북 해킹 조직 ‘김수키’ 위장 메일로 일반인 정보까지 탈취 시도 [해킹의 진화, AI가 당신을 노린다]

SPECIAL REPORT

북한의 해킹 수법이 점점 대담해지고 있다. 지난달 국내 통신사 KT를 사칭해 일반인의 개인정보를 빼내는 방식까지 등장했다. 미 자유아시아방송(RFA)에 따르면 지난 6월 통신사 KT를 사칭한 북한의 해킹 시도가 포착됐다. 보도에 따르면 최근 북한의 해킹 조직이 발신한 것으로 추정되는 피싱 메일, 즉 개인의 정보를 탈취하려는 목적의 전자우편이 발견됐다. 해당 전자우편은 ‘KT이용요금명세서/ 회원님께 도착한 전자문서를 확인하세요’라는 제목으로 발신자는 ‘KT이용요금명세서(edoc-file@biglobe.ne.jp)’다. 해당 전자우편 내용에는 KT가 보낸 것처럼 위장한 6월 명세서가 담겨 있었다. 전자우편의 6월 명세서 확인란을 클릭하면 네이버의 계정과 비밀번호를 기입하는 창이 출력되고, 사용자가 로그인하면 해당 정보가 북한 해커에게 유출되는 구조다.

그래픽=남미가 기자 nam.miga@joongang.co.kr

지난달 14일에는 북한 해커가 네이버(naver)가 아닌 ‘네이버포털(naverportal)’이란 가짜 네이버 포털사이트로 사이버 해킹을 시도한 정황이 포착되기도 했다. 국정원에 따르면 북한은 그동안 네이버 로그인 페이지 정도만 복제한 다음 국내 이용자들에게 로그인을 유도해 아이디(ID)와 비밀번호 등 개인정보를 탈취했다. 이번에 만든 피싱 사이트는 실제 네이버 메인화면의 실시간 뉴스와 광고 배너를 완전히 복제했다. 증권, 부동산, 뉴스 등 개개인이 자주 이용하는 세부 메뉴도 동일하다. 국정원 관계자는 “모니터에 뜬 화면 외관만으로는 실제 사이트와 피싱사이트를 구분하기 어렵다”며 “개인정보 탈취 가능성을 높이려 공격 수법을 진화시킨 것”이라고 설명했다. 이 두 경우 모두 북한 해킹 조직으로 알려진 ‘김수키(Kimsuky)’의 소행으로 알려졌다.

전문가들은 이같은 북한의 해킹이 기존 주요 타깃이었던 전·현직 외교안보 분야 관계자에서 대학교수·교사·학생·회사원 등 일반인에게까지 확대되고 있는 것이라고 분석했다. 국정원의 2020년부터 2022년까지 북한의 사이버 공격 및 피해 통계에 따르면 네이버와 카카오(다음) 등 국내 포털사이트를 사칭한 해킹메일 전송이 전체의 74%를 차지했다. 이 외에는 보안프로그램의 약점을 뚫는 ‘취약점 악용’(20%), 특정 사이트 접속 시 악성코드가 설치되는 ‘워터링 홀’(3%) 수법 등이 있었다.

압도적으로 많은 수치가 나온 포털사이트 사칭 수법의 경우 발신자명과 메일 제목을 관리자처럼 교묘하게 바꿔 메일 수신자를 함정에 빠뜨렸다. 메일 발신자명을 ‘네이버’, ‘NAVER고객센터’, ‘DAUM게임담당자’ 등으로 위장했고 발신자 메일 주소도 ‘naver’를 ‘navor’로, ‘daum’을 ‘daurn’으로 표기했다.

최경진 가천대 법학과 교수(인공지능·빅데이터 정책연구센터장)는 “일반 회사원도 북한의 해킹 범죄도구가 될 수 있다는 것을 명심해야 한다”며 “긴습시에 북한이 온라인 공격과 함께 순식간에 사회를 혼란스럽게 할 수 있다”고 말했다. 최 교수는 “꼭 정치적인 용도가 아니더라도 외화벌이 수단으로 일반인들이 충분히 이용될 수 있다”며 “일반인이라고 경각심을 늦춰서는 안된다”고 덧붙였다. 양무진 북한대학원대학교 교수는 “정부는 북한의 해킹으로 인한 일반 시민들의 불안감을 잠재울 수 있는 대책을 마련해야 한다”고 말했다.

원동욱 기자 won.dongwook@joongang.co.kr