최순실 국정농단 사태로 어수선한 시국을 우려하는 제목을 내세워 국내 외교·안보 관계자들에게 발송된 악성 이메일이 북한에서 시작된 것으로 드러났다.
 
 경찰청은 지난해 11월과 이달 3일에 발견된 악성코드가 담긴 이메일 발송근원지가 북한 IP(인터넷프로토콜)주소라고 25일 밝혔다.

 북한 관련 학술연구 단체를 사칭한 이메일은 '우려되는 대한민국' '2017년 북한 신년사 분석' 등 제목으로 악성코드를 포함한 한글파일을 첨부하여 미국 서버를 경유해 발송됐다.

 해당 파일을 내려받으면 악성코드가 공격자가 사용하는 서버에 접속해 다른 악성코드를 PC에 추가 설치한다. 2차 악성코드는 PC 속 파일을 빼내거나 메일 계정 등 개인정보를 훔쳐간다. 분석 결과 현재까지 감염 피해는 확인되지 않았다.

 경찰에 따르면 이번 범행은 북한 평양시 류경동에 할당된 IP로부터 시작됐다. 이는 2013년 '3.20 사이버테러' '2016년 방송사·수사기관·대학교수 사칭 악성코드 이메일 발송' 등에서 악용된 IP주소 대역이다. 이번 공격에 쓰인 악성코드는 전보다 진화해 상황에 따라 변형이 가능했다.

 경찰은 지난해 1월부터 북한 해킹조직 활동상황을 수사한 결과, 2012년 5월부터 북한 IP에서 전자우편 계정 58개를 생성해 국내 정부·연구·교육기관 등 종사자 총 785명에게 악성 이메일을 보낸 사실을 확인했다.

 이에 해당 이메일 수신자에게 비밀번호를 변경토록 하고 사칭용 이메일 계정을 영구 삭제하는 등 피해 예방 조치를 취했다.

 이메일 발송에 악용된 국내·해외 경유지 서버 등 69개를 파악해 국내 경유지는 이용을 막았고 해외 경유지와 관련 국제공조 수사도 하고 있으며, 지난해 발견된 악성코드 22종은 한국인터넷진흥원(KISA)과 협조해 백신에 반영했다. 또 악성코드와 통신하는 해외 서버와 피싱사이트는 접속을 차단했다.

 경찰 관계자는 "발송자가 불분명한 이메일을 열거나 첨부 파일을 실행하는 것을 피하고 아이디(ID)와 비밀번호 노출을 유의해야 한다"며 "주기적으로 비밀번호를 변경하고 본인의 접속 이력을 확인하는 등 사이버 보안에 주의해 달라"고 당부했다.(konas)

코나스 최경선 기자