서울대병원·언론사 해킹 北 , '이메일 스피어 피싱' 주의보

신뢰할 수 있는 기관 사칭, 악성코드 유포

ⓒ News1 DB

(서울=뉴스1) 김승준 기자 = 북한발 해킹이 속속 드러나며 수사 당국이 주의할 것을 당부하고 있다. 최근에는 이메일을 활용한 '스피어 피싱'이 확산하는 추세다.

11일 경찰청 국가수사본부에 따르면 서울대병원 개인정보 유출 사건은 북한 해킹 조직이 벌인 일로 결론났다. 지난달 18일에도 북한의 해킹 조직이 언론사 8곳을 비롯한 61개 기관의 컴퓨터를 공격했다는 발표가 나왔다.

북한 해킹 조직은 2021년 5월부터 6월까지 국내외 소재 서버 7대를 장악해 서울대학교 서버의 취약점을 노렸다. 그 결과 환자 81만여명, 전·현직 직원 1만7000여명 등 약 83만 명의 개인정보가 유출되거나 유출된 정황이 발견됐다.

지난달 발표된 북한의 해킹은 보안인증프로그램 '이니세이프'의 구버전 취약점을 활용해 '워터링 홀' 기법을 활용했다. 워터링 홀은 사전에 특정 사이트를 감염시킨 후 피해자가 해당 사이트에 접속하면 악성코드를 추가로 설치하는 수법이다. 이 공격 시도는 피해로 이어지기 전에 탐지돼 조치가 이뤄졌다.

북한 해킹 조직은 최근에는 '스피어 피싱'을 이용한 악성코드 유포를 사용하고 있다. 스피어 피싱은 신뢰할 수 있는 사람으로 가장하고 이메일, 메신저 등을 활용해 악성코드 등으로 공격하는 수법이다. 단순 공격이 아니라 시스템 침입의 발단이 되거나 주소록의 다른 사람에게 공격 시도를 하는 수단으로도 활용된다.

국정원은 3월에 "북한 정찰총국과 연계된 킴수키의 최근 공격이 대부분 스피어피싱을 통해 이루어지고 있다"며 "사용자가 악성 이메일 판별 방법을 배우고 의심스러운 이메일 수신시 유의사항을 준수해야 한다"고 당부했다.

위장의 형태는 다양하다. 지난 1년 동안 드러난 사례만해도 정보지, 행사 초대장, 설문 조사, 질문지, 윈도 도움말, 이태원 참사 보고서와 같은 정부 보고서, 국회의원실 사칭 등이 있다. 또 국내 포털 사이트 다음의 영문 'daum'과 유사해 보이는 'daurn'으로 비밀번호 변경 요청을 보내는 사례가 발견되기도 했다.

위장 이메일 공격은 점차 정교화되고 있어 각별한 주의가 필요하다. 이스트 시큐리티의 2022년 주요 사이버 위협 동향에서는 "(북한) 공격자들은 정상 이메일 발송 후 관심을 보이는 대상자를 선별해 악성파일을 개별 첨부하거나 일정 시간 간격을 두고 후속 공격을 진행하는 시간차 공격을 진행했다"며 "다른 경로로 탈취한 내부 문서를 공격에 활용하는 정황도 포착됐다. 초청장이나 설문지 등을 위장해 공격 대상자들의 개인정보를 탈취해 더 정교한 후속 공격을 준비하는 모습도 확인됐다"고 설명했다.

seungjun241@news1.kr