네이버 고객센터 사칭 피싱공격
해킹 당한 메일, 새 공격 '거점'
공격 대비 성공률 실제로 높아
해킹 당한 메일, 새 공격 '거점'
공격 대비 성공률 실제로 높아
북한이 배후에 있는 것으로 보이는 해커 조직 '탈륨(Thallium)'이 전방위적인 사이버 공격을 이어가고 있다. 이들의 공격은 북한 관련 기관 및 대북 종사자들을 대상으로 이뤄지고 있으며 코로나19 확산으로 재택·원격근무가 보편화하는 상황과 맞물려 더욱 각별한 주의가 필요하다는 지적이 나온다.
13일 보안 업계에 따르면 북한이 배후로 의심되는 탈륨 조직이 최근 네이버 고객센터(사진), 삼성 클라우드 서비스 등 국내 대기업을 사칭한 이메일 피싱 공격을 전개하고 있는 것으로 보고되고 있다.
탈륨은 마이크로소프트(MS)가 지난해 12월 버지니아주 연방법원에 고소장을 제출하면서 국제 사회에 알려졌다. 2014년 한국수력원자력 해킹 공격 배후로 유명한 '김수키(Kimsuky)'조직과 관련성이 높은 것으로 추정된다.
탈륨은 지능형지속위협(APT) 공격 활성도가 높은 조직이다. 이들은 지난달부터 현재까지 한 달 동안에만 '국내 유명 포털 계정 오류', '국내 대기업 클라우드 서비스 고객센터', '개성공단 관련 연구 내용 문서', '아태지역 학술 논문 투고 규정' 등을 사칭한 피싱 공격을 감행하며 사이버 공작 활동을 벌였다. 공격 대상은 일반 국민이 아닌 북한 관련 정부 기관의 주요 요직에 근무하는 공무원, 탈북 단체장, 북한 분야를 취재하거나 연구하는 언론사 기자 등이다.
국내 보안 전문업체 이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 탈륨의 공격이 최근 급작스럽게 늘어났다고 보기는 어렵다. 탈륨은 지난해 국제 사회에 알려지기 전부터 국내에서 오랫동안 활동을 해왔다. 다만 코로나19 사태 이후 사회 전반에 언택트(비대면) 문화가 퍼지고 웹 사용량이 늘어나면서 탈륨과 같은 해커 조직이 활동하기 좋은 환경이 형성됐다.
특히 문제는 탈륨의 공격이 단순 해킹 범죄가 아니라 배후에 북한이 연관돼 있고, APT 공격 수법이 점점 고도화되고 있다는 점이다. 문종현 ESRC 센터장(이사)은 디지털타임스와 통화에서 "탈륨뿐만 아니라 중국 등 해외에 있는 해커 조직들은 한국을 공격할 때 국내에 있는 대표적인 서비스로 위장하는 게 효과적이기 때문에 이 같은 수법을 많이 사용한다"며 "모두가 유사한 기법을 쓰다 보니 전문적으로 연구하거나 추적하지 않으면 단순히 일반인들을 노리는 불특정 다수의 해킹처럼 범죄로 치부할 수 있다. 하지만 실상은 북한 차원의 해커 조직이 움직이고 있는 것이고 피해를 입은 사람이 너무 많다는 것"이라고 설명했다. 문 센터장은 이어 "피싱 메일의 경우 실제 포털사 등이 발송하는 화면 디자인을 모방해서 정교하게 만들기 때문에 유심히 살펴보지 않으면 정상 메일로 착각하기 쉽다"며 "굉장히 전형적인 공격 방식이고 내용도 단순해 '누가 당하겠나'라고 생각할 수도 있지만 실제로는 공격 대비 성공률이 높은 편"이라고 강조했다.
한 번 해킹 당한 메일이 새로운 공격의 '거점'이 되는 일도 빈번하게 발생하고 있다. 문 센터장은 "사람들은 본인의 계정이 해킹을 당했는지 전혀 인지·자각하지 못하기 때문에 계속해서 그 계정을 사용하는 경우가 많다"며 "이로 인해 실시간으로 정보가 유출되는 것은 물론, 1차 해킹을 당한 사람이 민감한 정보나 자료를 갖고 있지 않다고 하더라도 그 계정을 도용해서 또 다른 공격의 교두보로 쓰는 일이 일어나고 있다. 한 마디로 연쇄 해킹 사건이 가능한 환경이 만들어지는 것"이라고 꼬집었다.
북한을 비롯한 해외 해커 조직의 국내 APT 공격은 앞으로도 계속해서 확대될 것으로 관측된다. 그러나 국내 보안 불감증은 심각한 수준인 만큼 민관 위협 인텔리전스 차원의 협력 및 투자 등의 체계적인 대책 마련이 필요할 것으로 보인다. 문 센터장은 "코로나19로 언택트 시대가 도래하면서 사이버 공간에서의 활동이 더 많아지고 있다"며 "해킹 공격이 국가 차원의 위협으로 진화하고 있는 가운데 경각심을 갖고 대비하는 구조가 만들어져야 한다"고 말했다.
윤선영기자 sunnyday72@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
