앵커: 한국 경찰청은 지난해 4월부터 7월 사이 한국 안보 관계자들에게 악성 전자우편을 보낸 배후가 북한의 해킹조직이라는 것을 약 1년간의 조사 결과 확인했다고 밝혔습니다. 서울에서 한도형 기자가 보도합니다.
한국 경찰청은 7일 지난 2022년 4월부터 7월까지 안보 분야 주요 관계자에게 발송된 악성 전자우편(E-mail) 사건을 지난해 6월부터 약 1년 동안 수사한 결과 ‘김수키(Kimsuky)’ 등으로 알려진 북한 해킹조직의 소행으로 확인됐다고 밝혔습니다.
경찰청이 이날 발표한 보도자료에 따르면 북한 해킹조직은 통일ㆍ안보 전문가, 기자 등을 사칭하며 작년 4월부터 7월까지 전현직 고위공무원, 교수, 전문가 등 150명에게 실제와 유사한 가짜 웹페이지인 피싱 사이트(Phishing) 접속을 유도하는 악성 전자우편을 보냈습니다.
북한 해킹조직이 보낸 사칭 전자우편에 속아 피싱 사이트에 접속하고 아이디, 비밀번호 등 자신의 계정정보를 입력한 피해자는 전직 장ㆍ차관급 3명, 현직 공무원 1명, 학계ㆍ전문가 4명, 기자 1명 등 총 9명입니다.
북한 해킹조직은 탈취한 피해자들의 계정정보를 이용해 송수신되는 전자우편을 실시간으로 확인했고 주소록, 첨부 문서 등을 빼갔습니다.
경찰청은 이번 수사로 북한 해킹조직의 4단계 공격수법을 파악했다고 밝혔습니다.
경찰청 설명에 따르면 북한 해킹조직은 우선 전문가, 기자 등을 사칭해 의견을 요청하는 메일을 보내며 피해자에게 접근했고, 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 재발송했습니다.
이후 북한 해킹조직은 대용량 파일을 열기 위해 본인 인증이 필요하다며 피싱 사이트 접속을 유도했고 피해자가 요구에 응해 아이디, 비밀번호를 입력하면 북한 해킹조직은 정보를 가로채는 한편 피해자에게 감사하다는 답장을 발송하며 의심을 차단했습니다.
경찰청은 이로 인해 경찰이 연락하기 전까지 자신이 악성 전자우편을 받았다는 사실을 전혀 인지하지 못한 피해자도 있었다고 설명했습니다.
경찰청은 북한 해킹조직이 국내외 해킹을 통해 국외 102개, 국내 36개 총 138개의 서버를 장악하며 공격을 위한 기반을 확보했고 인터넷 프로토콜(IP) 주소를 세탁하는 방식으로 추적을 피해왔다고 밝혔습니다.
경찰청은 또 국가정보원과 5,800여 개 전자우편 분석ㆍ추적 수사를 진행했고 ‘봉사기’(서버), ‘랠 쯤에’(내일 쯤에), ‘적중한 분’(적합한 분) 등 북한식 어휘 사용, 공격에 사용한 인터넷 프로토콜 주소 등이 북한 해킹조직의 소행임을 판단하는 근거가 됐다고 설명했습니다.
박현준 경찰청 국가수사본부 안보수사국 첨단안보수사계장은 이날 자유아시아방송(RFA)과의 통화에서 “분석을 진행한 5,800여 개 전자우편 중 북한식 어휘는 3개가 전부”였다며 “북한 해킹조직이 한국 사람들이 쓰는 구어체를 잘 활용하는 가운데 일부 실수가 나온 것으로 보고 있다”고 말했습니다.
박현준 경찰청 국가수사본부 안보수사국 첨단안보수사계장:구어체라고 하죠. 남한 사람들이 쓰는 표현들을 굉장히 속기 쉽게 잘 썼는데 그 중 나온 진짜 몇 안 되는 실수거든요. 그래서 저희가 확인한 건 그 3개가 전부고요. 어떻게 보면 간신히 찾아낸 거라고 보시면 될 것 같습니다.
경찰청은 ‘김수키’ 해킹조직은 정보 탈취 공격에 집중하는 것으로 알려져 있지만 이번 수사를 통해 공격 서버에서 이들이 사용한 가상자산 지갑 주소를 발견했다며 금전 탈취를 함께 시도하고 있는 것으로 판단한다고 밝혔습니다.
경찰청은 추적 수사를 계속해서 진행하고 있다며 안보 분야 관계자들에게 보안 조치를 강화해달라고 당부했습니다.
박현준 계장은 전자우편을 받았을 시 실제로 그 사람이 보낸 것이 맞는지 전화를 걸어 확인하고, 받은 전자우편에 포함된 링크나 파일이 북한 해킹조직의 함정일 수 있다는 점을 염두하고, 보낸 사람의 전자우편 주소에 이상한 점이 없는지 꼼꼼히 확인해보라고 권고했습니다.
박현준 경찰청 국가수사본부 안보수사국 첨단안보수사계장: (북한 해킹조직은) 온라인이 아닌 오프라인으로는 절대로 응하거나 또 활동하지 않는 것으로 알려져 있거든요. 일단 실제로 보낸 사람이 실제 그 사람이 보낸 게 맞는지 한 번 전화를 해서 확인한다든지 메일 주소가 정확한 것이 맞는지 다시 한 번 확인하고요.
앞서 한국 외교부, 국가정보원, 경찰청 그리고 미국 국무부, 연방수사국(FBI), 국가안보국(NSA)도 지난 2월 한미 정부 합동 보안권고문을 발표하면서 출처가 확인되지 않은 전자우편에 대한 주의를 강화하고 강력한 암호 설정을 통해 계정을 보호할 것을 권고한 바 있습니다.
한편 ‘김수키’는 북한 정찰총국 산하 해커 조직으로 전세계를 대상으로 정보와 기술을 탈취해왔으며 한국에서는 지난 2014년 한국수력원자력 해킹, 지난 2021년 한국항공우주산업 해킹, 서울대병원 개인정보 유출 등의 배후로 지목됐습니다.
한국 정부는 지난 2일 ‘김수키’를 세계 최초로 대북 독자제재 대상으로 지정했습니다.
에디터 양성원, 웹팀 김상일