북한발 사이버 공격의 IP를 역추적한 결과, 체신성이나 정창촐국과 같은 북한 내각 소속 국가기관이 사용하는 IP를 확인했다. 국가기관의 행위는 해당 국가의 행위로 볼 수 있기 때문에 북한발 사이버 공격의 행위자는 북한 정부로 추정된다.
우선, 북한발 사이버 공격의 행위자는 구체적으로 특정할 수 없지만 북한 정부로 추정할 수 있다. 예를 들어 6.25 정부 기관 등 해킹 사건에서 공격 IP(Internet Protocol)를 역추적한 결과, 북한 내각에 소속되어 우편과 정보, 통신 업무 등을 총괄하는 정부 부처인 ‘체신성’이 사용하는 IP를 확인했기 때문이다. 발견된 IP만으로는 체신성 직원이 공격 주체라고 단정할 수는 없으며, 오히려 정찰총국 소속 북한 해커들이 해킹을 위해 체신성 IP를 사용했다고 볼 수 있을 것이다. 그런데도, 체신성 및 정찰총국과 같은 국가기관의 행위는 그 국가의 행위로 간주하므로 6.25 정부 기관 등 해킹 사건은 북한의 소행으로 예측된다. 또한, 서버를 다운시키기 위한 시스템 부팅영역(MBR) 파괴, 시스템의 주요 파일 삭제, 악성코드 문자열 등 공격 특징이 이전 북한발 사이버 공격인 3.20 방송, 금융 전산망 해킹 사건과 유사했다는 점은 이러한 추정을 뒷받침해준다.