2년 전 서울대병원 해킹, 북한 소행 결론…‘김수키’가 유력 배후

경찰이 2년 전 발생했던 서울대병원 서버 해킹 사건의 배후를 북한 해킹조직으로 결론 내렸다. 경찰청 국가수사본부 사이버수사국은 2021년 5~6월 서울대병원 서버에서 환자와 전·현직 의료진 등 83만여 명의 개인정보를 유출한 사건이 북한 해킹조직이 벌인 일이라고 10일 밝혔다. 서울대병원은 같은해 7월 해킹으로 개인정보가 유출됐다며 경찰에 피해 사실을 신고했다.

경찰이 2021년 서울대병원 해킹 사건의 배후로 북한 해킹조직을 지목했다. 경찰청

경찰 수사 결과, 북한 해킹조직은 국내·외 서버 7대에 기반을 두고 서울대병원 내부망에 침입한 것으로 조사됐다. 홈페이지 웹 서버의 취약점을 노렸다. 사진이나 동영상, 문서 파일 등을 게시할 때 악성 코드가 포함된 파일까지 업로드가 가능하도록 제작이 되어 있었던 점을 악용했다. 경찰은 북한 해킹조직이 서울대병원에서 진료받은 주요 인사의 개인정보를 탈취하려고 해킹을 실행한 것으로 추정하고 있다.

경찰은 서버에 접속한 공격 근원지의 IP 주소와 IP 주소 세탁 기법 등이 기존 북한 해킹조직의 수법과 동일하다는 사실을 확인했다. 또 해킹에 이용된 서버에 입력된 사용자 성명과 이메일 등의 정보가 과거 북한 해킹조직이 사용한 정보와 같다는 점도 파악해 북한의 소행으로 특정했다. 경찰은 “해킹조직이 IP를 노출시키지 않기 위해 여러 단계를 공유했고, 해외 IP가 많아 국제 공조에 오랜 시간이 소요됐다”고 설명했다.

구체적인 해킹조직은 특정되지 않았지만, 당국은 2014년 한국수력원자력을 해킹한 것으로 알려진 북한 해킹조직 ‘김수키’가 유력한 배후로 지목하고 있다. 경찰 관계자는 “민간 보안 업체의 분석 내용이라 김수키가 실제 배후인지 단정할 수 없지만, 김수키가 많이 사용하는 중국 IP가 이번 수사 과정에서도 발견됐다”고 말했다.

해킹 사건으로 유출된 환자와 전·현직 직원 83만여 명의 개인정보 가운데는 조직 검사 등 병리 검사 내역 등도 포함됐다. 진료 기록은 개인정보보호법상 ‘민감 정보’에 해당돼 엄격히 관리된다. 병원 직원 2000명의 개인정보는 실제로 유출돼 북한 해킹조직이 사용한 서버에 저장됐던 것으로도 파악됐다. 다만 유출된 개인정보가 다른 범죄에 이용되는 2차 피해사례는 아직 보고 되지 않았다고 경찰은 밝혔다.

김민정 기자 kim.minjeong6@joongang.co.kr