한수원 퇴직한 직원 명의로 악성 메일 유포

‘원전반대그룹(Who Am I)’이란 이름의 해커는 수년 전 퇴직한 직원들 명의로 지난 9일 한수원 임직원에게 대량으로 이메일을 뿌리는 등 주도면밀하게 해킹을 준비한 것으로 드러났다.

한국수력원자력의 원전 도면 등 유출 사건을 수사 중인 개인정보범죄 정부합동수사단(단장 이정수 부장검사)은 지난 9일 한수원 퇴직자 명의의 이메일 계정에서 현직 직원에게 다량의 악성 이메일이 발송된 사실을 25일 확인했다.

한수원 직원들은 당시 누군가로부터 이메일을 받았고 해당 이메일에 첨부된 한글파일에는 악성코드가 심어져 있었던 것으로 조사됐다. 악성코드는 300여개에 이른다. 합수단은 현재 분석에 들어갔다.

한수원은 발송 이메일 명의자인 퇴직자를 상대로 조사를 진행하고 있다. 하지만 합수단은 해당 퇴직자 명의가 도용당했을 가능성이 높을 것으로 보고 있다.

지난 15일부터 5차례에 걸쳐 원전 도면 등 한수원 주요 유출자료를 인터넷과 트위터 등에 게시한 인물과 비슷한 수법으로 이메일이 발송됐기 때문이다.

합수단 조사 결과 이메일 발송자는 인터넷 가상사설망(VPN) 서비스를 통해 할당받은 IP를 활용했다. 해당 IP에서는 중국 선양에서 접속된 흔적들이 나타났다. 이는 자료 유출범 추정 인물이 추적을 회피하기 위한 방식과 유사하다.

이에 따라 합수단은 지난 9일 악성 이메일을 유포한 자와 유출 자료를 게시한 범인 추정 인물이 동일인 내지 동일그룹일 가능성이 높다고 판단하고 있다.

합수단 관계자는 "원전 유출 자료를 공개한 인물과 한수원 직원들에게 이메일을 보낸 인물은 100% 단정할 수 없지만 동일인 내지 동일 그룹으로 추정할 만한 정황이 있다"고 전했다.

실제로 이메일 발송에 사용된 IP와 유출 자료가 담긴 글을 올리는 데 활용한 IP를 비교한 결과 12개의 숫자 중 끝자리 하나만 다르게 나오는 등 상당한 유사점이 있다는 사실을 확인한 것으로 전해졌다.