[미디어펜=배소현 기자] SK텔레콤 해킹 사태로 국내 주요 인프라가 사이버 공격에 노출됐다는 국민적 우려가 커지는 가운데, 미국에서 해킹 혐의로 기소된 중국인 해커로부터 '중국 공안(경찰)이 한국의 통신사 자료를 요청했다'는 증언이 나왔다. 다만 이와 관련해 당국과 국내 기업 등은 다소 안일한 태세를 보여 '보안 불감증' 지적이 제기된다. 

9일 국내 보안업계 등에 따르면, 중국 해커에 의한 정보 유출이 의심되지만 흐지부지된 사례 중 하나로 지난 3월 미국 법무부에 의해 기소된 중국 보안업체 아이순(iSoon)의 LG유플러스 및 우리나라 외교부 해킹 의혹 건이 있는 것으로 알려졌다.

아이순 내부자가 유출한 자료와 미국 법무부 기소장에 따르면 아이순은 지난 2023년까지 7년 간 최소 100명 이상의 직원을 두고 43개 이상의 중국 정부 기관에 해킹 서비스를 제공한 혐의를 받고 있다.

특히 미국 법무부와 보안업계는 아이순이 중국 공안부(MPS)와 국가안전부(MSS)의 지시에 따라 미국·한국·대만·인도·프랑스 등 최소 20개국 정부 기관·외교부·언론사·비정부기구(NGO)·종교 단체·인권운동가·반체제 인사·기업 등을 대상으로 조직적 해킹을 벌인 것으로 확인했다.

또 아이순은 해킹 성공 시 이메일 계정 하나당 1만~7만5000달러를 청구하는 등 해킹을 수익화하는 체계적인 사업 구조를 갖추고 있었던 것으로도 파악됐다.

이 같은 사실은 업무 대비 처우가 낮다고 생각한 내부자 2명이 지난해 2월 해킹 내용이 담긴 문서 및 내부자 대화 기록을 폭로하면서 드러났는데, 이들이 온라인에 게시한 해킹 목록에는 LG유플러스 통화기록 3테라바이트(TB)가 포함됐다. 뿐만 아니라 유출된 아이순 관계자 간 대화에는 LG유플러스와 외교부 해킹에 관한 내용도 다량 있었다.

개발자 커뮤니티 '깃허브'에 올라온 아이순 내부 대화는 대화창 41개, 총 3500페이지 분량으로 방대했는데 이 중 대화창 4개가 한국 외교부, 1개가 LG유플러스 해킹과 관련한 내용으로 지목됐다. 

특히 대화 내용에는 한국 외교 관련 이메일 데이터가 확보돼 있고 중국 공안 등으로 추정되는 수요처와 거래하려 한 정황이 담겼다. LG유플러스 관련으로 추정되는 대화에서는 참가자들이 'LG건'이라고 지칭하며 통화 내역 조회가 가능한 지를 묻고 답했다.

이 대화 참여자 2명 중 1명은 'ken73224'라는 아이디를 쓰고 있었는데 해당 아이디는 미국 법무부 기소장에 아이순의 영업이사라고 적시한 인물이 쓰던 것과 같다. 대화 상대방이 산둥성 공안국에서 'LG 건 통화기록' 조회를 요구한다고 하자 ken73224가 가능하다고 답한 내용 등도 확인됐다.

다만, 이들 자료는 해커들이 자신들이 빼돌렸다고 언급한 데이터 자체가 아니라 해킹했다고 주장하는 목록이거나 진위를 단언할 수 없는 대화 내용 등 간접 자료라는 한계를 가진다.

이 같은 이유로 과학기술정보통신부, 한국인터넷진흥원(KISA) 등 해당 의혹을 조사한 당국은 해킹 혐의점이 없다고 보고 있다. 또 간접 자료 외 해킹과 정보 유출을 의심할 만한 악성코드 잔존 등 기술적 증거도 없어 문제없다는 입장이다. 

LG유플러스 역시 아이순의 해킹 리스트에 올라온 통화 내역 또는 데이터가 실제로 확인된 적이 없다는 입장이다.

한편, 해커들이 남긴 정황 증거가 방대하고 이들 증거가 미국 사법 당국이 해킹으로 판단한 사건과 무관하지 않다는 점에서 업계 일각에서는 '보안 불감증'에 대한 지적이 나온다. 또 해커에 의한 정보 유출이 의심된 사례들을 재점검해야 한다는 목소리도 나온다.

미국 법무부가 올해 3월 아이순 직원 8명과 중국 공안부 요원 등 모두 12명을 악의적인 사이버 활동을 벌인 혐의 등으로 기소한 내용에 한국 외교부 해킹 혐의가 실제로 포함된 것이 이들의 해킹 혐의가 단순히 대화에 그친 것이 아니었다는 방증이란 것이다.

미국 법무부는 기소장에서 아이순 최고운영책임자(COO)였던 전직 직원이 최소 2022년 11∼12월 한국 외교부의 여러 이메일 수신함의 내용에 허가받지 않고 접속할 권한을 중국 국가안전부(MSS)에 판매하려고 시도했다고 적시했다. 유출된 아이순 관계자 대화 내용과 유사성이 보이는 대목이다.

업계 내 한 관계자는 "정부나 기업에 피해가 없었다는 것은 다행스러운 일이지만, 해킹 의혹이 있는 만큼 사이버 보안에 대한 경각심을 높이고, 국가 차원에서도 법 제정 등 역량을 높일 필요가 있다"고 말했다.