라자루스·안다리엘·김수키…정부·보안업체가 추적한 공격 조직들
미국선 '노트북 농장' 활용 적발…MS "북한, AI로 사칭·표적 조사 지원"
ADVERTISEMENT
(서울=연합뉴스) 심재훈 기자 = 가상자산을 훔치고 방산업체의 기술자료를 빼내는 해킹 조직, 신분을 속여 해외 기업에 취업하는 정보기술(IT) 인력. 정부 발표와 보안업체 보고서에 자주 등장하는 북한발 사이버 위협의 모습이다.
최근에는 표적을 조사하거나 가짜 신분을 꾸미는 데 생성형 인공지능(AI)을 활용한다는 분석까지 나왔다.
◇ 라자루스·안다리엘·김수키…이름만으로 조직 구분 어려워
북한 해킹 관련 보도에 자주 등장하는 이름은 라자루스(Lazarus), 안다리엘(Andariel), 김수키(Kimsuky)다.
미국 재무부는 2019년 9월 13일 라자루스와 블루노로프(Bluenoroff), 안다리엘을 제재 대상으로 지정하면서 북한 정찰총국의 통제를 받는 조직이라고 밝혔다.
당시 재무부는 라자루스가 정부와 군, 금융기관, 제조업체 등을 겨냥해 정보 수집과 자료·금전 탈취 활동을 벌였으며, 블루노로프는 해외 금융기관에서 자금을 탈취하는 조직이라고 지목했다.
하지만 이들 이름을 북한 내부의 공식 부대 명칭이나 편제와 그대로 연결하는 것은 주의해야 한다. 미국 등 글로벌 보안업체들이 북한의 공격 활동을 추적 및 분류하며 붙인 명칭도 있기 때문이다.
마이크로소프트(MS)의 공식 명칭표에는 김수키가 '에메랄드 슬리트', 안다리엘이 '오닉스 슬리트', 라자루스가 '다이아몬드 슬리트'의 다른 이름으로 올라 있다.
업체별 명칭을 비교하는 데 참고할 수 있지만 이를 마치 북한 내부 조직도처럼 봐서는 안 된다는 의미다.
국내에서는 이들 조직이 비슷한 시기에 방산기술을 노린 사실이 수사로 드러났다.
경찰청 국가수사본부는 2024년 4월 23일 라자루스와 안다리엘, 김수키의 공격으로 국내 방산업체 10여 곳이 해킹 피해를 봤다고 발표했다.
경찰은 공격에 쓰인 인터넷주소(IP), 악성코드와 공격 수법 등을 근거로 북한 조직의 소행으로 판단했다. 방산업체에 직접 침투한 경우도 있었지만, 협력업체나 유지보수 업체를 먼저 해킹한 뒤 방산업체에 접근하기도 했다.
ADVERTISEMENT
◇ 훔친 가상자산으로 활동 자금 마련…위장 취업엔 '노트북 농장'
북한 해킹 조직이 탈취한 가상자산을 사이버 활동에 필요한 비용으로 썼다는 분석도 있다.
구글 산하 보안기업 맨디언트는 2023년 3월 공개한 보고서에서 북한의 APT43 조직이 가상자산을 훔치고 세탁해 활동에 필요한 인프라 구매 자금을 조달한다고 밝혔다.
맨디언트가 설명한 수법은 훔친 가상자산으로 채굴 연산 능력을 빌리는 서비스를 구매한 뒤 새로 채굴한 가상자산을 지정한 지갑으로 받는 방식이다. 처음 지급한 가상자산과 새로 받은 가상자산 사이에 블록체인상 직접적인 연결이 남지 않는다는 점을 노린 수법이다.
북한 IT 인력의 위장 취업은 다른 사람의 신분이나 허위 신원을 이용해 기업의 원격 일자리를 얻는 수법이다.
미국에서는 현지 조력자가 기업에서 지급한 노트북을 대신 보관하며 해외 인력의 접속을 돕는 이른바 '노트북 농장'이 적발됐다. 미 법무부는 2025년 7월 북한 IT 인력의 위장 취업을 도운 미국인 크리스티나 마리 채프먼에게 징역 102개월이 선고됐다고 밝혔다.
법무부에 따르면 이 사건에서 미국인 68명의 신원이 도용됐다. 채프먼은 북한 IT 인력이 미국 기업 309곳에 취업하도록 도왔으며, 이 사기로 채프먼과 북한을 위해 발생한 불법 수입은 1천700만 달러(약 227억원) 이상으로 파악됐다.
위장 취업의 위험은 신원 사기에 그치지 않는다.
미 연방수사국(FBI)은 지난해 1월 북한 IT 인력이 기업의 민감한 자료를 빼내고 탈취한 자료와 코드를 빌미로 금전을 요구한 사례가 있다고 경고했다.
◇ 표적 조사하고 가짜 이력서 작성…기존 수법에 AI 접목
북한 해킹 조직은 AI를 악용해 표적을 조사하고 신분을 사칭하는 과정에도 쓰는 것으로 추정된다.
MS 위협 인텔리전스는 지난 29일(현지시간) 공개한 보고서에서 북한 연계 조직들이 표적 조사와 사칭용 콘텐츠 제작, 허위 신원 유지, 도구 개발, 반복 작업 등에 AI를 활용한다고 밝혔다.
보고서는 취업·면접을 미끼로 표적에 접근하는 조직과 신분을 속여 실제 일자리를 얻는 조직을 구분했다.
MS는 이들 조직이 맞춤형 유인 메시지와 이력서, 인물 소개, 면접 답변을 만들거나 외국어 표현을 자연스럽게 다듬는 데 AI를 쓴다고 설명했다.
다만 북한 해킹 조직의 AI 활용이 곧 공격의 완전한 자율화까지 도달한 것을 의미하는 것은 아니라는 게 MS의 평가다.
MS는 현재까지 확인한 증거를 토대로 북한 연계 조직들이 주로 기존 수법의 효율과 작업 생산성을 높이는 데 AI를 활용한다고 분석했다. AI를 활용한 작전도 여전히 사람이 지휘하며 완전히 자율화된 단계에는 이르지 않았다고 본 것이다.
이처럼 북한의 해킹이 치밀해짐에 따라 우리나라 기업이나 기관들도 시스템 보안뿐 아니라 채용과 원격 근무 과정까지 철저히 대응할 필요가 커지고 있다.
북한의 해킹을 막으려면 인력을 채용할 때뿐만 아니라 재직 중에도 신원을 확인하고 비정상적인 원격 접속과 자료 반출을 감시할 필요가 있다. 특히 업무자료는 필요한 범위에서만 접근하도록 하고 원격 접속 프로그램을 설치할 수 있는 권한도 제한하는 게 필요해 보인다.
president21@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT