연간 300여 명의 해커 배출, 중국 대도시 거점으로 활동. 黨에는 중앙당 작전부 산하의 ‘414연락소’, 軍에는 인민무력부 정찰국 ‘258연구소’가 중심
7·7 DDoS 테러 사건으로 南北관계는 새로운 국면에 진입했다.
이제 남북 관계는 新냉전, 즉 사이버 전쟁에 돌입한 것이다. 한국이 자랑하는 IT 강국이 이제는 북한 공격에 가장 취약한 고리가 됐다
⊙ 김정운 휘하 해외정보 태스크포스팀(한국팀과 미국-일본팀)이 DDoS 테러 감행
⊙ 북한 해커들, 남북 사이버 전쟁에 자신감 보여
⊙ 북한에서 해커 전문교육을 받은 학생들이 한 해 300명 정도 배출
⊙ 북한 해외 정보활동은 김정운 휘하의 해외정보 태스크포스팀을 중심으로 온라인화할 것
7·7 DDoS 테러 사건으로 南北관계는 새로운 국면에 진입했다.
이제 남북 관계는 新냉전, 즉 사이버 전쟁에 돌입한 것이다. 한국이 자랑하는 IT 강국이 이제는 북한 공격에 가장 취약한 고리가 됐다
⊙ 김정운 휘하 해외정보 태스크포스팀(한국팀과 미국-일본팀)이 DDoS 테러 감행
⊙ 북한 해커들, 남북 사이버 전쟁에 자신감 보여
⊙ 북한에서 해커 전문교육을 받은 학생들이 한 해 300명 정도 배출
⊙ 북한 해외 정보활동은 김정운 휘하의 해외정보 태스크포스팀을 중심으로 온라인화할 것
한국의 주요 인터넷 기관망을 흔들어 버린 7·7 DDoS 공격으로 북한이 과연 이 사건의 배후인지에 대해 관심이 높아졌다. 이번 테러의 배후는 정말 북한일까? 만약 배후라고 하면 그걸 어떻게 입증할 수 있는가?
그걸 입증하는 방법은 두 가지일 것이다. 하나는 첨단 정보 기술을 통한 방법이고, 다른 하나는 이 테러를 저지른 사람을 통해 확인하는 방법이다.
그럼 먼저 이번 테러의 배후를 기술적인 방법만으로 알 수 있을까? 이 질문에 대한 필자의 답변은 적어도 기술적으로는 입증하기 어렵다고 생각한다.
기술적인 측면에서 정황 증거는 많이 나올 수 있으나 직접적인 증거는 나오기 어렵다고 생각한다. 그 이유는 바로 이번 DDoS 공격의 최초 발원지를 찾았다고 해도 그 IP(인터넷 주소)는 북한일 수 없기 때문이다.
지난 7월 10일 국정원은 이번 DDoS 공격이 19개국 92개 IP를 통해 감행됐다고 밝혔다. 그리고 이 IP 중에는 북한發(발) IP가 있을 수 없다. 북한에는 사용 중인 IP가 없으니까 말이다.
게다가 이 IP라는 것은 사람이 아니다. 즉 미국 IP를 통해 공격했다고 해서 미국 사람이 이 공격에 가담했다고 단정할 수 없다. 1차 공격을 한 사람이 미국 서버를 단지 경유했을 수도 있기 때문이다. 이 19개국 중에는 과테말라, 파키스탄처럼 우리에게 낯선 나라도 있고 중국, 일본뿐만 아니라 심지어 한국도 포함되어 있다.
공격을 감행한 IP가 이렇게 많다는 것은 그만큼 공격을 한 사람이 자신을 철저히 위장했을 가능성이 크다는 것이다. 사이버 테러는 그렇게 많은 사람이 필요하지 않다. 실력만 있으면 한 자리 숫자의 사람만 있어도 충분히 가능하다. 92개의 IP가 나왔다고 해서 92명의 사람이 필요한 것이 아니다. 그 IP 서버에 사전에 프로그램만 심어 놓으면 충분히 공격 가능한 것이다.
중국의 협조 없이는 최초 발원지 IP 추적 어려워
물론 기술적으로 경유 IP가 아니라 발원지의 IP를 찾는 것은 가능하다. 그런데 발원지를 찾기 위해서는 그 IP 서버가 있는 나라의 네트워크에 접속이 가능해야 한다. 그러기 위해서는 그 나라의 도움이 필요하다. 그런데 중국 같은 나라가 그 발원지 서버를 찾기 위해 自國(자국)의 인터넷 네트워크를 우리에게 공개하기는 어려울 것이다. 때문에 중국의 협조 없이는 발원지 IP를 찾아내는 것도 쉽지 않다.
뿐만 아니라 설령 중국이 협조한다고 해도 근본적인 증거가 나오는 것은 아니다. 만약 중국 당국이 자국의 네트워크를 공개하고, 그 결과 발원지가 중국 IP임이 입증된다 한들 그 IP를 통해 공격을 감행한 사람이 누군지 알기는 어렵다. 그 IP를 통해 공격을 감행한 사람은 북한인일 수도 있지만 중국인, 심지어 한국인일 수도 있다.
때문에 필자는 이번 공격의 직접적인 배후를 기술적인 수단만을 가지고 확증하는 것은 사실상 불가능하다고 말하는 것이다.
물론 정황 증거는 다양하게 나올 수도 있다. 북한은 과거에도 해킹의 역사가 길기 때문에 해킹의 패턴을 비교하면 북한과 비슷한지 아닌지 알 수 있다. 그리고 북한 해커들이 자주 써온 IP가 중복해서 나온다면 그것도 정황 증거가 될 수 있다. 그러나 IP 사용은 항상 변경 가능하기 때문에 그것만 가지고는 직접적 증거라고 확증할 수 없다.
하지만 공격의 배후를 입증할 방법이 전혀 없지는 않다. 그 방법은 기술적 정보가 아니라 人的(인적) 정보다. 즉 첨단 정보통신시대에도 어떤 사건의 해답은 기술적 측면에 있는 것이 아니라 종종 그 사건을 저지른 사람에게서 나온다. 인적 정보를 통해 이번 사건의 직접적인 증거나 단서가 나올 수가 있다는 것이다.
