북한 해킹 조직이 기자와 국회의원 등을 사칭해 외교안보 분야 전문가들에게 피싱 메일을 대량 유포한 것으로 드러났다.
경찰청 국가수사본부는 지난 4월 발송된 제20대 대통령직인수위원회 출입기자 사칭 이메일과 태영호 국민의힘 국회의원실 비서 사칭 메일(5월), 국립외교원 사칭 메일(10월) 등을 수사한 결과 2013년부터 파악된 북한 해킹 조직 소행임을 확인했다고 25일 밝혔다.
메일에는 피싱 사이트로 유도하거나 악성프로그램이 깔린 첨부 파일이 포함됐다. 메일을 받은 외교안보·통일·국방 전문가는 892명에 달했다. 피싱 사이트에 접속해 아이디와 비밀번호를 입력한 피해자는 49명인 것으로 나타났다.
북한 해킹 조직은 피해자의 전자우편을 실시간으로 감시하며 첨부 문서와 주소록 등을 빼내 갔다. 이들은 추적을 피하고자 IP주소를 세탁하고 26개국 326대(국내 87대)의 경유지 서버를 동원했다. 경찰에 따르면 해당 조직은 서버 일부에 랜섬웨어를 감염시켜 데이터를 쓸 수 없게 암호화한 뒤 금전을 요구하기도 했다. 피해 규모는 중소 쇼핑몰 등 국내 13개 업체의 서버 19대로 확인됐다. 이들은 서버를 정상화해주는 조건으로 업체 2곳에서 255만원 상당의 비트코인을 받아냈다. 이들은 일명 ‘김수키(Kimsuky)’ 등으로 불리며 2014년 한국수력원자력 해킹 사건과 2016년 국가안보실 사칭 이메일 발송 사건을 주도한 해킹 조직과 같은 조직인 것으로 나타났다.
장강호 기자 callme@hankyung.com