검찰이 지난 12일 발생한 농협 전산망 마비 사고에 대한 수사망을 조금씩 좁혀나가고 있다. 서울중앙지검 첨단범죄수사2부(부장검사 김영대)는 서버 접속 기록이 남아있는 노트북을 분석하고 삭제 명령을 내릴 수 있는 최고 접근 권한을 가진 관계자 등을 불러 조사를 진행하고 있다. 검찰은 17일 농협 IT본부 직원과 농협 서버관리 업체인 한국 IBM 직원 3~4명을 참고인 신분으로 불러 조사한 데 이어 18일에도 관계자 3~4명을 불러 조사할 방침이다. 검찰은 참고인 조사를 서버 접근 방법과 운영 상태 등 전반적인 전산 시스템을 파악 중이다. 검찰은 우선 전산망에 삭제 명령을 내린 한국 IBM 직원 한 모씨의 노트북에 서버 접속 기록이 일부 남아 있는 것을 확인하고 이 기록을 토대로 범인을 찾는 데 총력을 기울이고 있다. 현재까지 분석 결과 이 노트북에서 'rm.dd'라는 서버시스템 삭제 명령어가 직접 입력되지 않은 것으로 확인됐다. 노트북에서 삭제 명령이 직접 입력되지 않은 만큼 검찰은 USB를 이용한 프로그램 다운이나 외부에서의 원격 조정으로 삭제 명령이 실행된 것으로 보고 이 노트북에 남아 있는 접속 기록을 분석 중이다. 농협 전산망 서버는 접속 기록이 모두 지워져 확인이 어렵지만 이 노트북에 접속 기록이 일부 남아 있어 유일한 단서가 되고 있다. 검찰 관계자는 "접속 기록을 분석해 접속 일시, 접속자 계정 등 관련 정보를 확인 중"이라고 밝혔다. 검찰은 노트북 분석 과정에서 접속 기록이 수시로 삭제되고 고의적으로 삭제 명령을 내린 뒤 접근 기록을 지우려 한 정황을 확보한 것으로 알려졌다. 또 시스템 삭제 명령어가 입력된 노트북도 '최고 접근 권한' 계정으로 접속된 것으로 파악했다. 검찰은 '삭제 명령' 내릴 수 있는 최고 접근 권한을 가진 사람이 4~5명에 불과하고 최고 접근 계정 아이디와 비밀번호가 수시로 변경되는 만큼 내부자가 연루됐을 가능성에 무게를 두고 수사를 진행 중이다. 농협 관계자는 농협 IT본부 인력 중에는 서버 삭제 권한을 가진 사람은 아무도 없으며 서버를 공급한 한국IBM에서 최상위 등급을 가진 사람만이 삭제 권한을 가지고 있다고 설명한 바 있다. 하지만 검찰은 이 노트북이 외부 반출이 가능했던 만큼 외부 인터넷망을 통한 해킹일 수 있다는 점도 배제하지 않고 있다. 검찰 관계자는 "내부자 소행과 외부에서의 해킹 등 모든 가능성을 열어 두고 수사하고 있다"고 밝혔다. 검찰은 폐쇄회로(CC)TV와 출입카드 기록을 분석해 사고 당일 부근에 노트북이 발견된 사무실을 출입한 직원을 20명 선으로 압축해 이들의 휴대전화를 수거해 사고가 발생한 지난 12일 전후의 통화내역을 확인했다. 이 중 '최고 접근 권한'을 가진 사람은 한국IBM 직원 2명을 포함해 4~5명 선인 것으로 파악됐다.
누가 최고 접근 권한을 가진 관계자를 불러 조사하고 있어?
서울중앙지검 첨단범죄수사2부(부장검사 김영대)