농협 해킹은 일반PC 활용한 듯…MBC, 신한은행서 해외IP 발견된 듯
이재일 KISA(한국인터넷진흥원) 인터넷침해대응센터 본부장은 "농협 해킹은 내부 PC에서 접근한 것이 맞지만 다른 곳에서 상당히 의심스러운 외부 IP가 발견됐다"고 22일 밝혔다.
이 본부장은 이날 방송통신위원회에서 열린 긴급 브리핑을 통해 이같이 밝혔다.
방송사-금융기관 해킹사고 관련 민관군 합동대응팀은 전날 중국IP가 농협 해킹에 활용된 것으로 추정된다고 발표했다. 이에 따라 북한의 소행일 가능성이 높다는 분석이 제기됐다. 하지만 합동대응팀은 이날 전날 발표를 뒤집는 내용을 발표했다.
다만 합동대응팀은 조사중인 MBC, 신한은행, 농협 등 3개 기관에서 상당히 의심스러운 외부IP가 있다며 조사가 진행중이라고 밝혔다. 농협 해킹이 내부PC를 통해 이뤄졌다면 MBC나 신한은행에서 해외IP가 발견된 셈이다.
다음은 김 본부장과의 일문일답.
-농협 해킹에 사용된 중국 IP가 국내 IP인가
▶해당 IP는 국제기준상 중국에 할당된 IP여서 중국IP라고 발표했다. 하지만 추가적으로 검증한 결과, 중국에 할당된 IP를 쓰는 사설IP였다. IP 주소는 중국 IP가 맞지만 사내에서 쓰는 IP였다. 보통 기업에서 사설IP를 쓸 때 국제적인 기준을 쓰지 않을 수 있기 때문에 우연의 일치로 봐야 한다.
-농협 사내 PC가 해킹에 이용됐는가
▶경찰청 등이 하드디스크를 가져가서 PC를 조사하고 있는데 해킹의 경유지로 악용될 가능성이 있다.
-농협 PC가 관리자 PC인가
▶서버 관리 권한을 가지고 있는 PC는 아니다. 일반 PC다.
-관리자 권한이 없는데 서버에 접속할 수 있나
▶여러 가지로 가능하다. 조사가 진행중이다.
-해외 침투 경로는 없는가
▶농협은 내부에서 접근한 것이 맞다. 합동 조사팀에서 조사한 결과, 상당히 의심스러운 외부발 IP가 있다. 해외에서 유입된 IP가 있는 것으로 조사하고 있다. 농협은 아니라 다른 기관에서다. 조사를 위해서 나라 등 구체적으로 말하기 어렵다.
-중국IP가 있는가
▶정황이 있기 때문에 맞다, 틀리다고 얘기하기 힘들다. 조사를 하고 있다.
독자들의 PICK!
-왜 공개 못하나
▶해커가 알고 범죄 흔적을 정리하기 때문이다.
(이승원 방통위 네트워크정보보호 팀장)확실한 증거가 있으면 발표하겠다. 중국에서 항의 비슷한 것이 나오고 있다. 나라를 발표하면 상대국에서 항의를 유발할 수 있다.
-국내 가능성은
▶근원지가 될 수 있으나 통상적으로 그런 사례는 없었다. 국내에서 해킹하면 빨리 (범인을) 찾을 수 있다.
-중국IP였다는 혼란이 발생한 이유는
▶(이승원 팀장)사건 초기에 사실을 알리는 과정에서 오해가 있었다. 2차적으로 검증했어야 했는데 소홀했다.
-중국 IP가 아닌지 언제 알았나
▶(이승원 팀장)어제 새벽 보고 받고 브리핑했다. 브리핑 후 추가 분석했고 오후 6시에 아닐 가능성에 대해 보고 받았다. 추가적인 혼란을 막기 위해 밤새 확인했다. 정부가 숨긴다든가 오해를 불러일으킬 수 있어 위원장 지시로 긴급 브리핑하는 것이다.
-근원지를 찾는데 얼마나 걸리나
▶과거 농협 등은 6개월 이상 걸렸다. 근원지를 찾기 위해서는 상당기간이 걸릴 것으로 보인다. APT(지능형 타깃 지속공격)은 오래 시간 설계한 것이기 때문에 (근원지를 찾는데도) 오랜 시간이 소요될 것으로 보인다.
-언제 악성코드가 심어졌는가, 1년 전이라는 얘기도 있는데
▶그렇게 오래 된 것은 아니고 사건이 일어난 그날 심었다.
-동일 조직인지 어떻게 아는가
▶여러 기관이 공격을 받았고 공격 기법이나 설계를 봤을 때 같은 패턴으로 보인다.
-왜 3개 기관만 조사하고 있는가
▶용량 등으로 하드디스크 이미지를 확보하는데 오랜 시간이 걸릴 수 있다. 시간이 걸리기 때문에 먼저 조사한 것이다.
-악성코드는 총 14종인가
▶이름이 다르거나 약간의 변형이 있는 것이다. 조사중인데 현재까지는 14종이다.
-현재 전용 백신으로 모두 치료가 가능한가
▶그렇다.
