아니나 다를까… '청와대 사칭 이메일'은 북한 소행

북한 4차 핵실험 직후였던 지난 13~14일 청와대 등 정부 주요 기관을 사칭해 대량 유포된 이메일의 발신자 IP 주소가 '2014년 한국수력원자력(한수원) 해킹 사건' 때와 같은 것으로 확인됐다.

강신명 경찰청장은 18일 기자 간담회에서 "청와대 등을 사칭한 해당 이메일의 발신지를 추적한 결과 사용된 IP 주소는 중국 랴오닝(遼寧)성 지역 것으로, 2014년 한수원 해킹 때 활용된 IP 대역과 정확히 일치했다"고 밝혔다. 원전 가동을 중단시키겠다고 협박하고 일부 설비 도면을 유출한 한수원 해킹 사건에 대해 정부 합동 수사단은 북한 해커 소행으로 결론 내린 바 있다. 이번에도 북한 소행일 가능성이 크다는 것이다.

경찰은 이번에 발송된 청와대 사칭 이메일을 '투 트랙 스매싱 메일'로 보고 있다. 이는 첫 번째 메일에는 악성 코드를 심지 않아 상대를 안심시킨 뒤, 답장을 보내오면 두 번째 보내는 메일에 악성 코드를 심어 컴퓨터를 감염시키는 방식이다.