📧연말정산 신고서에 웬 ‘념두’?…한·미연습 노린 사이버 공격 ‘북한 김수키’ 소행

북한이 사이버 공격을 위해 보낸 악성 e메일 일부. ‘염두’를 북한식 어휘인 ‘념두’로 적었다. 경찰청 제공

경찰이 지난 2월 한·미연합연습 전투모의실 파견 직원들을 대상으로 발송된 악성 e메일 사건의 배후에 북한 해킹 조직이 있었다고 경찰이 결론 내렸다.

경찰청 국가수사본부 안보수사국은 지난 한·미연합연습 전투모의실에 파견된 워게임(War Game) 운용업체 직원들을 대상으로 발송된 악성 e메일 사건을 수사한 결과 북한 해킹조직인 일명 ‘김수키(Kimsuky)’의 소행으로 확인됐다고 20일 밝혔다.

경찰에 따르면 북한 해킹조직은 지난해 4월부터 국내 워게임 운용업체 A사를 해킹하기 위해 악성 e메일 공격을 지속했고, 지난 1월쯤에는 A사 소속 직원의 e메일 계정을 탈취하고 컴퓨터에 악성코드를 설치하는 데 성공했다.

이후 원격접속을 통해 A사의 업무 진행 상황과 각종 e메일 송수신 내용을 실시간으로 확인하고, A사 전 직원의 신상정보까지 빼돌렸다.

지난 2월 한미연합연습 전투모의실에 파견된 파견직원들을 대상으로 한 북한 해킹조직의 사이버 공격 사건의 개요도. 경찰청

해킹조직은 이렇게 파악한 신상정보를 바탕으로 한·미연합연습 전투모의실에 파견될 직원 명단을 확보했다. 해당 직원들에게는 지난 2월부터 연말정산 시기에 맞춰 ‘원천징수 영수증’으로 위장된 악성 e메일을 보냈다.

직원들이 미국 국방 전산망에서 악성 첨부 문서를 실행하도록 한 것인데, 보안시스템에 의해 악성코드가 차단되면서 군 관련 정보는 유출되지 않은 것으로 나타났다. 다만 A사 직원 일부가 해당 메일을 외부 계정으로 재전송해 열람하는 과정에서 개인용 컴퓨터가 감염된 사례는 있었다.

경찰청과 미군 수사기관은 이번 공격에 사용된 인터넷 주소(IP)가 2014년 ‘한국수력원자력 해킹 사건’과 일치하는 등 기존 공격과 유사하다는 점을 통해 북한 해킹조직 ‘김수키’의 소행으로 보고 있다. 이 조직이 사이버 공격을 위해 보낸 악성 e메일 본문에는 ‘염두’가 북한식 어휘인 ‘념두’로 쓰이기도 했다.

경찰은 21일부터 31일까지로 예정된 한·미연합연습 ‘을지 자유의 방패(UFS)’를 앞둔 지난달 미 육군 인사처를 사칭한 e메일이 주한미군 한국인 근무자들에게 발송된 사실도 추가로 확인했다. 이에 경기남부경찰청은 미군 수사기관과 공조수사를 계속 진행하고 있다.

경찰청 관계자는 “한·미 간 유기적인 협업과 선제 조치로 주한미군의 자료 유출을 예방한 사례”라며 “국가안보에 위협이 되는 북한의 사이버 공격에 적극적으로 대응해 나가겠다”고 말했다.

이유진 기자 yjleee@kyunghyang.com