이미지 크게보기침통 이병호 국가정보원장이 19일 오후 국정원 직원 임모 씨의 빈소가 마련된 경기 용인시의 한 장례식장에서 조문한 뒤 빈소를 나서고 있다. 연합뉴스

“IP발견과 연관은 무리수… 수많은 해킹 경유지일 뿐“

“접속해 무엇했나 볼 수있는 해킹 로그기록 삭제했을듯”

새정치민주연합이 국가정보원에 해킹 프로그램을 판매한 이탈리아 업체 해킹팀의 유출 자료에 포함된 국내 인터넷 주소(IP)를 근거로 해킹팀이나 국정원이 국내 사이트를 해킹하고 정보를 빼냈다는 주장에 대해 보안 전문가들은 “IP 발견을 해킹과 연관 짓는 것은 무리”라고 선을 그었다.

20일 국내 보안 업체의 핵심 관계자는 문화일보와의 통화에서 “IP 발견과 해킹은 무관하다”면서 “IP를 통해 접속은 할 수 있지만 접속해서 뭘 했느냐는 건 ‘로그(log)’ 기록을 봐야 알 수 있기 때문에 IP만 가지고 해당 사이트가 해킹당했다는 것은 억측”이라고 말했다. 로그는 각종 프로그램 등이 작동된 정보가 PC나 서버에 남겨진 기록이다. 로그 기록을 보면 언제 어떻게 어느 프로그램을 통해 무슨 작업을 했는지 등을 확인할 수 있다.

설령 해당 IP에서 해킹이 이뤄졌다고 하더라도 진원지를 찾는 것은 거의 불가능하다. 이 관계자는 “해킹을 할 땐 최종 목적지에 가기 전 수많은 IP를 거쳐 자신을 못 찾도록 한다”면서 “자신의 IP가 뻔히 노출되도록 해킹을 하는 해커는 없을 것”이라고 말했다.

전문가들은 국정원이 20명분의 ‘리모트 컨트롤 시스템(RCS)’ 라이선스를 구매했기 때문에 20명에 대한 해킹만 가능하다고 밝힌 부분에 대해서는 신중한 입장을 보였다. 문자메시지, 이메일 등을 통해 RCS 프로그램이 스마트폰이나 PC로 보내지면 해당 기기에 스파이웨어가 깔리고 그 뒤부터 공격자가 기기를 원격 조종할 수 있다. 이때 상호 간 계약에 의한 라이선스 등에 따라 20명분은 ‘전체 해킹 대상의 숫자’나 ‘실시간 동시 해킹이 가능한 대상의 수’를 뜻할 수 있다. 또 다른 보안 업계 관계자는 “계약에 따라 라이선스의 내용이 달라지는 데다가 국정원에서 구매한 RCS의 샘플이 없어서 정확한 판단이 어렵다”고 말했다.

전문가들은 자살한 국정원 직원 임 모 씨가 유서를 통해 삭제했다고 밝힌 자료에 대해 해킹 프로그램을 작동하는 데 연관된 로그 기록을 삭제했을 가능성이 있는 것으로 추정하고 있다. 만일 국정원이 해킹팀에서 구매한 RCS를 활용해 해킹했다면 각종 정보가 로그에 남아있을 수밖에 없다.

그러나 100% 복구에 대해서는 회의적인 시각이 많다. 보안 업계 관계자는 “자료 삭제 수단으로 디가우저(자기장을 활용해 하드디스크 등에 저장된 데이터를 완전히 삭제하는 장치)를 활용했다면 100% 복원은 거의 불가능하다”고 말했다.

임정환 기자 yom724@munhwa.com