국내 금융권 연쇄 해킹 사건의 공격자로 중국 광둥성에 거주하는 26세 인물이 지목된 가운데, 실제 공격자가 중국 국적자로 확인될 경우 신병 확보에 대한 우려가 제기된다. 중국이 한·중 범죄인 인도조약 체결 이후 한국의 인도 청구에 응한 전례가 없어서다.
9일 경찰에 따르면 경찰청은 보안업체가 공개한 신원 정보를 수사 단서 중 하나로 보고 실제 공격자와의 연관성을 확인하고 있다. 경찰 관계자는 “대규모 해킹 사건이 발생하면 전문가나 국내외 사이버 보안업체가 의견을 제시한다”며 “이런 단서를 포함해 수사를 진행하는 것”이라고 설명했다.
◆AI 대화기록에 이름·거주지 등 노출
글로벌 보안기업 크라우드스트라이크는 지난 7일(현지시간) 공개한 보고서에서 국내 금융기관을 공격한 해커가 중국 광둥성에 거주하는 26세 남성일 가능성을 제기했다. 다만 이는 정황에 따른 추정으로, 확정적인 신원 특정은 아니라고 선을 그었다.
크라우드스트라이크에 따르면 이번 단서는 공격자가 생성형 인공지능(AI) 코딩 도구 ‘클로드 코드’ 사용 과정에서 노출됐다. 공격자는 클로드에 자신의 침투테스트 성과를 담은 보안 연구자 이력서 작성을 요청했고, 이 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보가 함께 입력됐다. 공격자는 이 과정에서 클로드에 탈취한 한국 금융 정보를 통상 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지도 질문한 것으로 드러났다.
보고서는 해당 텔레그램 계정이 다른 사이버 공격 정황에서도 동일하게 발견됐다고 전했다. 텔레그램 기반 대체불가토큰(NFT) 선물 마켓플레이스 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 겨냥한 공격 정황에서도 같은 계정명이 쓰인 것으로 파악됐다.
크라우드스트라이크는 이 같은 교차 정황을 근거로 동일 인물일 가능성을 제시하면서도, 현재까지 확보된 정보만으로는 신원을 단정할 수 없다고 덧붙였다.
해킹 공격자로 지목된 인물은 그러나 자신은 이번 사건과는 무관하다는 입장을 밝힌 것으로 알려졌다. 이 남성은 해커가 자신의 휴대전화 번호를 도용해 쓴 것으로 보인다며 금융권 해킹 사건과는 관련이 없다고 주장했다고 한다. 그는 자신을 공격자로 지목할 근거가 휴대전화 번호뿐이라며 반박했고, 각종 연락이 쏟아지자 번호를 바꿀 준비를 하고 있다고 전했다.
◆중국, 범죄인 인도 청구 응한 전례 없어
만약 해당 남성이 실제 공격자로 특정되면 경찰은 중국 공안에 피의자 검거 등 협조를 요청해야 한다.
수사기관은 피의자가 해외에 체류 중일 경우 국제형사경찰기구(ICPO·인터폴) 적색수배, 국제공조 수사를 요청하거나 범죄인 인도를 청구한다.
문제는 중국이 한·중 범죄인 인도 조약이 체결된 후 한국의 범죄인 인도 청구에 응한 사례가 없다는 것이다. 정성호 전 법무부 장관은 지난 1월 국회 법제사법위원회에서 “한·중 범죄인 인도 조약이 체결된 이후 중국이 단 한 건도 저희의 범죄인 인도 청구에 응한 적이 없다”고 밝힌 바 있다.
지난해 발생한 쿠팡의 대규모 개인정보 유출 사건에서도 경찰은 중국 국적 전직 직원을 피의자로 지목해 체포영장을 발부받고 중국에 형사사법 공조를 요청했지만, 현재까지 국내 송환은 이뤄지지 않은 상태다.
지난달 24일 중국 국가주석 시진핑의 이름을 딴 간판을 걸고 장사를 하던 중국집에 래커 테러를 벌인 뒤 도주한 중국인 일당도 마찬가지다. 경찰은 법무부를 통해 중국에서 이 일당에 대한 처벌이 가능할지 협조를 요청할 것이라고 밝혔다.
이번 국내 금융권 연쇄 해킹 사건에서도 공격자가 중국에 거주하는 중국 국적 남성으로 밝혀지더라도, 국내에서 신병을 확보해 조사하거나 재판에 넘기는 데 어려움이 있을 것이란 관측이 나오는 이유다. 이에 대해 경찰 관계자는 “국가마다, 사건마다 국제공조의 형태는 조금씩 다르다”고 밝혔다.