필자는 이번 사건의 배후가 북한이라고 처음 주장한 사람이다. 7·7 DDoS 공격이 있은 바로 다음날 필자는 이번 공격의 배후가 북한이라고 한 라디오 방송 인터뷰를 통해 밝혔다. 필자가 자신 있게 북한이 배후라고 말할 수 있었던 이유는 인적 정보를 통해서 북한이 이번 일을 저질렀음을 확인했기 때문이다.
人的 정보 통해 배후 입증 가능
필자는 북한 내부 소식을 전하는 인터넷 신문인 ‘열린북한통신’을 발행하고 있다. 때문에 북한 내부 동향을 지속적으로 확인하고 있다. 그러던 중 6월 말부터 이번 테러에 대한 정보가 조금씩 입수되기 시작했다. 그 내용은 가공할 만한 것이었다. 핵심 내용을 요약하면 다음과 같다.
<올해 4월 말 김정운 휘하에 해외 주변국들의 정치·경제 전략정보에 대한 수집, 분석을 전문으로 하는 4개의 1년 단기 태스크포스(TF)들이 조직됐다. 이 TF가 기획되고 준비되기 시작한 것은 작년 말 또는 올해 초다. 그리고 정식 조직된 것은 4월이며, 6월 중순부터 본격적으로 활동하기 시작했다. 이번 북한의 사이버 테러도 이 팀이 주도한 것이다.
이 TF는 수십 명 규모로 크게 한국팀, 미국-일본팀, 중국-러시아팀, 동남아시아팀 네 개로 나누어져 있다. 그들의 기본 임무는 김정운의 중요 정책 결정에 필요한 정보 수집과 해커들을 동원한 대외 정보 교란 활동이다.
이 TF는 북한의 후계자 김정운 직속이기 때문에 북한 최고급 해커 누구든 수시로 동원할 수 있는 권한을 부여받고 있다. 이 팀의 기본 요원들의 대다수는 해외에 거주하고 있다.
이번 DDoS 테러는 이 TF 산하의 한국팀과 미국-일본팀이 연합해서 진행했으며, 10명 이하 소수의 해커를 동원했다. 이 중 핵심 인력들은 작전을 끝내고 7월 8일 열리는 金日成(김일성) 서거 15주년 행사에 참석하기 위해 7월 7일 북한으로 들어갔다. 이들은 주로 베이징(北京), 선양(瀋陽), 다롄(大連), 상하이(上海) 등 중국의 대도시에 거점을 두고 활동한다. 해킹을 할 때는 제3국 서버를 경유해 작전을 한다.>
이번 사이버 테러의 목적은 크게 세 가지라고 한다. 첫째, 金正日(김정일)이 지난 10년간 소프트웨어에 대한 집중적인 투자를 했는데, 이 투자가 앞으로 몇십 배의 수익을 얻을 수 있다는 확실한 증거를 북한 내부에 보여준다.
둘째, 이번 테러를 후계자로 내정된 김정운이 주도함으로써 내적으로는 김정운의 기반을 공고히 하고, 대외적으로는 미국과 한국을 비롯한 적대국들에 북한의 능력을 과시한다.
셋째, 한국과 미국의 주요 기관들의 정보망을 교란해 사회 혼란을 유도하고, 동시에 被(피)공격국들의 방어대책들을 분석해 차후 공격전략 수립에 참고한다.
아날로그식 간첩활동, 온라인 중심으로 전환
북한 내부 소식통은 “한국의 정보망은 이미 북한에 의해 장악되어 있다고 말할 수 있을 정도로 북한은 남북 사이버 전쟁에서 자신감을 가지고 있다”고 전했다.
한편 김정운 휘하의 해외 정보 TF는 과거 아날로그 방식의 북한 해외 정보활동이 온라인 중심의 활동으로 근본 전환하는 계기로 삼을 것이라고 한다.
과거 아날로그 방식의 스파이 활동은 초기 투자가 많고 정보원들이 해외에 장기적으로 잠복해 있어야 하는 리스크가 있다. 때문에 인력과 비용이 많이 든다. 북한은 이번 TF를 1년간 시범 운영해 보고 성과가 크면 북한의 해외 정보망을 저비용 고효율의 온라인 중심으로 전면 개편할 것이라고 한다.
물론 듣기에 따라 이런 종류의 이야기는 소설로 들릴 수도 있다. 하지만 북한 내부 소식통들을 관리하는 필자의 입장에서는 판단이 다르다. 이 소식통들의 정보가 정확히 입증된 사례가 여러 번 있었기 때문이다.
예를 들어 이 소식통들은 올 초에 북한이 6월까지 핵실험, 미사일 발사 등의 도발을 감행할 것임을 알려 왔다. 그리고 그 정보는 현실에서 입증됐다. 또 북한이 개성공단 임금 4배 인상을 요구할 것이라는 소식도 전해 왔다. 그리고 한 달 뒤 북한 당국은 남북회담 자리에서 실제로 4배인 300달러로 임금을 인상해 줄 것을 요구했다.
이뿐만이 아니다. 김정운 후계 정보, 김정일 건강 정보 등 북한 고위급 인사들의 정보도 적중했다. 이미 정보의 신뢰도가 여러 번 확증된 소식통이었기에 필자는 이 정보들을 무시할 수 없었던 것이다.
필자가 북한이 이번 DDoS 공격의 배후임을 확신하는 이유는 위에 언급한 정보 때문만이 아니다. 북한은 과거에도 수차례 한국 정보망에 침투해서 다양한 ‘장난’을 쳐 왔다. 필자는 올 초부터 북한의 해킹 능력에 대해 꾸준히 자료를 수집해 왔다. 그 과정에서 이번 DDoS 공격의 단서도 잡힌 것이다. 필자가 올 3월경에 다음과 같은 북한의 해킹 사례들을 수집했다.
“2008년 여름 북한 해커들이 한국 외환은행 고객의 잔액조회를 의뢰받은 후 2시간 만에 고객의 원화 잔고와 외환 잔고 및 신상정보를 비롯한 종합정보를 사진과 함께 보내왔다.”
