"교수님, 코멘트 좀"…150명 메일함 들여다본 '김수키'의 정체

‘김수키(Kimsuky)’로 알려진 북한 해킹 조직이 지난해 윤석열 정부 출범 전후로 국내 외교·안보 분야 전문가들에게 수천통의 악성 전자우편을 보내 정보 탈취를 시도한 것으로 드러났다.

경찰청 국가수사본부는 지난해 4월부터 8월까지 전·현직 고위공무원과 교수 등 150명을 대상으로 발송된 악성 전자우편을 수사한 결과, 북한 해킹조직이 통일‧안보 전문가를 사칭해 계정 정보를 탈취를 시도한 사실이 확인됐다고 7일 밝혔다.

경찰은 국가정보원과 사이버 위협정보를 공유하는 과정에서 피해를 인지, 5800여개의 전자우편을 분석하고 추적 수사를 벌였다. 수사 결과, 김수키로 알려진 북한의 정보 탈취 전문 조직은 책자나 논문 관련 의견을 요청하는 내용의 전자우편을 보내 자연스러운 접근을 시도했다. 경찰이 공개한 전자우편에는 “제가 현재 연구소에서 작성 중인 글이 있습니다. 교수님께 제 글에 대한 코멘트 요청을 드리고자 연락 드립니다” 등의 내용이 포함돼 있었다.

통일안보 전문가 등을 사칭해 북한 해킹조직이 국내 외교안보 전문가에게 보내진 전자우편. 사진 경찰청

이들은 피해자가 회신을 하면 다시 답장을 보내 대용량 문서 파일을 받도록 요구했다. “해킹이 심한 시대라 보안상 비밀번호를 추가했다”는 설명과 함께였다. 이후 피해자가 반응하면 다시 메일을 보내 “죄송하다. 보안이 강화돼 파일을 열기 위해서 본인 인증을 해주셔야 한다”며 거짓 피싱 사이트 접속을 유도했다.

이들의 요구에 따라 사이트에 접속해 아이디와 비밀번호를 입력한 피해자는 총 9명으로 확인됐다. 전직 장·차관급 3명과 현직 공무원 1명, 학계 전문가 4명, 기자 1명 등이다. 해킹조직은 피해자들의 전자우편함을 실시간으로 확인하며 첨부 문서와 주소록 등을 빼갔다. 북한 해킹조직은 이 과정에서 국내외 138개(국내 36개, 국외 102개)의 서버를 장악하고, 추적을 피하기 위해 아이피(IP) 주소도 세탁한 것으로 확인됐다. 피해자 중엔 경찰의 연락을 받기 전까지 해킹을 전혀 의심하지 못한 이들도 있었다.

통일안보 전문가 등을 사칭해 북한 해킹조직이 국내 외교안보 전문가에게 보내진 전자우편. 사진 경찰청

김수키는 정보 탈취에 집중하는 조직으로 알려져 있었지만, 경찰은 이들이 가상자산 지갑 주소 등을 활용한 것도 확인했다. 금전 탈취도 시도하고 있을 가능성이 있는 것이다.

한편 경찰은 지난해 12월 25일에도 ‘제20대 대통령직 인수위원회’ 출입기자를 사칭한 전자우편(지난해 4월 28일)과 ‘태영호 국회의원실’ 비서를 사칭한 전자우편(지난해 5월7일), ‘국립외교원’을 사칭한 전자우편(지난해 10월26일)에 대해 북한 해킹조직의 소행인 것을 확인한 바 있다. 경찰청은 북한의 해킹 시도가 향후에도 지속적으로 이어질 것으로 보고 있다. 경찰청 관계자는 “국가안보에 위협이 되는 사이버 공격 동향과 대응 사례를 관계기관과 적극적으로 공유하고, 북한 해킹조직의 불법 사이버활동에 대한 선제적인 대응을 강화해나갈 계획”이라고 밝혔다.

장서윤 기자 jang.seoyun@joongang.co.kr