한국수력원자력 원전 도면 해킹 유출 사건 (2014)

2014년 12월 한국수력원자력의 임직원 개인정보와 내부 자료가 외부로 유출된 사실이 드러났다. 유출된 임직원 정보는 1만799명 규모로, 이름과 사번, 소속, 직급, 입·퇴직일, 이메일, 휴대전화 번호 등 8개 항목에 이르렀다. 이 정보들은 암호화 처리도 되지 않은 채 문서 파일 그대로 노출됐다. 국가 핵심 기반시설을 운영하는 공기업의 보안 관리에 심각한 허점이 드러난 것이다. 단순 개인정보 유출을 넘어 원전 안전을 위협할 수 있는 사안이라 파장이 컸다.

'원전반대그룹'을 자처한 세력이 인터넷과 사회관계망서비스에 한수원에서 빼낸 자료를 잇따라 공개했다. 이들은 고리·월성 원전의 설계도면과 제어 프로그램 자료, CANDU 관련 문서 등 민감한 기밀을 올렸다. 동시에 특정 시점까지 원전 가동을 중단하지 않으면 파괴하겠다는 협박 메시지를 내놨다. 국가 원전 시설을 겨냥한 사이버 협박이라는 점에서 국민 불안이 크게 번졌다. 정부와 한수원은 비상 대응 체제에 돌입했다.

사태가 심각해지자 검찰을 중심으로 정부 합동수사단이 꾸려져 본격 수사에 들어갔다. 수사단은 유출 경로와 해킹 수법, 자료 공개 주체를 규명하는 데 집중했다. 원전 도면 등 기밀이 어떻게 외부로 빠져나갔는지가 핵심 쟁점이었다. 국가정보원과 관계기관도 협력해 침해사고 분석에 나섰다. 국가 기반시설을 노린 사이버 공격이라 수사에 총력이 실렸다.

협박 세력이 크리스마스를 전후해 원전을 공격하겠다고 예고하면서 정부는 최고 수준의 경계 태세를 갖췄다. 한수원은 원전 제어망과 업무망 분리 상태를 점검하고 사이버 방호 훈련을 실시했다. 관계당국은 만일의 사태에 대비해 24시간 감시 체계를 가동했다. 국민들 사이에서는 원전 안전에 대한 우려가 확산됐다. 다행히 예고된 시점에 실제 대규모 시설 공격은 발생하지 않았다.

수사가 진행되면서 이번 해킹이 즉흥적 범행이 아니라 수년 전부터 치밀하게 준비된 정황이 속속 드러났다. 공격자들은 한수원 협력업체와 임직원을 겨냥한 악성코드 이메일 등으로 장기간 내부에 침투했던 것으로 파악됐다. 유출 자료의 범위와 구성으로 볼 때 조직적이고 전문적인 소행이라는 분석이 나왔다. 단발성 유출이 아니라 지속적 침해였다는 점에서 위협의 심각성이 재확인됐다. 국가 기반시설 보안 체계 전반에 대한 재점검이 요구됐다.

이듬해 3월에도 협박 세력은 인터넷에 원전 관련 자료를 다시 공개하며 위협을 이어갔다. 이로써 2014년 12월부터 여섯 차례에 걸쳐 원전 도면과 한수원 임직원 주소록·전화번호부 등 총 94개 파일이 외부에 유포됐다. 이들은 계속해서 원전 가동 중단을 요구하며 사회적 불안을 조장했다. 반복되는 자료 공개는 국가 기밀 관리의 취약성을 거듭 드러냈다. 장기간 이어진 사이버 협박은 국가 안보 차원의 문제로 다뤄졌다.

정부 합동수사단은 2015년 3월 한수원 사이버테러가 북한 해커조직의 소행이라고 결론지었다. 수사단은 공격에 사용된 악성코드가 북한이 쓰는 '킴수키(kimsuky)' 계열과 구성 및 작동 방식이 유사하다는 점을 근거로 제시했다. 접속 경로 추적에서도 북한과 연결된 정황이 확인됐다고 밝혔다. 국가 기반시설을 겨냥한 북한발 사이버 공격이라는 판단은 안보 위협을 부각시켰다. 사건을 계기로 원전 등 주요 시설의 사이버 보안과 망 분리 대책이 대폭 강화됐다.