“올 2월 북한 해커들은 안철수연구소에서 새로 개발한 방화벽을 뚫었다. 이는 북한의 중간급 해커(북한 해커들 사이에서는 아마추어로 취급받는다고 함) 2명의 소행으로, 이들은 방화벽을 뚫고 들어가 연구소 사이트를 약 30분 정도 둘러본 뒤 빠져나왔다.”
한국의 은행계좌에서 현금 인출하기도
“2009년 2월에 한국의 온라인 게임 시스템에 잠입하여 약 10억원 정도의 게임 머니를 탈취했다가 풀어주는 정도의 북한 해커들도 있었다.”
이 정도 사례들은 그럴 수도 있다고 여길 것이다. 그러나 더 경악스러운 사례도 있었다.
“북한 해커들은 한국의 은행들에서 매월 정상적으로 눈에 보이지 않을 정도의 현금을 인출해 제3국을 통해 반입하고 있다. 이는 한국에 있는 그들의 협조자들의 도움하에서만 가능하다. 주로 거액을 예금하고 있으면서도 장기간 입출금을 하지 않는 휴면계좌를 알아내 소액 인출을 시도하고 있다. 특히 비자금 관련 계좌를 추적해 전액 인출하는 경우도 있다. 이 모든 경우 한국의 협조자를 통해 은행정보와 개인 신상정보들을 알아내 진행한다고 한다.”
필자는 이 은행 예금을 인터넷뱅킹을 통해 인출한다는 정보를 처음 입수했을 때 “설마 그럴까” 하고 생각했다. 보안 전문가에게 문의해 보아도 그럴 가능성은 크지 않다고 평가했다. 때문에 필자가 입수한 정보를 대외에 공개하는 것을 유보하고 있었다.
그러나 인터넷뱅킹을 통한 은행 예금 탈취는 머지않아 입증됐다. 2009년 5월 외환·국민 인터넷뱅킹이 뚫리면서 본인도 모르게 400만원이 인출되는 사건이 발생한 것이다. 이 사건은 마지막 단계에 확인되면서 인출은 성공하지 못했다.
이 사건은 필자가 입수한 정보가 근거가 없지 않음을 다시 한 번 확인시켜 주었다. 당시 언론은 인터넷 예금 해킹 사건이 중국發(발)이었다고 보도했다. 그러나 필자는 이 사건이 중국에 있는 북한 해커의 소행일 수도 있다고 생각했다. 이미 비슷한 정보를 입수하고 있었기 때문이다.
그럼 이 정도 실력을 가진 북한의 해커들은 어떻게 육성되는 것일까? 북한의 해커 양성은 크게 3단계로 이루어진다. 1단계는 해킹 교양교육을 하는 금성 제2고등중학교(고중), 2단계로 전문가 수준의 컴퓨터 전문교육은 1989년 10월 북한이과대학에 컴퓨터전문학부와 전문강좌가 개설되면서 시작됐다.
1991년 첫 졸업생들이 북한의 중앙당, 무력부, 보위부, 보안성(당시 사회안전부) 등 북한의 각 컴퓨터 관련 전문기관들에서 컴퓨터 교육의 중심 인력이 됐다. 이들은 당기관 산하 414연락소 산하 컴퓨터 관련 기관들과 무력부·총참모부 산하 미림군사대학이나 정찰국 산하 컴퓨터관련 전문기관들에 들어가 북한 해커들의 중심이 됐다.
3단계는 실전 응용 교육 기관인 중앙당 및 인민무력부 산하의 해커 양성소 교육이다.
국가 차원에서 대대적으로 해커 양성
‘금성 제2고중’은 컴퓨터 관련 교육만을 중점적으로 실시하는 곳으로, 15세의 청소년들에게 3년간 교육을 실시한다. 한 기수에 졸업하는 이들은 대략 50명 정도이며, 과정을 수료하면 해커 양성 과정이 있는 대학으로 진학해 전문교육을 받게 된다.
‘금성 제2고중’ 이외의 학교를 나와 대학에서 해킹 관련 공부를 하는 학생들도 있다. 이들은 북한의 영재학교인 제1고등중학교 출신 졸업생들이다.
2단계 해커양성 교육기관은 컴퓨터기술대와 모란대학, 미림군사대학, 압록강대학이다. 컴퓨터기술대학은 해킹 이론 및 기술교육 전문학과가 있는 유일한 사회대학이다. 한 기수에 30~40여 명의 해킹 전문가들을 양성하고 있다.
컴퓨터기술대를 제외한 다른 대학들에는 해킹 관련 전문학과는 없고 학과목이 있다. 모란대학은 중앙당 산하 직속 대학으로 본래 중앙당 연락소의 요원들을 양성하기 위해 설립됐으나 해킹전문기술 과목을 따로 강의한다.
미림군사대학은 북한군 총참모부 산하 대학으로 전자전에 대비한 軍(군) 기술장교 육성이 목표다. 그 과정 중 하나로 학생들에게 사이버戰(전) 전문교육을 실시한다. 한해 졸업생은 500~600명 정도이며 그중 20~25% 정도가 사이버전과 관계된 군 참모부서로 특수 배치된다.
압록강대학은 인민무력부 정찰국 산하 군사첩보요원 양성대학이다. 이 대학 역시 학생들에게 해킹을 비롯한 사이버전쟁 전문기술 교육이 학과목으로 개설돼 있다. 한해 졸업생 수는 100여 명으로 해킹에 대한 전문기술을 보유하고 있다고 한다.
이를 종합해 보면 북한에서 해커 전문교육을 받은 학생들이 한해 300명 정도 배출된다. 그러나 대학 교육만으로 전문 해커 양성이 완료되는 것은 아니다.
위에 언급한 대학을 졸업한 학생들 중 해커로 양성될 대상자들은 중앙당 작전부 산하 414연락소(일명 자료조사부)와 인민무력부 정찰국 산하 258연구소에 배치된다.
