“해커들도 흔적을 남긴다…AI 이용해 자동 탐지”

루크 맥너마라 맨디언트 수석애널리스트 인터뷰

루크 맥너마라 맨디언트 수석애널리스트

“최근 중국·러시아·이란·북한 등 다양한 국가에서 사이버 공격이 늘고 있습니다. 특히 근래에는 가상화폐 등 신기술을 이용한 공격이 늘고 있어 이에 대한 대응이 필요한 상황입니다.”

루크 맥너마라 맨디언트 수석애널리스트는 최근 서울 강남구 구글코리아 사무실에서 열린 매일경제와의 인터뷰에서 이처럼 강조했다. 맥너마라 애널리스트는 스스로의 역할을 “해커에 대해 이해하는 일”이라고 설명했다. 그는 “해커가 사용하는 테크닉·동기·툴을 찾아내고, 이러한 정보를 사내 주요 보안 담당자와 의사결정자에게 공급함으로써 의사 결정을 돕는 것”이라고 말했다.

그에 따르면 북한의 사이버 공격 활동은 크게 2가지로 나뉜다.

첫째는 금전적 목적의 활동이다. 맥너마라 애널리스트는 “대표적인 사례로는 ‘라자루스’나 ‘APT38’ 같은 그룹이 있다”며 “이들은 북한 정부를 위해 수익 창출을 목적으로 주로 가상화폐를 얻는 활동을 한다”고 설명했다.

둘째는 중요한 정보 수집을 목적으로 하는 활동이다. 대표적으로 ‘APT37’ 같은 조직이 이에 해당한다. 맥너마라 애널리스트는 “이들은 주로 북한 정찰총국에 속해 정치적·군사적 의도를 갖고 핵 관련 정보를 수집하는 등 일종의 스파이 활동을 벌인다”며 “한국에서 탈북자를 돕는 단체를 추적하고 수집하는 조직도 있다”고 말했다.

특히 맥너마라 애널리스트는 최근 해커들이 가상화폐와 같은 최신 기술을 악용하고 있다는 점에 주목했다. 그는 “북한의 해커는 새로운 기술을 빠르게 배우고 빠르게 적응한다는 특징이 있다”며 “최근에는 분산형 금융시스템을 공격하는 등 새로운 시스템을 공략하는 방법을 빨리 배운다”고 설명했다.

또 해커들이 사용하는 방식 중에서는 기술적으로 뛰어나기보다는 사람의 착각이나 실수를 유발하는 사회공학적 방법도 있다. 맥너마라 애널리스트는 “가령 북한은 이메일이나 사회관계망서비스(SNS)를 닮은 가짜 사이트를 만들어 아이디와 비밀번호를 수집하기도 한다”며 “기술적으로 고도화되지는 않았지만 매우 효과적인 방식”이라고 설명했다. 이 과정에서 생성형 인공지능(AI)이 활용되기도 한다. 그는 “AI가 생성한 프로필 사진을 SNS에 올리고 다른 사람들을 사칭하는 경우도 있다”며 “이에 대응하기 위해 AI가 생성한 사진을 판별하는 방법을 개발하기 위해 노력 중”이라고 말했다.

이처럼 점점 고도화되는 사이버 공격에 대응하기 위해 민간 업체들이 보안 분야에 관심을 갖고 적극적으로 투자해야 한다는 것이 그의 주장이다. 맥너마라 애널리스트는 “최근 가상화폐를 다루는 소규모 기업들이 계속해서 생겨나지만 제대로 된 보안 시스템을 갖추지 못해 북한의 매력적인 타깃이 되고 있다”며 “이들도 보안에 많은 투자를 해야 한다고 생각한다”고 말했다.

맨디언트와 같은 사이버 보안 업체가 해커들을 추적하는 활동을 ‘귀속’이라고 부른다. 귀속 활동을 위해서는 해커들이 남기고 간 다양한 흔적을 활용한다. 맥너마라 애널리스트는 “해커가 사용하는 멀웨어·악성코드를 분석해 기존에 북한이 사용됐던 것과 유사한 것으로 판단되면 이 해커가 북한과 관련 있다고 추정하는 방식”이라고 설명했다.

최근 맨디언트는 귀속 활동을 더욱 효율적으로 하기 위해 AI를 활용하고 있다. 맥너마라 애널리스트는 “악성코드의 특성을 뽑아내기 위해 생성형 AI를 활용하고, 구글의 AI 챗봇 서비스인 바드를 이용해서 악성코드가 하는 일을 분석하기도 한다”고 설명했다. 그는 또 “반복적인 일을 자동으로 처리해주는 등 전세계적으로 부족한 보안 인력 상황을 AI가 보완해줄 수 있을 것”이라고 내다봤다.

맥너마라 애널리스트는 미국 부통령실과 보안업체 파이어아이 등에서 일한 보안 전문가다. 그는 “과거 아프가니스탄에서 방첩 활동을 하며 사이버 전쟁에 관심을 갖게 됐다”고 말했다.

맨디언트는 구글 클라우드가 지난해 54억달러(약 7조2500억원)를 투자해 인수한 사이버 보안 업체다. 인수로 인해 달라진 점을 묻자 맥너마라 애널리스트는 “과거에는 활용할 수 없었던 많은 역량과 스킬셋을 사용할 수 있게 됐다”며 “구글과 맨디언트는 서로 보완적인 관계”라고 말했다.