 것으로 정보 당국은 파악하고 있다.

정보 당국자는 "윤모를 포함해 중국 등에 흩어진 북한의 사이버 공작조들이 115호 연구소의 지휘를 받아 악성 코드를 심어 공격명령 서버(Command & Control Server)를 조종하는 수법으로 국내외 수만대의 '좀비 PC'를 만들어낸 주범일 것"이라고 했다. 정부 관계자는 "디도스 공격에 동원된 16개국 86개 IP에 북한이 없는 이유는 사이버 공작조들이 주로 중국이나 동남아, 일본에서 공격을 감행하기 때문으로 추정된다"고 했다.

북한의 이번 공격은 6월 초부터 감지됐지만 실제 준비는 올 초부터 시작됐을 것이란 관측이 많다. 북한군 총참모부 대변인은 1월 17일 군복을 입고 TV에 출연해 "전면적 대결태세 진입"을 선언했다. 같은 달 30일엔 조평통이 나서 "남북 간 정치 군사적 합의를 무효화하겠다"고 했다. 안보부처 당국자는 "북한이 올해 초 대외 공격 계획을 짜면서 장거리미사일 발사, 핵실험과 함께 사이버테러도 준비했을 가능성이 높다"고 했다.

특히 이번 공격은 무작위로 진행된 게 아니라는 평가다. 6월 30일 한국기계연구원 광주전산망 → 미국 독립기념일인 지난 4일(현지시각) 백악관 → 7일 청와대·국방부·조선닷컴 등 한·미 주요기관 → 김일성 15주기인 8일 국정원·국민은행 등 → 9일 정부전자민원창구·조선닷컴 등 → 10일 좀비 PC 하드 파괴에 이르기까지 치밀한 계획에 따라 한·미를 번갈아 가며 공격하는 행태를 보였다. 남주홍 경기대 교수는 "북한이 즉흥적으로 도발하는 사례는 거의 없다"며 "현실 공간에선 핵무기로, 가상공간에선 해킹으로 비대칭적 전력 우위를 차지하기 위해 오랜 기간 준비했을 것"이라고 했다.