258연구소는 이 군부대 이름을 붙인 연구소로 1990년에 창설됐고, 전자·자동화戰(전)에 대비한 최첨단 기술을 연구한다. 본소는 정찰국 청사 내에 있으며, 분소가 평남 신양군과 강원도 고산군, 황북 평산군 등에 있다. 이 두 곳이 북한 당국의 전문 프로 해커 양성 기관이다.
중앙당 414연락소에서는 모란대학에서 해킹전문기술을 배운 일부 졸업생들과 이과대학, 김일성종합대학, 김책공업종합대학, 컴퓨터기술대학을 졸업한 유능한 IT 전문가들을 선발한다.
414연락소와 258연구소가 중심
이들은 고급 해킹 전문가를 양성하는 단기 기술 강습소에서 교육을 받게 된다. 이 과정을 마친 후에는 해커를 필요로 하는 당 연락소 산하의 여러 연락소에 파견된다. 인민무력부로 배치된 학생들은 258연구소의 기술양성소에서 고급 해킹 전문가로 양성돼 정찰국 산하 부대에 파견된다.
북한은 사이버전에 대비해 1990년경부터 해킹에 관한 교육을 실시, 전문가를 양성해 왔다. 그리고 이 해커들은 크게 당과 군대를 중심으로 배치돼 활동하고 있다. 당에는 중앙당 작전부 산하의 ‘414연락소’가 해킹의 중심이고, 군에는 인민무력부 정찰국 ‘258연구소’가 중심이다. 정찰국은 2009년에 노동당 작전부 그리고 35호실과 통합돼 정찰총국으로 승격됐다고 언론이 보도한 적이 있다. 그러나 필자는 아직 이를 재확인하지 못했다.
북한의 해킹은 중앙당 작전부에서 1990년경 美(미) 국방성 문서고의 암호해독을 하면서 시작됐다. 1990년대 초반에는 당 산하의 모란대학이나 군대 산하의 미림군사대학 등 해커를 양성하는 전문교육기관이 없었다. 때문에 해킹 관련 전문가는 중앙당 작전부 산하 414연락소 소속 20명의 전문가들이 전부였다.
노동당 414연락소는 대남, 대외 정보 조사업무를 기본으로 한다. 따라서 이들 20명은 해외의 컴퓨터망에 잠입해 정보자료를 빼내는 일을 했다. 그러나 1990년 초반 북한 내 정보통신망 상황이 열악했기 때문에 이들은 러시아와 체코, 폴란드 등의 동유럽 국가의 북한 대사관에서 주로 작업을 했다.
1993년 이후부터 싱가포르와 인도, 대만을 비롯한 아시아 국가들이 북한 해커들의 주 활동무대가 됐다. 최근 들어서는 중국을 주요 활동 거점으로 하고 있다. 중국의 선양과 다롄, 창춘(長春), 베이징 등의 대도시에 당 연락소 해킹 아지트가 존재한다.
아지트에서는 414연락소와 101연락소, 26연락소를 비롯한 작전부와 통전부 산하 연락소 성원들이 한국, 미국, 일본 등 적대국들을 기본 대상으로 작업을 한다. 북한 대남공작 부서들 내부의 課(과)들과 각 연락소의 명칭은 숫자화하고 있다. 이는 조직의 실체와 기본 업무 내용을 감추기 위한 일종의 위장 형태다. 연락소 명칭을 대체하는 숫자들은 김일성 또는 김정일로부터 조직을 신설할 때 사인받은 날짜를 그대로 사용하게 돼 있다.
7·7 테러는 110연구소가 저질러
군대, 즉 인민무력부의 해킹 역사는 정찰국의 258연구소의 창설과 함께 시작됐다. 무력부는 258연구소가 창설된 1990년 이전까지는 대부분 중앙당 작전부로부터 정보를 전달받거나 한국군 전파도청 및 간첩들을 통해 군사 정보 수집을 했다. 그러나 258연구소가 창설되고 전자전 전문부서가 생기면서 무력부에서는 많은 전문가를 양성했고, 해외의 인터넷망을 이용한 독자적 정보수집과 분석을 하기 시작했다.
무력부에서는 1994년 김일성 사망 이후부터 미군과 한국군의 동향 및 군사 정보를 수집하기 위해 해커들을 대량 동원했다. 인민무력부 정찰국 산하 121연락소(혹은 121소라고 함)는 2006년까지 남포에 본부를 두고 각 전연(군사분계선) 지역에 분소가 설치됐다. 이 분소들에서 전파장애, 전파교란 및 감청과 해외 정보당국 사이트의 암호해독 등을 하고 있다.
지난 7월 10일 국정원은 7·7 DDoS 공격의 배후로 인민무력부 정찰국 산하의 110연구소를 지목했다. 일부 언론은 110연구소는 기존의 121연락소가 확대된 것이라고 추정했다. 그러나 북한에서 연구소와 연락소는 엄격히 분리된다. 연구소는 전략을 수립하는 곳이고, 연락소는 실제 활동을 기획, 집행하는 곳이다. 때문에 인민무력부 정찰국 산하 기관이 이번 테러를 주도했다면 그 주체는 121연락소여야 맞는 것이다.
사이버 전쟁 시작됐다
최근 들어 중앙당과 인민무력부뿐만 아니라 국가보위부까지도 독자적으로 해커를 양성해 대남첩보 및 방첩 활동을 한다는 정보도 있다. 북한 보위부는 수십 명의 요원을 컴퓨터기술대학과 이과대학 등 전문기술대학에 위탁생으로 입학시켜 해킹전문가로 양성하고 있다고 한다. 또한 초기에 졸업한 요원들을 대남첩보수집에 투입했다고 한다.
이번 7·7 DDoS 테러 사건으로 남북 관계는 새로운 국면에 진입했다. 이제 남북 관계는 신냉전, 즉 사이버 전쟁에 돌입한 것이다. 그러나 이에 대한 한국의 방어 태세는 너무나 취약하다. 한 북한 소식통은 북한 내부에서는 “한국 정보망은 이미 북한에 의해 장악되어 있다”고 할 정도로 큰소리를 친다고 한다. 한국이 자랑하는 IT 강국이 이제는 북한 공격에 가장 취약한 고리가 된 것이다.
