日 IT 기업 해킹에 北 연계 정황…"IP 5개 일치"

GMO인터넷그룹 대규모 해킹
해커 측 100만 달러 요구

일본 정보기술(IT) 대기업 GMO인터넷그룹을 겨냥한 사이버 공격에 북한 연계 해커 조직이 관여했을 가능성이 제기됐다. 해커들이 이용한 웹사이트에서 과거 북한 해커 조직이 사용했던 인터넷프로토콜(IP) 주소와 일치하는 흔적이 발견되면서 북한 배후설에 무게가 실리고 있다.

2일 교도통신은 GMO인터넷그룹이 최근 발생한 해킹 사건을 분석한 결과, 북한 연계 해커 조직이 공격에 관여했을 가능성이 높다고 판단했다고 단독 보도했다. 악성 소프트웨어의 특징과 공격 당시 남겨진 통신 기록 등을 근거로 이 같은 결론을 내렸으며, 관련 내용을 일본 정부에도 보고했다고 교도통신은 전했다.

북한 해커 조직과의 연관성을 보여주는 정황도 포착됐다. 교도통신이 보안 전문가들과 함께 해커들이 범행을 주장하며 개설한 웹사이트를 분석한 결과, 해당 사이트 공개 직후 접속한 IP 주소 중 5개가 과거 북한 해커 조직이 사용했던 주소와 일치했다.

다만 이같은 근거로 공격 주체를 북한으로 확정하기는 쉽지 않은 상황이다. 해커들이 범행을 주장하며 개설한 웹사이트는 미국 기업의 서버를 이용하고 있었으며, 사이트에 게시된 파일은 중국산 소프트웨어(SW)로 제작된 것으로 나타났다. 방문자 정보를 수집하는 프로그램 일부에서는 일본어도 발견됐다. 보안 전문가들은 공격자들이 의도적으로 여러 국가의 흔적을 남겨 추적에 혼선을 주려 했을 가능성이 있다고 분석했다.

지난달 20일 GMO인터넷그룹은 외환거래(FX) 자동매매용 클라우드서비스 일부 서버에서 악성 프로그램을 발견했다. 이후 고객의 금융거래 계좌 로그인 정보 등이 외부로 유출되고, 일부 계좌에서 무단 거래가 이뤄진 것으로 의심되는 정황도 확인됐다.

해커 측은 서버 2만7000대와 개인용 PC에 침입해 이용자 정보를 빼돌렸다고 주장하고 있다. 그러면서 정보의 대가로 100만 달러(13억3900만원)를 요구하고 있다. 회사는 해커의 요구에 응하지 않겠다며, 오히려 100만 달러를 현상금으로 내건다고 발표했다. 공격자 특정이나 사건 전모를 규명하는 데 도움을 주는 제보자에게 지급한다는 계획이다.

전진영 기자 jintonic@asiae.co.kr