사이버테러대응센터장 총경 이 영 상	담당 경정 정 석 화	2011년 12월
일반 02-3150-1605, 경비 1605	일반 02-3150-1459, 경비 1459

선관위 ․ 박원순 홈페이지 DDoS 공격 수사결과

- 국회의원 비서 공모씨 등 총5명 범행가담 -

□ 사건 개요

○ ’11. 10. 25. 23:40경 한나라당 최구식 의원 비서인 피의자 공모씨(27세)는 당시 국회의장 의전비서인 A씨(30세, 당시 국회의장실 비서) 등 5명과 함께 강남구 역삼동 소재 유흥주점에서 술을 마시던 중 고향후배인 강모씨(25세)에게 전화로 중앙선거관리위원회 및 박원순 서울시장 후보 홈페이지에 대한 DDoS 공격을 지시, 강모씨는 다시 함께 일하는 김모씨(26세)에게 지시하여 DDoS 공격을 수행하고 황모씨(25세)와 차모씨(27세)는 DDoS 공격과정을 점검하는 등 ’11. 10. 26 오전 2회에 걸쳐 DDoS 공격을 하여 서비스 접속지연 등의 장애를 일으킨 것이다.

□ 수사 결과

○ 피의자 공모씨는 ’11. 10. 25. 22:00경부터 익일 새벽 05:00경까지 강남구 역삼동 소재 모 유흥주점에서 평소 알고 지내던 A씨(30세, 당시 국회의장실 비서) 및 A씨의 지인 등 총 5명과 함께 술을 마시던 중

○ 유권자들이 투표소를 찾지 못하도록 선관위 홈페이지를 다운시키면 서울시장 보궐선거에서 나경원 후보에게 유리할 것으로 생각하고, 평소 알고 지내던 피의자 강모씨에게 전화를 걸어 선거관리위원회․박원순 후보 홈페이지를 DDoS 공격케 하여 마비시킨 것으로 밝혀졌다.

□ 적용 법조

○ 공직선거법 제244조 제1항 (선거관련시설 등에 대한 은닉ㆍ손괴ㆍ훼손)

: 1년∼10년 징역 또는 500∼3천만원 벌금

○ 공직선거법 제237조 제1항(선거의 자유방해죄)

: 10년이하 징역 또는 500∼3천만원 벌금

○ 정보통신기반보호법 제28조 제1항, 제12조

(주요정보통신기반시설 침해행위 등의 금지) : 10년이하 징역 또는 1억원 이하 벌금

○ 정보통신망이용촉진및정보보호등에관한법률 제48조 제3항

(정보통신망 장애유발) : 5년이하 징역 또는 5천만원 이하

□ 세부 수사결과

【범행 착수 경위】

○ 피의자 강모씨는 ‘ㄱ커뮤니케이션’이라는 홈페이지 제작 업체를 운영하면서 실제로는 신분증 위조, 대포통장․대포폰 제조․판매, 도박사이트 운영 등으로 수익을 올리고 있었던 것으로 판단된다.

○ 또한 경쟁 도박사이트를 공격하기 위해 악성코드에 감염된 좀비 PC 약 200대를 확보하고 있는 등 이미 DDoS 공격을 위한 준비를 갖추고 있었다.

○ 한편 공모씨와 강모씨는 고향 선후배 사이로, 강모씨는 국회의원실에 근무하는 공모씨가 자신에게 온라인 도박사이트 합법화에 힘써주겠다고 하는 등 공모씨가 도움을 줄 수 있을 것으로 생각하고 친분을 유지하고 있었다.

○ 강모씨는 범행일시경에 도박사이트 운영 준비를 위해 회사 직원인  황모씨와 함께 필리핀으로 출국하여 체류(10.21∼27)하고 있던 중, ’11. 10. 25. 23:40경 공모씨와 통화에서 선관위․박원순 홈페이지에 대해 DDoS 공격을 해달라는 부탁을 받자, 한국에 있던 자신의 회사 직원인 김모씨에게 실제 DDoS 공격이 가능한지 테스트할 것을 지시하였으며,

김모씨가 ’11. 10. 26. 01:00경 DDoS 테스트 결과 실제 선관위․박원순 후보 홈페이지가 접속장애를 일으키는 등 DDoS 공격에 성공했다고 보고하자, 다시 피의자 공모씨의 지시를 받고 ’11. 10. 26. 05:50경부터 DDoS 공격을 감행하였다.

【피의자 공모씨 범죄 당일 행적 수사】

○ 피의자 공모씨는 ’10. 9월경부터 한나라당 최구식 의원의 수행비서로 일하던 자이다.

○ 공씨는 ’11. 10. 25 21:26경 고등학교 선배로 평소 친하게 지내던 A씨(30세, 당시 국회의장실 비서)가 함께 술을 마시자고 하여 A씨, B씨(35세, 前 공성진 의원 비서), C씨(37세, 의사), D씨(33세, 변호사), E씨(39세, 사업가) 등 총 5명과 함께 강남구 역삼동 소재 모 유흥주점에서 22:00경부터 익일 05:00시경까지 술자리를 하게 되었다.

