한국·미국 양국 주요기관의 인터넷 사이트를 마비시킨 ‘7·7 디도스 사이버테러’는 북한 인민군 산하의 사이버전쟁 전담 부서가 주도한 것으로 알려졌다.

국가정보원은 10일 오전 열린 국회 정보위원회 간담회에서 이번 사이버테러의 배후와 관련, “북한 인민군 총참모부 정찰국 산하 110호 연구소를 지목했다”고 한 정보위 소속 의원이 전했다.

이 의원은 “110호 연구소는 해킹 프로그램을 개발하고, 중국·동유럽 등에 위장 해커부대를 운영하고 있다”며 “이 연구소는 오래 전부터 사이버 관련 훈련이 잘된 부대라고 국정원이 설명했다”고 말했다. 그는 “최근 북한에 대한 우리나라와 미국의 제재 움직임(사이버스톰)이 일자 조국평화통일위원회(조평통)를 통해 반발하는 성명서를 내고 또 6월에 예행연습을 한 것 같다는 보고도 있었다”고 말했다.

이와 관련, 정보위 간담회에 참석한 다른 의원은 “110호 연구소는 그간 국내 주요기관을 해킹해 왔고, 6월에 방송통신위원회와 국책연구기관을 디도스로 공격하는 사전 모의 훈련을 실시했다는 보고가 있었다”고 전했다.

특히 국정원은 국내 기관 해킹과 디도스(DDoS·분산서비스거부) 공격 예행 연습에 사용했던 파일 확장자와 이번 디도스 악성코드 파일 확장자가 동일한 것으로 파악한 것으로 알려졌다.

국정원이 7일 디도스 공격 직후 그 배후로 북한 및 북한 추종세력을 지목한 것도 이같은 기술적 근거를 확보했기 때문이다. 110호 연구소는 ‘남한의 통신망을 순식간에 파괴하는 것’을 목표로 설립됐다고 이 참석자는 전했다.

이와 관련, 국정원은 “확인해 줄 수 없다”는 반응을 보였다. 북한은 남한 학생들이 방과후 컴퓨터를 켜는 시간이 오후 6시쯤이라는 점에 착안해 이 시간대에 집중적인 공격이 이뤄지도록 악성코드를 프로그래밍한 것으로 알려졌다.

국정원이 북한 배후설을 사실상 공식화했지만 최초 디도스 공격의 인터넷프로토콜(IP)이 밝혀지지 않았다는 점에서 논란이 예상된다. 현재 국정원이 추적 중인 19개국, 92개 IP 가운데 북한은 포함돼 있지 않다.

국정원 관계자는 “현재 추적 중인 IP는 디도스 공격에 이용된 좀비 PC를 감염시킨 1차 매개체로 경유지 성격이 강하다”며 “수사가 진행되면 이같은 1차 매개체 IP는 더욱 늘어날 수 있고 어느 곳에서 제작됐는지도 파악할 수 있을 것”이라고 말했다.

유병권·김백기기자 ybk@munhwa.com