상황이 이토록 심각한데도 불구하고 우리는 북한 해커들의 실체에 대해 너무도 모르고 있다. 전쟁에서 상대방의 실체를 정확히 파악하는 것은 기본 중의 기본이다. 우리는 이제부터라도 북한의 사이버 능력이 어느 정도인지 정확히 파악하려는 노력을 다해야 한다.
최선의 방어는 공격이라는 이야기가 있다. 즉 우리가 아무리 방어 체제를 잘 짠다고 하더라도 공격하는 쪽에서도 바보가 아닌 이상, 계속 새로운 방식의 공격을 시도할 것이다. 때문에 방어 체제를 잘 정비하는 것과 아울러 북한의 사이버 공격 부대들을 정확히 파악하여 오히려 우리 쪽에서 그들을 무력화시키는 작업을 동시에 해야 한다.
북한의 해커들은 대부분 중국을 據點(거점)으로 활동하고 있다. 때문에 그들의 활동 거점과 활동 방식을 파악해 그들을 선제 제압하는 전략도 수립해야 할 것이다.
이제 대한민국은 사이버 전쟁을 포함한 新(신)냉전 시대에 어떻게 임할 것인지 총체적인 전략 수립이 필요하다.⊙
그걸 입증하는 방법은 두 가지일 것이다. 하나는 첨단 정보 기술을 통한 방법이고, 다른 하나는 이 테러를 저지른 사람을 통해 확인하는 방법이다.
그럼 먼저 이번 테러의 배후를 기술적인 방법만으로 알 수 있을까? 이 질문에 대한 필자의 답변은 적어도 기술적으로는 입증하기 어렵다고 생각한다.
기술적인 측면에서 정황 증거는 많이 나올 수 있으나 직접적인 증거는 나오기 어렵다고 생각한다. 그 이유는 바로 이번 DDoS 공격의 최초 발원지를 찾았다고 해도 그 IP(인터넷 주소)는 북한일 수 없기 때문이다.
지난 7월 10일 국정원은 이번 DDoS 공격이 19개국 92개 IP를 통해 감행됐다고 밝혔다. 그리고 이 IP 중에는 북한發(발) IP가 있을 수 없다. 북한에는 사용 중인 IP가 없으니까 말이다.
게다가 이 IP라는 것은 사람이 아니다. 즉 미국 IP를 통해 공격했다고 해서 미국 사람이 이 공격에 가담했다고 단정할 수 없다. 1차 공격을 한 사람이 미국 서버를 단지 경유했을 수도 있기 때문이다. 이 19개국 중에는 과테말라, 파키스탄처럼 우리에게 낯선 나라도 있고 중국, 일본뿐만 아니라 심지어 한국도 포함되어 있다.
공격을 감행한 IP가 이렇게 많다는 것은 그만큼 공격을 한 사람이 자신을 철저히 위장했을 가능성이 크다는 것이다. 사이버 테러는 그렇게 많은 사람이 필요하지 않다. 실력만 있으면 한 자리 숫자의 사람만 있어도 충분히 가능하다. 92개의 IP가 나왔다고 해서 92명의 사람이 필요한 것이 아니다. 그 IP 서버에 사전에 프로그램만 심어 놓으면 충분히 공격 가능한 것이다.
중국의 협조 없이는 최초 발원지 IP 추적 어려워
 |
| 2009년 7월 10일 서울 구로구 명정보기술 복구센터에서 연구원들이 DDoS 바이러스 공격으로 손상된 하드디스크의 데이터 복구작업을 진행하고 있다. |
뿐만 아니라 설령 중국이 협조한다고 해도 근본적인 증거가 나오는 것은 아니다. 만약 중국 당국이 자국의 네트워크를 공개하고, 그 결과 발원지가 중국 IP임이 입증된다 한들 그 IP를 통해 공격을 감행한 사람이 누군지 알기는 어렵다. 그 IP를 통해 공격을 감행한 사람은 북한인일 수도 있지만 중국인, 심지어 한국인일 수도 있다.
때문에 필자는 이번 공격의 직접적인 배후를 기술적인 수단만을 가지고 확증하는 것은 사실상 불가능하다고 말하는 것이다.
물론 정황 증거는 다양하게 나올 수도 있다. 북한은 과거에도 해킹의 역사가 길기 때문에 해킹의 패턴을 비교하면 북한과 비슷한지 아닌지 알 수 있다. 그리고 북한 해커들이 자주 써온 IP가 중복해서 나온다면 그것도 정황 증거가 될 수 있다. 그러나 IP 사용은 항상 변경 가능하기 때문에 그것만 가지고는 직접적 증거라고 확증할 수 없다.
하지만 공격의 배후를 입증할 방법이 전혀 없지는 않다. 그 방법은 기술적 정보가 아니라 人的(인적) 정보다. 즉 첨단 정보통신시대에도 어떤 사건의 해답은 기술적 측면에 있는 것이 아니라 종종 그 사건을 저지른 사람에게서 나온다. 인적 정보를 통해 이번 사건의 직접적인 증거나 단서가 나올 수가 있다는 것이다.
필자는 이번 사건의 배후가 북한이라고 처음 주장한 사람이다. 7·7 DDoS 공격이 있은 바로 다음날 필자는 이번 공격의 배후가 북한이라고 한 라디오 방송 인터뷰를 통해 밝혔다. 필자가 자신 있게 북한이 배후라고 말할 수 있었던 이유는 인적 정보를 통해서 북한이 이번 일을 저질렀음을 확인했기 때문이다.
人的 정보 통해 배후 입증 가능
필자는 북한 내부 소식을 전하는 인터넷 신문인 ‘열린북한통신’을 발행하고 있다. 때문에 북한 내부 동향을 지속적으로 확인하고 있다. 그러던 중 6월 말부터 이번 테러에 대한 정보가 조금씩 입수되기 시작했다. 그 내용은 가공할 만한 것이었다. 핵심 내용을 요약하면 다음과 같다.