※ 공모씨를 제외한 참석자들은 서로 잘 알고 지내는 사이로, E씨 생일축하를 위해 평소 자주 가던 유흥주점에서 사전 약속없이 모인 것임

○ A씨는 평소 친하게 지내던 C씨가 자신이 개원준비중인 병원에 투자자를 소개해줄 것을 부탁하자 공모씨를 통해 피의자 강모씨를 C씨에게 소개시켜 주기 위하여 당시 술자리에 공모씨를 참석시킨 것으로,

- A씨는 진술에서, 공모씨가 술자리중 누군가와 통화하면서 자신에게 잠시 이야기 할 것이 있다고 하며 주점 복도 쇼파로 불러내어 ‘강○○이 중앙선관위 홈페이지를 DDoS 때릴 수 있다고 하는데 때릴까요? 절대 안걸립니다’ 라고 말하는 것을 듣고 자신은 ‘선거에 미치는 영향도 없으니 절대 하지 말아라’ 라고 하였다고 진술하고,

- 이후 공모씨가 다시 전화를 받고 룸에 있는 화장실로 자신을 데리고 가서 ‘중앙선관위 홈페이지를 공격해보니 바로 다운된다고 전화가 왔습니다’ 라고 말하여 자신은 다시 ‘절대 하지 말라’ 고 적극 만류했다는 진술이다.

○ 그 외 당시 술자리 참석자들은 공모씨가 전화를 하기 위해 자주 밖으로 나간 사실이 있으나 공모씨와 처음으로 만나는 자리이고 공모씨가 말을 많이 하지 않아 어떤 통화내용인지는 몰랐다고 진술하고 있다.

【피의자 공모씨 통화내역 및 댓가제공 여부 수사】

○ 공모씨는 범죄시간 전후(23:00～09:00) 피의자 강모씨 외에 A씨(30세,  당시 국회의장실 비서), 차모씨(27세, ㄱ커뮤니케이션 직원), F씨(27세, 고향친구, 부동산 중개보조)와 수 회(각각 6회․4회․1회) 통화한 사실이 확인되어 조사한 결과,

○ 공씨와 A씨는 술자리에서 헤어진 후 아침에 당일 DDoS 공격을 수행한 사실에 대해 이야기 하였다고 하고, 차모씨는 강모씨 회사 직원으로 함께 일하고 있는 자로 피의자 김모씨가 DDoS 공격을 수행하는 동안 같은 장소에서 선관위 홈페이지 접속상태를 점검해 준 것으로 확인되어 긴급체포(12. 9. 02:35)하고, F씨는 공씨가 당시 술자리에 대해 자랑하는 이야기를 한 것으로 본 사건과의 관련성은 확인되지 않았다.

○ 또한 공모씨와 DDoS 공격자들에 대한 계좌․신용카드ㆍE메일 및 압수물 분석 결과, 현재까지는 본건과 관련하여 준비자금 또는 댓가제공을 확인할 만한 증거는 발견치 못하였다.

【범행 동기 관련】

○ 피의자 공모씨는 범행사실을 계속 부인하다가 경찰이 증거자료와 정황을 토대로 한 끈질긴 추궁에 범행 사실을 자백하면서 사건 당일 술이 취한 상태에서 나경원 후보를 당선시키기 위해

- 선관위 홈페이지가 DDoS로 접속이 불가능하면 투표율이 낮아져 나경원 후보에게 유리할 것이라는 판단으로 범행을 저지른 것이라고 자백 진술을 받고

○ 피의자와 가장 친분이 있는 A씨도 공모씨가 이와같은 취지로 범행을 한 것이라고 수회에 걸쳐 진술하였다.

□ 향후 수사계획

○ ’11. 12. 9 피의자들에 대한 구속기간 만료로 피의자 및 사건 관련 기록․증거물 일체를 검찰에 송치하였다.

○ 이번 사건의 경우 좀비 PC․악성코드 분석 및 유포경로 등을 추적, 강모씨 등 DDoS 공격자를 특정․검거한 후에 검거된 피의자들의 진술에 의해 공모씨의 범행가담이 확인되어 공모씨를 긴급체포한 것으로

-  경찰의 구속기간 내에 압수수색영장(계좌조회 등)․통신사실자료 허가서(통화내역 조회 등) 발부 및 수사 절차로 인해 실체적 진실을 밝히는데 충분한 시간적 여유가 없어 범행동기․배후 등을 규명하는데 현실적 한계가 있었다.

○ 따라서 송치이후에도 관련자 수사, 계좌분석 등을 통해 공모씨의 범행 동기와 배후 등에 대해 계속 수사를 진행할 예정이다.

□ 쟁점 사안

【공모씨 배후 관련】

○ 피의자 공모씨는 검거시부터 계속 범행사실을 부인하다가 자백을 통해 자신이 모시는 의원을 위해 우발적으로 범행을 저질렀다고 진술하였다.

