또 北 소행? 연말정산 시즌 노렸나...국세청 사칭 해킹 공격

국세청 세무 조사를 가장한 해킹 메일이 오고 있어 주의가 필요하다. (이스트시큐리티 제공)

최근 들어 비트코인 등 가상자산 분야 투자자를 상대로 한 사이버 공격이 기승을 부리고 있는 것으로 나타났다. 특히 이번 공격은 1월 12일 국세청 공식 홈페이지 공지 사항을 통해 알려진 ‘국세청 사칭 세무 조사 출석 요구 안내 통지문 해킹 메일 주의 안내’ 내용을 통해 수행된 해킹 공격의 일환인 것으로 밝혀졌다. 연말정산 기간에 국세청을 사칭, 해킹을 시도한 것이다. 보안 업체 이스트시큐리티는 해당 공격의 배후에 북한 해킹 조직이 있을 것이라고 추정했다.

이스트시큐리티에 따르면 해당 이메일은 마치 국세청에서 발송된 안내문으로 위장했다. ‘[국세청] 세무 조사 출석 요구 안내 통지문’ 제목으로 발송됐다. 발신자는 ‘국세청 ’ 주소로 진짜처럼 보이게 정교하게 조작 후 공격을 수행한 것으로 드러났다.

보통 해킹 메일을 구분하는 방법 중 하나가 발신지의 공식 주소를 확인하는 것이다. 그러나 이번 공격의 경우 공격자가 이메일 발송 서버를 구축하거나 별도의 설정을 통해 실제 주소처럼 보이게 조작한 것으로 보인다. 이처럼 해커가 실제 주소를 도용하는 경우도 있으므로 발신지 주소만으로 100% 신뢰해서는 안 된다.

이번 공격은 실제 국세청 홈택스의 세무 조사 신고 통지문처럼 본문을 교묘하게 조작했다. 또 ‘세무 조사 신고 서류 안내.pdf’ 문서 파일이 첨부된 것처럼 만들었다. 하지만, ‘세무 조사 신고 서류 안내.pdf’ 파일은 실제 메일에 첨부된 상태가 아니다.

해당 파일을 누르면 컴퓨터가 한국의 특정 경제문화교류협회 사이트와 통신한다. 이후 피싱용 계정인 ▶‘navearcorps[.]help’, ▶‘mybox-naves[.]com’ 서버로 연결된다. 컴퓨터가 연결되면 해커 조직은 계정 탈취를 시도했다.

만약 피싱 공격에 속아 수신자가 암호를 입력해 유출되면, 실제 국세청 출석 시 필요한 세무 조사 신고 안내 PDF 문서를 보여주는 등 나름 치밀하게 공격을 진행하기 때문에 피해자는 해킹 공격에 노출된 사실을 인지하는 데 다소 시간이 걸릴 수 있다.

공격에 악용된 ‘navearcorps[.]help’ 서버는 ‘27.102.101.26’ 아이피 주소로 연결돼 있는데, 2022년 4월경 ‘goooglesecurity[.]com’ 주소를 포함해 ‘naaverascorp[.]com’ ‘naversinfo[.]help’ ‘nidnavesecorp[.]help’ ‘ninavaracorp[.]site’ ‘mybox-navers[.]com’ ‘infonavera[.]com’ ‘nidnaavers[.]com’ 주소 사용 이력이 존재한다. 당시 일부 도메인이 북한 연계 해킹 그룹인 ‘탈륨’ 또는 ‘김수키’에서 사용한 것으로 보고된 바 있다. 확인된 피해 대상자가 주로 비트코인 등 가상자산 분야 투자자였다. 외화벌이 목적으로 진행된 북한 배후 사이버 공격으로 추정된다. 북한 해커 조직이 국세청을 사칭해 연초부터 해킹 공격을 시도하고 있는 것이다.

한편, 이스트시큐리티 시큐리티대응센터(이하 ESRC)에 따르면, 해킹 경유지로 사용된 공격자 서버에는 특정인의 주민등록증, 운전면허증, 사업자등록증 등도 함께 발견됐다. 가상자산 투자자 일부가 피싱 공격을 입은 후 이메일에 저장된 개인정보가 추가 유출됐을 가능성이 크다. ESRC는 후속 분석 작업을 진행 중이다.

문종현 이스트시큐리티 ESRC 센터장은 “국세청 문서처럼 위장한 포털 계정 피싱 공격뿐 아니라, 세무 조사 신고 서류 안내와 출석 요구처럼 위장한 악성 파일도 다수 보고된 바 있는데 해당 공격은 일명 ‘코니(Konni)’ 캠페인으로 분류돼 있다”며 “탈륨(김수키) 공격과 코니 캠페인 간의 연관성을 면밀히 조사 중이다”라고 덧붙였다.