원전·핵연료봉과 같은 원자력기술 연구개발을 맡고 있는 한국원자력연구원이 북한 해커에 내부 전산시스템을 해킹당했다는 주장이 제기됐다. 국가정보원이 이 사건의 구체적인 상황을 파악 중이다. 피해 규모와 배후 세력에 대한 조사도 진행될 것으로 보인다.

국회 정보위원회 소속 하태경 의원은 최근 한국원자력연구원으로부터 제출받은 자료 내용을 근거로 "한국원자력연구원 서버가 북한 해커로 추정되는 세력에 뚫렸다"라며 "북한에 원자력기술 등 국가 핵심기술이 유출됐다면 2016년 국방망 해킹 사건에 버금가는 초대형 보안 사고로 기록될 수 있다"고 18일 주장했다.

하 의원 측에 따르면 한국원자력연구원은 지난달 14일 북한 정찰총국 산하 해커 조직인 '김수키(kimsuky)'로 추정되는 세력에 해킹을 당했다. 당시 한국원자력연구원이 "가상사설망(VPN) 취약점을 통해 신원불명의 외부인이 일부 (내부 전산시스템) 접속에 성공했다"며 사이버침해사고를 신고한 기록이 의원실 제출 자료에 담겼다는 설명이다.

김수키는 2013년 러시아 정보보안기업 카스퍼스키랩이 발표한 분석보고서(Operation Kimsuky)를 통해 식별된 해커 조직이다. 김수키라는 식별명은 당시 카스퍼스키랩이 해커가 사용한 이메일 계정명(Kimsukyang)에서 따온 것이다. 김수키는 2014년 12월 한국수력원자력 해킹 공격과 이후 국내를 겨냥한 한글(.hwp) 형식의 악성문서 유포 등 공격활동을 이어 왔다.
 
의원실이 공개한 한국원자력연구원의 사이버침해사고 신고서를 보면, 당시 연구원은 VPN, 메일시스템, 키관리시스템(KMS) 인증서버 등 3종의 전산시스템 3대 이상에 외부인의 접속이 이뤄졌음을 확인했다. 이에 외부망 방화벽과 침입방지시스템(IPS) 등 보안장비에서 공격자의 IP를 차단하고 VPN 시스템 보안 업데이트를 적용하는 대응 조치를 취했다.

하 의원 측이 한국원자력연구원의 내부 전산시스템 접속에 성공한 외부인의 배후를 북한 해커 조직으로 추정하는 근거는 VPN 시스템에 남아 있던 외부 IP 주소 13개다. VPN은 내부망으로 접속해야 할 전산시스템에 외부에서 인터넷으로 접속할 수 있도록 해 주는 네트워크 기술로, 일반적으로 적정 권한을 가진 사용자만이 접속할 수 있다.

의원실에 따르면 VPN 시스템에 남아 있던 외부 IP 주소 13개는 적정 권한을 갖고 있는 사용자의 접속 기록이 아니었고, 신원을 알 수 없는 사용자가 무단으로 접속한 것이었다. 의원실은 북한 사이버테러 전문연구조직인 '이슈메이커스랩'의 추적 결과, 이번에 발견된 IP 주소가 '작년 코로나 백신 제약사를 공격한 북한 해커의 서버'로 연결된 것을 확인했다고 밝혔다.

하 의원은 한국원자력연구원과 과학기술정보통신부 등 관계기관이 조사 과정에 '해킹사고가 없었다'고 허위 보고를 한 점에 대해 "원전·핵연료봉 등 원자력 기술을 연구 개발하는 핵심연구기관인데 북한 추정 세력에 해킹당한 사실을 거짓말로 은폐해 국민을 속이려 한 죄가 크다"며 "정부는 피해 규모와 배후세력을 조속히 공개해야 한다"고 말했다.

의원실은 또 "해커가 사용한 주소 가운데 문정인 전 외교안보특보의 이메일 아이디(cimoon)도 발견됐다"라며 "(제약사 공격에 사용된 IP와 함께) 북한이 배후세력이라는 결정적 증거"라고 주장했다. 지난 2018년 문 전 특보를 사칭한 악성메일 유포 사례의 배후 또한 김수키 조직으로 지목됐음을 근거로, 두 공격 사건의 배후가 동일하다고 판단하는 것이다.