<올해 4월 말 김정운 휘하에 해외 주변국들의 정치·경제 전략정보에 대한 수집, 분석을 전문으로 하는 4개의 1년 단기 태스크포스(TF)들이 조직됐다. 이 TF가 기획되고 준비되기 시작한 것은 작년 말 또는 올해 초다. 그리고 정식 조직된 것은 4월이며, 6월 중순부터 본격적으로 활동하기 시작했다. 이번 북한의 사이버 테러도 이 팀이 주도한 것이다.
이 TF는 수십 명 규모로 크게 한국팀, 미국-일본팀, 중국-러시아팀, 동남아시아팀 네 개로 나누어져 있다. 그들의 기본 임무는 김정운의 중요 정책 결정에 필요한 정보 수집과 해커들을 동원한 대외 정보 교란 활동이다.
이 TF는 북한의 후계자 김정운 직속이기 때문에 북한 최고급 해커 누구든 수시로 동원할 수 있는 권한을 부여받고 있다. 이 팀의 기본 요원들의 대다수는 해외에 거주하고 있다.
이번 DDoS 테러는 이 TF 산하의 한국팀과 미국-일본팀이 연합해서 진행했으며, 10명 이하 소수의 해커를 동원했다. 이 중 핵심 인력들은 작전을 끝내고 7월 8일 열리는 金日成(김일성) 서거 15주년 행사에 참석하기 위해 7월 7일 북한으로 들어갔다. 이들은 주로 베이징(北京), 선양(瀋陽), 다롄(大連), 상하이(上海) 등 중국의 대도시에 거점을 두고 활동한다. 해킹을 할 때는 제3국 서버를 경유해 작전을 한다.>
이번 사이버 테러의 목적은 크게 세 가지라고 한다. 첫째, 金正日(김정일)이 지난 10년간 소프트웨어에 대한 집중적인 투자를 했는데, 이 투자가 앞으로 몇십 배의 수익을 얻을 수 있다는 확실한 증거를 북한 내부에 보여준다.
둘째, 이번 테러를 후계자로 내정된 김정운이 주도함으로써 내적으로는 김정운의 기반을 공고히 하고, 대외적으로는 미국과 한국을 비롯한 적대국들에 북한의 능력을 과시한다.
셋째, 한국과 미국의 주요 기관들의 정보망을 교란해 사회 혼란을 유도하고, 동시에 被(피)공격국들의 방어대책들을 분석해 차후 공격전략 수립에 참고한다.
아날로그식 간첩활동, 온라인 중심으로 전환
북한 내부 소식통은 “한국의 정보망은 이미 북한에 의해 장악되어 있다고 말할 수 있을 정도로 북한은 남북 사이버 전쟁에서 자신감을 가지고 있다”고 전했다.
한편 김정운 휘하의 해외 정보 TF는 과거 아날로그 방식의 북한 해외 정보활동이 온라인 중심의 활동으로 근본 전환하는 계기로 삼을 것이라고 한다.
과거 아날로그 방식의 스파이 활동은 초기 투자가 많고 정보원들이 해외에 장기적으로 잠복해 있어야 하는 리스크가 있다. 때문에 인력과 비용이 많이 든다. 북한은 이번 TF를 1년간 시범 운영해 보고 성과가 크면 북한의 해외 정보망을 저비용 고효율의 온라인 중심으로 전면 개편할 것이라고 한다.
물론 듣기에 따라 이런 종류의 이야기는 소설로 들릴 수도 있다. 하지만 북한 내부 소식통들을 관리하는 필자의 입장에서는 판단이 다르다. 이 소식통들의 정보가 정확히 입증된 사례가 여러 번 있었기 때문이다.
예를 들어 이 소식통들은 올 초에 북한이 6월까지 핵실험, 미사일 발사 등의 도발을 감행할 것임을 알려 왔다. 그리고 그 정보는 현실에서 입증됐다. 또 북한이 개성공단 임금 4배 인상을 요구할 것이라는 소식도 전해 왔다. 그리고 한 달 뒤 북한 당국은 남북회담 자리에서 실제로 4배인 300달러로 임금을 인상해 줄 것을 요구했다.
이뿐만이 아니다. 김정운 후계 정보, 김정일 건강 정보 등 북한 고위급 인사들의 정보도 적중했다. 이미 정보의 신뢰도가 여러 번 확증된 소식통이었기에 필자는 이 정보들을 무시할 수 없었던 것이다.
필자가 북한이 이번 DDoS 공격의 배후임을 확신하는 이유는 위에 언급한 정보 때문만이 아니다. 북한은 과거에도 수차례 한국 정보망에 침투해서 다양한 ‘장난’을 쳐 왔다. 필자는 올 초부터 북한의 해킹 능력에 대해 꾸준히 자료를 수집해 왔다. 그 과정에서 이번 DDoS 공격의 단서도 잡힌 것이다. 필자가 올 3월경에 다음과 같은 북한의 해킹 사례들을 수집했다.
“2008년 여름 북한 해커들이 한국 외환은행 고객의 잔액조회를 의뢰받은 후 2시간 만에 고객의 원화 잔고와 외환 잔고 및 신상정보를 비롯한 종합정보를 사진과 함께 보내왔다.”
“올 2월 북한 해커들은 안철수연구소에서 새로 개발한 방화벽을 뚫었다. 이는 북한의 중간급 해커(북한 해커들 사이에서는 아마추어로 취급받는다고 함) 2명의 소행으로, 이들은 방화벽을 뚫고 들어가 연구소 사이트를 약 30분 정도 둘러본 뒤 빠져나왔다.”
한국의 은행계좌에서 현금 인출하기도
“2009년 2월에 한국의 온라인 게임 시스템에 잠입하여 약 10억원 정도의 게임 머니를 탈취했다가 풀어주는 정도의 북한 해커들도 있었다.”
이 정도 사례들은 그럴 수도 있다고 여길 것이다. 그러나 더 경악스러운 사례도 있었다.
