- 조선일보 전산망도 공격받아

지난 20일 국내 주요 방송·금융기관의 전산망을 마비시킨 일부 악성코드는 중국이 아니라 국내 컴퓨터를 통해 최종 전파된 것으로 밝혀졌다.

정부 합동대응팀은 해킹을 유발한 악성코드는 당초 정부 발표와 달리 중국IP가 아닌 농협 내부의 컴퓨터에서 전파된 것으로 확인됐다고 22일 밝혔다. 농협 직원이 중국IP(101.106.25.105)와 동일한 숫자로 이뤄진 사설IP를 만들어 사용하고 있었는데 대응팀이 이 사설IP를 발견하고 중국IP로 오인했다는 것이다.

방통위 측은 조사에 참여했던 실무자가 농협의 피해 컴퓨터를 분석하는 과정에서 농협의 사설IP를 국제공인 중국IP로 오인하는 실수를 범한 것으로 판단된다고 설명했다. 사설 IP는 국제기구가 공식적으로 할당하는 공인 IP가 아닌 기업이 내부용 망에서 사용하는 IP다.

합동대응팀은 지난 21일 오후 농협 내에 중국IP와 동일한 IP를 쓰고 있다는 제보를 받고 정밀분석을 벌인 결과 중국IP와 동일한 농협의 사설IP에서 악성코드가 전파된 것을 확인했다. 이는 농협의 전산망에 연결된 각종 컴퓨터를 파괴한 마지막 단계의 컴퓨터가 중국이 아니고 농협 내부에 있었다는 것을 의미한다. 그러나 이번 해킹의 최초 공격지점이 어디이고 공격주체를 밝혀주는 단서는 되지 못한다.

합동대응팀의 실무자가 농협의 내부 IP에서 이뤄진 공격을 중국발 공격으로 오인한 것은 공인 IP주소와 사설 IP주소의 차이를 간과했기 때문으로 보인다. 대응팀이 농협 시스템에서 발견했다고 밝힌 101.106.25.105는 중국이 소유한 IP주소와 동일하다. 대응팀이 이 IP주소를 보고 이번 해킹이 중국발 공격이라고 단정한 것이다.

한편 방송사와 금융사 전산망의 동시 마비 사태가 발생한 지 이틀 만인 이날 조선일보 전산망도 해킹 공격을 받았다. 이날 오전 조선일보 전산망 IP를 대상으로 상당량의 해킹 공격이 이뤄졌다. 조선일보는 이에 사원 공지를 돌려 '이메일이 해킹됐으니 이메일 전부를 지우고 비밀번호를 바꿔라'고 공지했다. 그러나 조선일보 전산망에 대한 해킹 공격은 실패한 것으로 전해졌다.