/사진제공=게티이미지뱅크

# 지난 19일 새벽, 청와대 관련 파일로 위장한 악성 파일이 발견됐다. 이 악성 파일은 타깃이 청와대 보안 이메일 검사로 착각할 수 있도록 꾸몄다. 이 악성 파일을 실행하면 ‘보안메일 현시에 안전합니다’라는 문구가 뜬다. 북한 해커 그룹인 '김수키'(Kimsuky) 그룹의 소행으로 추정된다.

# 보안기업 이스트시큐리티는 지난해 북한 추정 해커조직의 서버를 역추적하던 과정에서 태영호 미래통합당 의원의 스마트폰이 해킹 당한 정황을 포착했다. 당시 북한 해커 조직인 금성121은 특정 개인이나 기업 등을 표적으로 삼아 PC나 스마트폰에 악성 코드를 심는 ‘스피어피싱’ 공격 수법을 시도했던 것으로 분석됐다. 이 조직은 같은 수법으로 국내 정치인, 보좌관, 통일·외교 관련 언론인들의 PC·스마트폰을 대상으로 해킹을 시도한 것으로 밝혀졌다.

최근 북한의 남북공동연락사무소 폭파로 남북관계가 악화되면서 북한 정부가 배후로 추정되는 해커 그룹의 공격이 늘어날 가능성이 있다는 우려가 나온다. 북한 해커들의 활동과 수법 등을 국내 보안전문기업을 통해 알아봤다.
7개 北해커그룹, 금전·정부기관 정보 탈취 목적으로 사이버 공격20일 국내 보안업체 NSHC에 따르면 지난해 '김수키’, ‘금성121’, ‘라자루스’ 등 총 7개 북한 해커 그룹이 한국과 미국에서 정치 및 외교 정보를 수집하거나 외화벌이를 목적으로 하는 해킹 활동을 펼쳤다.

이들은 주로 악성 문서가 첨부된 ‘스피어피싱’ 이메일을 활용하거나 한글 문서 편집기의 취약점을 공격에 활용했다. 스피어피싱은 특정 개인이나 기업 등을 표적 삼아 PC·스마트폰에 악성 코드를 심는 공격 수법이다. 북한은 이 수법으로 태영호 의원이 당시 ‘태구민’이라는 가명을 사용하고 있다는 사실을 알아낸 바 있다. 문종현 시큐리티대응센터(ESRC)센터장은 “지난해 북한 추정 해커조직의 서버를 역추적하던 과정에서 태영호 의원의 스마트폰이 해킹 당한 정황을 포착, 이를 당사자에게 알렸다”고 말했다.

북한 해커그룹은 크게 두 가지 목적으로 나뉘어 활동한다. 7개 하위 그룹 중 일부는 경제 제재에 따른 금전적 목적으로 나머지 그룹은 정부 기관 관련 정보 탈취 목적으로 해킹을 한다.

/사진제공=게티이미지뱅크

한글파일 첨부 등 北해커 수법도 가지가지
기본 수법은 주로 한국에서만 사용하는 한글파일(HWP)을 첨부 파일로 활용한다. 일부 그룹의 경우 매크로 기능이 포함된 마이크로소프트 워드 파일을 이용하거나 안드로이드 스마트폰에서 동작하도록 제작된 모바일 악성코드를 제작해 해킹에 나설 때도 있다.

정부 기관 문서로 위장한 실행파일(EXE)을 공격에 활용하기도 한다. 청와대 보안 검사를 가장한 이메일도 그중 한 사례다. 이들 조직은 타깃의 전화번호, 카카오톡 아이디 등을 알아내 타깃의 스마트폰에 악성코드를 심은 뒤 ‘일거수 일투족’을 다년간 감시하기도 한다.

NSHC 관계자는 “북한의 일부 해커는 고급 정치 관련 정보를 확보할 목적으로만 활동한다”며 “해킹 활동 범위가 국내를 벗어나 북미·유럽 지역 국가까지 확대되는 등 활동범위를 점차 넓혀가는 추세”라고 말했다.