“북한 해커들은 한국의 은행들에서 매월 정상적으로 눈에 보이지 않을 정도의 현금을 인출해 제3국을 통해 반입하고 있다. 이는 한국에 있는 그들의 협조자들의 도움하에서만 가능하다. 주로 거액을 예금하고 있으면서도 장기간 입출금을 하지 않는 휴면계좌를 알아내 소액 인출을 시도하고 있다. 특히 비자금 관련 계좌를 추적해 전액 인출하는 경우도 있다. 이 모든 경우 한국의 협조자를 통해 은행정보와 개인 신상정보들을 알아내 진행한다고 한다.”
필자는 이 은행 예금을 인터넷뱅킹을 통해 인출한다는 정보를 처음 입수했을 때 “설마 그럴까” 하고 생각했다. 보안 전문가에게 문의해 보아도 그럴 가능성은 크지 않다고 평가했다. 때문에 필자가 입수한 정보를 대외에 공개하는 것을 유보하고 있었다.
그러나 인터넷뱅킹을 통한 은행 예금 탈취는 머지않아 입증됐다. 2009년 5월 외환·국민 인터넷뱅킹이 뚫리면서 본인도 모르게 400만원이 인출되는 사건이 발생한 것이다. 이 사건은 마지막 단계에 확인되면서 인출은 성공하지 못했다.
이 사건은 필자가 입수한 정보가 근거가 없지 않음을 다시 한 번 확인시켜 주었다. 당시 언론은 인터넷 예금 해킹 사건이 중국發(발)이었다고 보도했다. 그러나 필자는 이 사건이 중국에 있는 북한 해커의 소행일 수도 있다고 생각했다. 이미 비슷한 정보를 입수하고 있었기 때문이다.
그럼 이 정도 실력을 가진 북한의 해커들은 어떻게 육성되는 것일까? 북한의 해커 양성은 크게 3단계로 이루어진다. 1단계는 해킹 교양교육을 하는 금성 제2고등중학교(고중), 2단계로 전문가 수준의 컴퓨터 전문교육은 1989년 10월 북한이과대학에 컴퓨터전문학부와 전문강좌가 개설되면서 시작됐다.
1991년 첫 졸업생들이 북한의 중앙당, 무력부, 보위부, 보안성(당시 사회안전부) 등 북한의 각 컴퓨터 관련 전문기관들에서 컴퓨터 교육의 중심 인력이 됐다. 이들은 당기관 산하 414연락소 산하 컴퓨터 관련 기관들과 무력부·총참모부 산하 미림군사대학이나 정찰국 산하 컴퓨터관련 전문기관들에 들어가 북한 해커들의 중심이 됐다.
3단계는 실전 응용 교육 기관인 중앙당 및 인민무력부 산하의 해커 양성소 교육이다.
국가 차원에서 대대적으로 해커 양성
 |
| 김정일이 2000년 군사과학기술 교육기관인 인민군 자동화대학(現 김일군사대학)을 방문, 전투기술기재를 둘러보고 있다. |
‘금성 제2고중’ 이외의 학교를 나와 대학에서 해킹 관련 공부를 하는 학생들도 있다. 이들은 북한의 영재학교인 제1고등중학교 출신 졸업생들이다.
2단계 해커양성 교육기관은 컴퓨터기술대와 모란대학, 미림군사대학, 압록강대학이다. 컴퓨터기술대학은 해킹 이론 및 기술교육 전문학과가 있는 유일한 사회대학이다. 한 기수에 30~40여 명의 해킹 전문가들을 양성하고 있다.
컴퓨터기술대를 제외한 다른 대학들에는 해킹 관련 전문학과는 없고 학과목이 있다. 모란대학은 중앙당 산하 직속 대학으로 본래 중앙당 연락소의 요원들을 양성하기 위해 설립됐으나 해킹전문기술 과목을 따로 강의한다.
미림군사대학은 북한군 총참모부 산하 대학으로 전자전에 대비한 軍(군) 기술장교 육성이 목표다. 그 과정 중 하나로 학생들에게 사이버戰(전) 전문교육을 실시한다. 한해 졸업생은 500~600명 정도이며 그중 20~25% 정도가 사이버전과 관계된 군 참모부서로 특수 배치된다.
압록강대학은 인민무력부 정찰국 산하 군사첩보요원 양성대학이다. 이 대학 역시 학생들에게 해킹을 비롯한 사이버전쟁 전문기술 교육이 학과목으로 개설돼 있다. 한해 졸업생 수는 100여 명으로 해킹에 대한 전문기술을 보유하고 있다고 한다.
이를 종합해 보면 북한에서 해커 전문교육을 받은 학생들이 한해 300명 정도 배출된다. 그러나 대학 교육만으로 전문 해커 양성이 완료되는 것은 아니다.
위에 언급한 대학을 졸업한 학생들 중 해커로 양성될 대상자들은 중앙당 작전부 산하 414연락소(일명 자료조사부)와 인민무력부 정찰국 산하 258연구소에 배치된다.
258연구소는 이 군부대 이름을 붙인 연구소로 1990년에 창설됐고, 전자·자동화戰(전)에 대비한 최첨단 기술을 연구한다. 본소는 정찰국 청사 내에 있으며, 분소가 평남 신양군과 강원도 고산군, 황북 평산군 등에 있다. 이 두 곳이 북한 당국의 전문 프로 해커 양성 기관이다.
중앙당 414연락소에서는 모란대학에서 해킹전문기술을 배운 일부 졸업생들과 이과대학, 김일성종합대학, 김책공업종합대학, 컴퓨터기술대학을 졸업한 유능한 IT 전문가들을 선발한다.
414연락소와 258연구소가 중심
 |
| 2004년 2월 20일 서울 역삼동 한솔빌딩에서 김덕규 국회정보위원장(왼쪽), 고영구 국정원장(가운데), 권진호 국가안보보좌관(오른쪽)이 국가사이버 안전센터 개소식을 가졌다. |
북한은 사이버전에 대비해 1990년경부터 해킹에 관한 교육을 실시, 전문가를 양성해 왔다. 그리고 이 해커들은 크게 당과 군대를 중심으로 배치돼 활동하고 있다. 당에는 중앙당 작전부 산하의 ‘414연락소’가 해킹의 중심이고, 군에는 인민무력부 정찰국 ‘258연구소’가 중심이다. 정찰국은 2009년에 노동당 작전부 그리고 35호실과 통합돼 정찰총국으로 승격됐다고 언론이 보도한 적이 있다. 그러나 필자는 아직 이를 재확인하지 못했다.
