“북한 해커집단 별칭은 천리마, 4개 하부조직 운영”

북한의 사이버 해킹이 더욱 조직화, 전문화되고 있는 것으로 나타났다. 각기 다른 별칭을 가진 조직들이 정보 탈취와 금융망 해킹 등 전문 영역에 종사하고 있는 것으로 조사됐다.

미국 보안업체 최근 분석보고서 #소니 해킹조직은 ‘침묵의 천리마’ #금융망 해킹 전담은 ‘빛나는 천리마’

미 보안업체 크라우드스트라이크는 최근 보고서에서 북한 해커 집단으로 통칭되던 래저러스(Lazarus)가 사실상 4개 하부 조직으로 이뤄져 있다고 밝혔다. 그런데 이 4개 하부 조직에 ‘천리마’란 이름이 붙어 있다고 업체 측은 전했다.

앞서 보안업체들은 북한이 배후인 해커 조직에 APT 37이란 명칭을 붙였다.

지능형 지속 위협(Advanced Persistent Threat·APT) 해킹 기법을 쓰는 37번째 조직이란 뜻이다. 그런데 이번 분석 결과 이 APT 37이 래저러스의 하부조직 중 하나인 ‘미로 천리마(Labyrinth Chollima)’로 파악됐다.

미로 천리마는 북한이 서방 세계와 한국을 상대로 벌이는 사이버 첩보의 핵심 조직이다. 정부기관과 군은 물론 금융·에너지·전기 등 국가 기간망에 접근해 기밀 자료를 빼내 간다. 지난 2014년 한국수력원자력의 원전 도면을 해킹해 공개한 집단 역시 APT 기법을 사용했다. 일각에선 미로 천리마가 주로 대남 작전에 투입됐다는 점에서 한수원 해킹사건에도 연루됐을 가능성이 있다고 판단한다.

영화사 소니픽처스를 해킹했던 북한 해커 집단의 별칭은 ‘침묵의(Silent) 천리마’다. 당시 소니픽처스는 ‘김정은 암살’을 소재로 한 코미디 영화 <인터뷰>를 제작해 북한의 표적이 됐다.

침묵의 천리마는 언론사와 금융기업, 정부기관 등을 해킹해 시스템을 마비시키고 혼란을 야기하는 것이 주목표다.

최근 들어 활동량이 폭증하고 있는 조직은 ‘빛나는(Stardust) 천리마’로 전해졌다.

이 조직은 금융망 해킹을 전담한다. 외화벌이에 천착하고 있단 뜻이다.

세계 주요 은행 간 거래 시스템인 국제은행간통신협회(SWIFT) 전산망은 물론 미국 은행에 대한 해킹 시도를 계속하고 있다. 2016년 뉴욕 연방준비은행의 방글라데시 중앙은행 계좌에서 8100만 달러(약 871억 원)를 빼나간 해킹사건의 배후로도 북한이 지목된다. 최근 국내외 암호화폐 거래소 해킹사건도 북한과 무관치 않다.

이외에 ‘물수제비(Ricochet) 천리마’란 하부조직이 정보 탈취에 특화해 활동 중이라고 크라우드스트라이크는 밝혔다. 이 조직은 짧은 시간 내 자료를 빼내 가기 위해 일격필살을 하는 것으로 전해졌다.

김상진 기자 kine3@joongang.co.kr