전직 장·차관도 털렸다…北해커집단 김수키, 외교·안보 전문가 대거 해킹

/사진=경찰청 제공

북한 정찰총국 산하 해킹조직인 이른바 '김수키'(Kimsuky)가 국내 외교·안보 분야 전문가들에게 '피싱 메일'을 대량 유포한 것으로 나타났다. 실제 일부 계정 정보가 탈취당한 사례가 있었지만 민감한 자료가 유출되지는 않은 것으로 파악됐다.

경찰청 국가수사본부는 7일 북한 해킹조직 김수키가 지난해 4∼7월 국내 외교·안보 분야 전문가 150명에게 피싱 사이트 접속을 유도하는 악성 이메일을 보낸 사실을 확인했다고 밝혔다. 실제 피싱 사이트에 접속해 계정 정보가 유출된 피해자는 총 9명으로 전직 장·차관급 3명과 현직 공무원 1명, 학계·전문가 4명, 기자 1명 등이다.


김수키는 2014년 한국수력원자력 해킹 사건으로 이름이 알려진 북한 해킹조직이다. 지난해 5월 태영호 국민의힘 의원실 비서 명의로 발송된 피싱 메일도 이들의 소행인 것으로 최근 드러났다.

경찰에 따르면 김수키는 전직 공무원 등 피해자들의 메일 송·수신 내역을 4∼9개월간 모니터링하면서 주소록 등을 빼낸 것으로 조사됐다. 특히 남한 내 36개, 국외 102개 등 138개 서버를 해킹으로 장악한 뒤 IP 주소를 세탁해 피싱 메일을 보낸 것으로 파악됐다. 다만 민감한 정보가 탈취된 사례는 없는 것으로 확인됐다고 경찰은 설명했다.

경찰과 국가정보원은 피싱 메일 5800여개를 분석해 공격 근원지 IP 주소와 경유지 구축 방식 등을 확인한 끝에 북한 김수키를 범행 주체로 지목했다. 특히 북한식 어휘·문구가 사용된 점, 공격 대상이 대부분 외교·통일·안보·국방 전문가인 점 등도 김수키를 범행 주체로 지목하는 근거가 됐다.


북한 사이버 공격의 4단계 수법도 새롭게 드러났다. 먼저 교수나 연구원을 사칭, 책자 발간이나 논문 관련 의견을 요청하면서 접근을 시도했다. 기자를 사칭해 인터뷰를 요청하기도 했다.

피해자가 이메일 답장을 하면 다시 답장을 보내면서 대용량 문서파일을 다운로드하게 유도했다. 이후 보안 강화를 이유로 문서파일을 열기 위한 인증이 추가로 필요하다면서 가짜 피싱 사이트로 연결했다. 이때 피해자가 아이디와 비밀번호를 입력하면 계정정보를 탈취했다. 피해자에게 감사 메일까지 발송해 의심을 차단하는 치밀함도 보였다.

경찰 관계자는 "경찰이 연락하기 전까지 대부분은 피해를 당한 사실도 몰랐다"고 밝혔다.

경찰은 또 김수키가 사용한 국내외 서버에서 가상자산(암호화폐) 지갑 주소 2개가 발견됨에 따라 수사를 계속 진행하고 있다.

경찰 관계자는 "가상자산 지갑에서 100만원대 액수가 확인됐다"며 "수사를 더 진행 중"이라고 밝혔다. 이어 "안보 분야 관계자를 대상으로 한 해킹 시도가 계속될 것으로 전망되는 만큼 보안 조치를 강화해야 한다"고 덧붙였다.