북한의 해킹은 중앙당 작전부에서 1990년경 美(미) 국방성 문서고의 암호해독을 하면서 시작됐다. 1990년대 초반에는 당 산하의 모란대학이나 군대 산하의 미림군사대학 등 해커를 양성하는 전문교육기관이 없었다. 때문에 해킹 관련 전문가는 중앙당 작전부 산하 414연락소 소속 20명의 전문가들이 전부였다.
노동당 414연락소는 대남, 대외 정보 조사업무를 기본으로 한다. 따라서 이들 20명은 해외의 컴퓨터망에 잠입해 정보자료를 빼내는 일을 했다. 그러나 1990년 초반 북한 내 정보통신망 상황이 열악했기 때문에 이들은 러시아와 체코, 폴란드 등의 동유럽 국가의 북한 대사관에서 주로 작업을 했다.
1993년 이후부터 싱가포르와 인도, 대만을 비롯한 아시아 국가들이 북한 해커들의 주 활동무대가 됐다. 최근 들어서는 중국을 주요 활동 거점으로 하고 있다. 중국의 선양과 다롄, 창춘(長春), 베이징 등의 대도시에 당 연락소 해킹 아지트가 존재한다.
아지트에서는 414연락소와 101연락소, 26연락소를 비롯한 작전부와 통전부 산하 연락소 성원들이 한국, 미국, 일본 등 적대국들을 기본 대상으로 작업을 한다. 북한 대남공작 부서들 내부의 課(과)들과 각 연락소의 명칭은 숫자화하고 있다. 이는 조직의 실체와 기본 업무 내용을 감추기 위한 일종의 위장 형태다. 연락소 명칭을 대체하는 숫자들은 김일성 또는 김정일로부터 조직을 신설할 때 사인받은 날짜를 그대로 사용하게 돼 있다.
7·7 테러는 110연구소가 저질러
군대, 즉 인민무력부의 해킹 역사는 정찰국의 258연구소의 창설과 함께 시작됐다. 무력부는 258연구소가 창설된 1990년 이전까지는 대부분 중앙당 작전부로부터 정보를 전달받거나 한국군 전파도청 및 간첩들을 통해 군사 정보 수집을 했다. 그러나 258연구소가 창설되고 전자전 전문부서가 생기면서 무력부에서는 많은 전문가를 양성했고, 해외의 인터넷망을 이용한 독자적 정보수집과 분석을 하기 시작했다.
무력부에서는 1994년 김일성 사망 이후부터 미군과 한국군의 동향 및 군사 정보를 수집하기 위해 해커들을 대량 동원했다. 인민무력부 정찰국 산하 121연락소(혹은 121소라고 함)는 2006년까지 남포에 본부를 두고 각 전연(군사분계선) 지역에 분소가 설치됐다. 이 분소들에서 전파장애, 전파교란 및 감청과 해외 정보당국 사이트의 암호해독 등을 하고 있다.
지난 7월 10일 국정원은 7·7 DDoS 공격의 배후로 인민무력부 정찰국 산하의 110연구소를 지목했다. 일부 언론은 110연구소는 기존의 121연락소가 확대된 것이라고 추정했다. 그러나 북한에서 연구소와 연락소는 엄격히 분리된다. 연구소는 전략을 수립하는 곳이고, 연락소는 실제 활동을 기획, 집행하는 곳이다. 때문에 인민무력부 정찰국 산하 기관이 이번 테러를 주도했다면 그 주체는 121연락소여야 맞는 것이다.
사이버 전쟁 시작됐다
최근 들어 중앙당과 인민무력부뿐만 아니라 국가보위부까지도 독자적으로 해커를 양성해 대남첩보 및 방첩 활동을 한다는 정보도 있다. 북한 보위부는 수십 명의 요원을 컴퓨터기술대학과 이과대학 등 전문기술대학에 위탁생으로 입학시켜 해킹전문가로 양성하고 있다고 한다. 또한 초기에 졸업한 요원들을 대남첩보수집에 투입했다고 한다.
이번 7·7 DDoS 테러 사건으로 남북 관계는 새로운 국면에 진입했다. 이제 남북 관계는 신냉전, 즉 사이버 전쟁에 돌입한 것이다. 그러나 이에 대한 한국의 방어 태세는 너무나 취약하다. 한 북한 소식통은 북한 내부에서는 “한국 정보망은 이미 북한에 의해 장악되어 있다”고 할 정도로 큰소리를 친다고 한다. 한국이 자랑하는 IT 강국이 이제는 북한 공격에 가장 취약한 고리가 된 것이다.
상황이 이토록 심각한데도 불구하고 우리는 북한 해커들의 실체에 대해 너무도 모르고 있다. 전쟁에서 상대방의 실체를 정확히 파악하는 것은 기본 중의 기본이다. 우리는 이제부터라도 북한의 사이버 능력이 어느 정도인지 정확히 파악하려는 노력을 다해야 한다.
최선의 방어는 공격이라는 이야기가 있다. 즉 우리가 아무리 방어 체제를 잘 짠다고 하더라도 공격하는 쪽에서도 바보가 아닌 이상, 계속 새로운 방식의 공격을 시도할 것이다. 때문에 방어 체제를 잘 정비하는 것과 아울러 북한의 사이버 공격 부대들을 정확히 파악하여 오히려 우리 쪽에서 그들을 무력화시키는 작업을 동시에 해야 한다.
북한의 해커들은 대부분 중국을 據點(거점)으로 활동하고 있다. 때문에 그들의 활동 거점과 활동 방식을 파악해 그들을 선제 제압하는 전략도 수립해야 할 것이다.
이제 대한민국은 사이버 전쟁을 포함한 新(신)냉전 시대에 어떻게 임할 것인지 총체적인 전략 수립이 필요하다.⊙
