3월 디도스공격도 북한 소행? 경찰, 확증없어 ‘에둘러 지목’

“2009년때와 악성코드 같아”

지난달 청와대 등 40개 사이트를 대상으로 발생한 ‘분산서비스거부’(디도스·DDoS) 공격이 2009년 7월7일 디도스 공격과 동일범의 소행이라고 경찰이 6일 밝혔다. 경찰이 ‘북한’이란 단어를 명시적으로 쓰지는 않았지만, 사실상 또 북한을 범인으로 지목한 셈이다.

경찰청 사이버테러대응센터는 이날 “지난달 3일부터 5일까지 발생한 디도스 공격을 수사한 결과, 범인이 ‘7·7 공격’ 때와 같다고 확정할 수 있는 증거들을 찾았다”고 발표했다. 경찰은 7·7 디도스 공격 때 사용된 것과 똑같은 악성코드가 발견된 사실을 근거로 제시했다. “사건현장에서 찾은 지문처럼 악성코드엔 제작자가 아닌 사람은 흉내낼 수 없는 고유한 특성”이 반영돼 있다는 게 경찰 쪽의 설명이다. 2009년 7월7일부터 사흘간 국내 21개 및 미국 14개 인터넷 사이트가 디도스 공격을 받자, 경찰은 공격 근원지가 중국에 있는 북한 체신성으로 확인됐다고 밝힌 바 있다.

경찰은 “2009년 61개국에서 사용된 공격서버 435대와 이번에 70개국에서 동원된 746대 중 여러 개의 아이피 주소가 중복됐다”는 점도 ‘동일범 소행’의 증거로 제시했다. “전세계 42억개 아이피 주소 중 하나도 겹치기 힘든데 같은 용도로 여러 개가 중복 사용됐다는 것은 동일범이 아니면 있을 수 없는 일”이란 이유다.

경찰은 이번 발표에서 ‘공격자=북한’이라고 직접 표현하진 않았다. 경찰은 “이번 공격의 근원지를 추적해본 결과 북한 체신성과는 아무 관련이 없다”고 밝혔다. 하지만 경찰은 ‘3단 논법’을 동원해 사실상 북한을 범인으로 지목했다. “7·7 디도스 공격의 근원지는 중국의 북한 체신성이었다→이번 공격 아이피는 그때와 다르지만 범인은 같다→따라서 7·7 공격 때와 동일범의 소행”이란 얘기다. 경찰은 두번의 디도스 공격에 사용된 서버 아이피가 누군가에게 악용됐을 가능성도 전혀 배제하진 않았다.

이문영 기자 [e-mail]