- 구글 연구원, 2년 전 사례 발견
- 러시아도 "중요한 단서" 맞장구
- "섣불리 지목해선 안돼" 신중론도

최근 지구촌을 강타한 사상 최대규모의 온라인 해킹공격 배후에 북한이 있다는 주장이 전문가들에게서 나오고 있다. 이들 보안 전문가는 북한과 연계된 것으로 추정되는 해킹 범죄단 '래저러스'(Lazarus)를 이번 워너크라이 랜섬웨어 공격의 배후로 보고 있다.

15일(현지시간) AFP통신과 미국 정보기술(IT) 전문매체인 '아스 테크니카' 등에 따르면 구글 연구원 닐 메타는 이번 사태를 일으킨 악성코드 워너크라이와 북한 정권의 소행으로 추정되는 해킹에 유사성이 있다고 지적했다. 그는 래저러스의 백도어 프로그램(보안장벽을 우회하는 장치) '캔토피'의 2015년 초기 버전 코드가 워너크라이의 2월 샘플에서 발견됐다고 설명했다.

러시아의 사이버보안업체 카스퍼스키는 메타의 발견을 중요한 단서로 규정하며 북한이 이번 공격의 배후일 가능성에 주목했다.

카스퍼스키 연구원들은 "지금으로서는 워너크라이의 더 오래된 버전을 연구할 필요가 있다"면서 "이런 작업이 이번 사태를 둘러싼 몇몇 의문점들을 풀 열쇠가 될 것"이라고 설명했다. 래저러스는 2009년부터 사이버 범죄가 포착됐으며 북한이 지원하는 해킹집단이라는 의심을 받고 있다.

이 집단은 2013년 한국 금융기관·언론사, 2014년 미국 소니픽처스, 지난해 2월 방글라데시 중앙은행을 비롯한 동남아 3개국 은행 등을 겨냥한 해킹사건을 일으킨 혐의를 받고 있다.

이스라엘에 본부를 둔 '인테저 랩스'도 이번 랜섬웨어 사태가 북한과 관계가 있다는 주장에 동의했다. 이 업체의 최고경영자인 이타이 데베트는 트위터를 통해 "인테저 랩스는 워너크라이의 책임 소재가 북한에 있다고 확인했다"며 "래저러스의 기능뿐만 아니라 다른 정보도 더 나올 것"이라고 말했다.

미국 뉴욕타임스(NYT)는 워너크라이에서 발견된 코드 중에 오로지 북한과 연계된 해커들만 사용하는 것들이 있다고 보도했다. 보안 전문가에게는 사실상의 '사이버 지문'으로 통한다는 말이다.

그러나 이번 랜섬웨어 공격의 배후를 북한으로 섣불리 지목해선 안 된다는 신중론도 나오고 있다. 워너크라이 개발자가 이번 공격의 주모자로 래저러스가 의심을 받도록 캔토피에서 발견된 코드를 고의로 워너크라이에 심었을 가능성이 있기 때문이다.

한편 한국군 당국은 랜섬웨어 확산과 관련 정보작전 방호태세인 '인포콘'을 한 단계 격상한 것으로 확인됐다.

정부의 한 당국자는 16일 "랜섬웨어 확산에 편승한 적대 세력의 군 사이버망 공격에 대비해 지난 14일 합참의 인포콘을 '준비태세' 단계인 4에서 '향상된 준비태세' 단계인 3으로 격상했다"고 밝혔다. 합참의장이 발령하는 인포콘은 1∼5 다섯 단계로 나뉘며 북한의 사이버테러 가능성이 커질수록 단계적으로 격상된다. 인포콘 단계가 높아질수록 군의 CERT(사이버침해대응팀) 요원이 증강 배치된다.

국방부와 합참에서는 랜섬웨어 피해 사례가 아직 없는 것으로 전해졌다.