구체적 의혹에 대한 수사사항

① 우발적 범행으로 판단하는 근거

- 공모씨와 강모씨는 9. 17일 이후 10. 25일까지 한달이상 여만에 통화했던 점

- 공모씨가 범행시점에 강모씨의 필리핀 체류 사실조차 모르고 있었던 점

- 강모씨는 선관위ㆍ박원순 홈페이지에 대해 선거와 관련된 사이트인지조차 몰랐다고 진술하는 점

- 김모씨가 범행을 실행할 당시 누워서 게임을 하고 있다가 황모씨로부터 갑작스럽게 전화를 받고 디도스 공격을 준비 한 점

- 디도스 공격을 성공하기 위해서는 본공격 상당기간 이전에 시험공격을 수행하여 공격에 필요한 충분한 좀비PC 확보가 필수적임에도 불구하고 시험공격을 선거 당일날 본공격 5시간전에 수행한 점 등

② 디도스 공격에 수억원의 돈이 들어간다는데 대해

- 디도스 공격은 해킹과는 달리 고도의 IT 기술력을 요하는 것은 아닌 점

- 인터넷에서 쉽게 구할 수 있는 중국산 DDos 공격 툴이나 악성코드 제작도구를 통해 단기간에 DDos 공격이 가능(예 : '11. 3월 EBS DDos 사건의 경우 고교생이 DDos공격툴을 이용 손쉽게 범행 성공)한 점

- 피의자들은 경쟁 사이트를 공격하기 위해 이미 좀비PC를 확보하고 있어 공격대상 사이트주소(IP)만 입력하면 바로 공격이 가능했던 점

- 강씨는 공씨가 온라인 도박 합법화에 힘써준다고 하여 상호 원만한 관계를 유지하고 있었던 점 등

③ 고향친구 등 지인에게 진범이 아니라고 주장했다고 하는 것과 관련

- 공모씨는 지인들에게 그런말을 한 사실이 없다고 하면서 추측기사라고 진술한 점

- 공모씨가 누명을 썼다는 이야기를 한다면 가장 친한 사람에게 말했을 것이라는 가정하에 부모, 애인, 친한친구 2명 등에 대해 조사하였으나 그런 사실을 들은적이 없다고 진술

○ 국민적 의혹을 불식시키기 위해 공모씨의 계좌․통화내역 등을  면밀히 분석하였으나 현재까지 배후인물의 존재여부를 입증할 수 있는 자료는 발견하지 못하였다.

【술자리전 식사모임 동석자 관련】

○ ’11. 10. 25. 19:00경 서울 경북궁 주변 식당에서 평소 알고 지내던 AㆍBㆍG(당시 정두언 의원 비서)ㆍH (청와대 행정관)이 식사를 하였으나 진술에 의하면 이번 사건과 관련된 이야기가 오고간 사실은 없으며, 21:00경 식사 후 GㆍH 는 바로 헤어졌으나, AㆍB는 강남 유흥주점으로 택시를 타고 이동하였다고 진술하였다.

【선관위 내부자 관여 및 DB 고의차단 여부】

○ 사건 발생 즉시, 사이버 수사관을 선관위에 급파하고 선관위로부터 사건 당시 로그파일을 제출받아 분석한 바, DDoS 공격외 기타 다른 원인은 발견하지 못하였다.

○ 웹서버와 연결된 DB서버 상태와 로그기록 등을 분석해 본 결과 임의로 연동을 차단한 흔적도 발견하지 못하였다.

【박원순 후보 홈페이지 DDoS 공격과 동일 수법 여부】

○ 피의자들 모두 중앙 선관위․박원순 후보 홈페이지 DDoS 공격사실을 시인하고 있으며

○ 양측 홈페이지 접속기록에서 동일한 좀비PC의 IP주소가 확인된 점, 공격상태를 점검하기 위해 피의자가 접속한 IP주소 및 공격시간이나 공격수법의 동일성 등으로 미루어 피의자 강모씨 등이 양측 사이트 모두 공격한 것으로 확인되었다.

[ 사건 관련자 명단 ]

구 분	나 이	직 업 (범행시점 기준)	역 할	비 고
공모씨	27세	당시 최구식 의원 비서	디도스 공격 최초 지시 강남 술자리 동석	구 속
강모씨	25세	ㄱ커뮤니케이션 대표	디도스 공격 지시
김모씨	26세	ㄱ커뮤니케이션 직원	디도스 공격 수행
황모씨	25세	ㄱ커뮤니케이션 직원	디도스 공격 총관리
차모씨	27세	ㄱ커뮤니케이션 직원	디도스 공격 점검	긴급체포
A씨	30세	당시 국회의장실 비서	종로 식사자리 동석 강남 술자리 동석	참고인
B씨	35세	前 공성진 의원 비서	종로 식사자리 동석 강남 술자리 동석
C씨	37세	의 사	강남 술자리 동석
D씨	33세	변호사	강남 술자리 동석
E씨	39세	사업가	강남 술자리 동석
F씨	27세	부동산 중개보조	공모씨와 범행시 통화
G씨	34세	前 정두언 의원 비서	종로 식사자리 동석
H씨	38세	청와대 행정관	종로 식사자리 동석