경찰청 사이버센터 24시

5월 16일 오후 2시44분. 경찰청 사이버테러대응센터에 “한국교육방송공사(EBS) 메인 홈페이지가 해킹당해 회원 개인정보가 유출됐다”는 신고가 접수됐다.

근무 중이던 수사관 4명은 휴대용 분석장비(로드마스터)와 휘발성 증거(컴퓨터 메모리상의 네트워킹 연결 상태나 실행되고 있는 프로그램 목록) 분석 프로그램을 챙겨 EBS 서버가 있는 강남 KT 영동ICC(인터넷 컴퓨팅센터)로 출발, 신고 접수 1시간20여분 만인 오후 4시께 현장에 도착했다.

정석화 사이버테러대응센터 수사실장은 “해킹, 디도스 개인정보유출 등 사이버테러형 범죄는 증거가 쉽게 삭제ㆍ변조ㆍ훼손될 가능성이 높아 신속한 초동수사가 중요하다”며 “24시간 상시 현장 출동과 긴급상황 대응 체계를 마련하고 있다”고 말했다. 초동수사가 지연되면 수사기간은 배로 들고, 범인을 찾아내기도 어렵다. 정 실장은 “때문에 초동수사에는 증거확보를 위해 팀원 전원을 투입한다”고 강조했다.

현장에 출동한 수사관들은 피해 발생 사실 인지 방법과 피해 규모, 네트워크, 서버 구성 등에 대한 초동수사를 벌였다. 이어 서버상태와 해킹 당시 삭제되지 않고 남아 있는 파일(유류 파일, 증거파일의 한 종류) 등을 점검, 악성코드에 의한 일부 회원정보 유출 사실도 확인했다.

피해 발생 인접 시간대 접속기록을 분석한 수사팀은 해킹 경위와 구체적 피해 확인을 위해서는 정밀 분석이 필요하다고 판단, 수사에 필요한 관련시스템 접속기록과 저장매체 원본을 보존 조치했다.

이들 수사관이 다시 센터로 복귀한 시각은 오후 8시30분. 초기 분석에 필요한 악성코드와 접속기록 일부를 제공받아 복귀한 수사관들은 자료 분석을 위한 밤샘 작업에 들어갔다. 여기에 투입된 수사관은 모두 7명. 3명은 악성코드 기초 분석을, 2명은 해커 추적을 위한 접속기록 기초 분석을, 나머지 2명은 유출된 개인정보 종류와 규모 분석에 들어갔다. 신속한 기초 분석을 위해 수사팀은 다음날 오전 10시 수사인력을 추가 투입을 결정했다. 센터 내 수사관 25명을 전원 투입한 것.

하지만 수사팀은 해킹사건을 수사하면서 항상 어려움에 직면한다. EBS 서버를 복원하고, 서버의 취약점을 보완, 재공격 차단 조치를 취했지만, 언제든지 다시 공격을 받을 여지가 있기 때문이다. 밤을 새워 수사관들이 매달린 지 벌써 40여일이 지났지만 여전히 수사는 진행 중이다. 통상 범인을 추적해 검거할 때까지 수개월에서 1년 이상 걸리는 사건들이 비일비재하다. 그만큼 사이버수사가 녹록지 않다는 방증이다.

수사팀 관계자는 “사이버범죄가 빈발하고, 날로 지능화되면서 대응팀의 전문성이 더욱 절실히 요구되는 실정”이라며 “서버 관리자나 보안전문가들과 해커들의 해킹기법을 공유해 사전에 범행을 예방하는 것이 수사의 궁극적인 목표”라고 말했다.

<이태형 기자> /thlee@heraldm.com


기자]