‘비밀번호 변경’ 긴급 메일⋯알고 보니 북한발 해킹시도

국내 포털사 ‘다음’ 위장 피싱메일 주의보

국내 대형 포털사이트 다음(daum)을 위장한 피싱 메일. 이스트시큐리티

북한 해커 조직이 국내 대형 포털사이트 다음을 위장한 피싱 메일로 이용자들의 비밀번호를 탈취하려는 정황이 드러나 각별한 주의가 요구된다.

보안전문기업  ‘이스트시큐리티(EST security)’는 13일 자사 홈페이지에 북한이 다음·카카오를 위장해 사용자들의 비밀번호를 탈취하려는 시도를 하고 있다는 내용의 분석 리포트를 게시했다. 

이 업체에 따르면 피싱 메일은 '[긴급] 지금 바로 비밀번호를 변경해주세요'라는 제목으로 유포됐으며 다음(daum)과 유사한 영문 표기인 'daurn' 도메인을 사용했다. 

업체는 해당 이메일엔 자동으로 사용자의 정보를 공격자에게 전달하는 코드가 포함돼 있어 이메일을 열어보는 것만으로 사용자 정보가 유출될 수 있다고 밝혔다. 

또 메일 본문에 있는 하이퍼링크를 클릭하면 카카오 로그인 페이지를 위장한 피싱 사이트에 접속된다. 이곳에 입력한 비밀번호는 고스란히 해커 조직에게로 전송되는 것으로 알려졌다.

메일 본문에 있는 하이퍼링크를 클릭하면 카카오 로그인 페이지를 위장한 피싱 사이트에 접속된다. 이스트시큐리티

업체는 북한 해커들이 훔친 비밀번호 정보를 이용해 메일 계정에 접속, 피해자가 보낸 것처럼 위장한 메일을 보내 새로운 정보를 탈취하는 식의 2차 공격에 나설 수 있다고 덧붙였다. 

업체는 피싱 메일 배후로 북한 정찰총국 산하 해킹 조직 ‘김수키’를 지목했다.

김수키는 2010년대부터 국방부·통일부 등 정부 부처 및 유관기관을 해킹해 사회기반 시설, 탈북자 등의 관련 자료를 빼낸 북한의 해킹 조직이다. 러시아 정보보안업체가 2013년 해커의 이메일 계정인 ‘김숙향(kimsukyang)’이라는 사실을 파악하고, 러시아식으로 ‘김수키(Kimsuky)’로 부른 내용의 보고서를 발표하면서 알려졌다. 2014년 한국수력원자력 원전 도면 유출, 2015년 국가안보실 사칭 메일 발송 등의 사건 배후로 지목되기도 했다. 

이시내 기자