[SOH] 북한 또는 중국의 지원을 받는 것으로 추정되는 해커 조직 ‘김수키(Kimsuky)’가 한국 정부 기관과 국내 통신사를 대상으로 동시다발적인 해킹을 감행한 것으로 알려졌다.
‘이데일리’와 ‘보안뉴스’ 등에 따르면 10일(현지시간) 미국의 보안 연구 및 해킹 기술 전문지 ‘프랙(Phrack)’은 ‘APT Down: The North Korea Files’라는 제목의 보고서를 바탕으로 북한의 국가 배후 해커 조직 김수키가 국내 정부와 통신사 등을 공격했다고 밝혔다.
행안부의 경우 정부 내부 네트워크 시스템인 ‘온나라 시스템’이 공격당했다. 외교부는 이메일 플랫폼이 해킹됐다. 다만 외교부가 탈취 당한 데이터 중 일부는 현재 사용되지 않는 과거의 것으로 알려졌다. 방첩사는 스피어 피싱 공격 로그가 발견됐다. LG유플러스의 경우 원격 제어 서비스 시스템에 사용되는 인증서와 키가 탈취되거나 내부 서버에 접속하는 비밀번호들이 대량 유출됐다.
이 보고서는 미국 비영리 단체 디도시크릿츠(DDoSecrets)가 공개한 것으로 약 8.9GB 분량의 데이터가 담겨있다.
국가정보원 관계자는 “관련 내용을 포착하고 유관기관 공조하에 필요한 조치를 이미 완료했으며, 배후조직 등에 대해 지속적으로 추적하고 있다”고 밝혔다.
■ 외교·행안·방첩·통신사 내부망 및 이메일 대거 해킹
이번에 공개된 자료에는 대한민국 행정안전부와 외교부, 국군방첩사령부, 국내 통신사의 내부 시스템 접속 계정 및 키가 방대한 양으로 저장된 데이터 ‘덤프’가 포함됐다. 이는 국가 핵심 기관과 기업들이 해킹 피해를 입었거나 공격 시도 대상에 오른 정황으로 볼 수 있다.
데이터 덤프는 김수키 소속 해커가 사용한 가상 머신(VM)과 스피어 피싱 공격용으로 사용한 VPS(가상 개인 서버)에서 유출된 것으로, 해커의 공격 전술과 내부 활동을 생생하게 보여준다. 덤프 자료에는 김수키가 제작한 다양한 백도어와 공격 도구의 소스 코드, 그리고 한국 정부 기관에서 탈취한 것으로 보이는 민감한 정보들이 다수 포함돼 있다.
한국 정부의 주요 이메일과 플랫폼 등도 공개됐다. 이 파일의 로그를 보면 올해까지도 이 해커가 정부 사이트를 드나들었던 것으로 볼 수 있다.
이 해커의 파일 덤프에는 한국 외교부의 이메일 플랫폼 소스 코드 복사본도 발견됐다. 단순 이메일 계정이 아닌 시스템 자체 소스코드라는 점에서 해커가 외교부 시스템에 직접적인 접근 권한을 얻었을 가능성도 있다. 일부 현재 사용되지 않는 과거 데이터도 포함된 것으로 알려졌다.
국가 안보와 직결되는 국군방첩사령부도 주요 공격 대상이 됐다. 해커의 로그 파일에는 ‘dcc．mil．kr’을 겨냥한 피싱 공격 기록이 남아 있었으며, 공격에 사용된 이메일 주소 목록도 함께 발견됐다. 이 공격에는 ‘제너레이터(Generator)’라는 자체 제작 피싱 도구가 사용됐는데, 피해자가 로그인 정보를 입력해도 합법적인 사이트의 오류 페이지로 리디렉션해 해킹 사실을 은폐하는 고도화된 속임수를 사용했다. 행안부의 경우 정부 내부 네트워크 시스템인 ‘온나라 시스템’이 공격당한 것으로 알려졌다.
보고서는 해커가 국내 통신사도 타깃으로 삼았다고 밝혔다. LG유플러스(032640)의 경우 해커가 회사에 보안 솔루션을 제공하는 회사를 해킹한 뒤 내부에 침투한 것으로 알려진다고 적시했다. 또한 KT(030200)의 원격 제어 서비스에 대한 인증서와 개인키를 탈취했다고 밝혔다.
■ 中 배후 가능성도
공격자들은 탈취된 정보를 악용해 내부 시스템을 제어하고 기밀 정보 유출이나 조작 등의 공격을 가할 가능성이 있다는 점에서 파장이 클 것으로 보인다. 단기적으로는 추가 공격이 발생하지 않을 수 있지만, 추후 언제 어떻게 악용될지 알 수 없기 때문이다.
보고서 작성자는 공격자를 북한 배후의 ‘김수키’로 추정하고 있지만, 국내 주요 보안 전문가 사이에서는 북한보다는 중국 배후 공격일 가능성이 높다는 견해도 나오고 있다.
한국어를 중국어 간체로 번역하는 구글 번역기를 사용하고, 북한의 통상적인 근무일인 중국의 명절(단오절)에 활동을 멈춘 점 등이 그 이유다.
위협 모니터링 분야 한 전문가는 “해커가 사용하는 언어적 특성, 공격 수법 등을 살펴보면 북한보다는 중국 배후일 가능성이 높아 보인다”고 분석했다.
해커 조직의 정부 공격이 지속되고 있는 만큼 정부 차원의 대비가 시급하지만 민관을 아우르며 신속히 위협에 대응해야 할 국가 ‘사이버 안보 컨트롤타워’는 여전히 비어 있다. 우리 국민의 디지털 안보가 책임자 없이 방치돼 있는 셈이다.
디지털뉴스팀
(ⓒ SOH 희망지성 국제방송 soundofhope.kr)
