"해커도 흔적을 남긴다 … AI 이용하면 추적 가능"

루크 맥너마라 맨디언트 수석애널리스트
점점 고도화되는 사이버 공격
해커가 쓴 테크닉·툴 찾아내
기업 보안 강화하도록 도와

"최근 중국·러시아·이란·북한 등 다양한 국가에서 사이버 공격이 늘고 있습니다. 특히 근래에는 가상화폐 등 신기술을 이용한 공격이 늘고 있어 대응이 필요합니다."

루크 맥너마라 맨디언트 수석애널리스트가 최근 서울 강남구 구글코리아 사무실에서 열린 매일경제와의 인터뷰에서 이같이 강조했다. 맥너마라 애널리스트는 스스로의 역할을 "해커에 대해 이해하는 일"이라고 설명했다. 그는 "해커가 사용하는 테크닉·동기·툴을 찾아내고 이러한 정보를 사내 주요 보안 담당자와 의사결정자에게 공급함으로써 의사결정을 돕는 것"이라고 말했다.

그에 따르면 북한의 사이버 공격 활동은 크게 두 가지로 나뉜다.

첫째는 금전적 목적의 활동이다. 맥너마라 애널리스트는 "대표적 사례로는 '라자루스'나 'APT38' 같은 그룹이 있다"며 "이들은 북한 정부를 위해 수익 창출을 목적으로 주로 가상화폐를 얻는 일을 한다"고 설명했다.

둘째는 중요한 정보 수집을 목적으로 하는 활동이다. 대표적으로 'APT37' 같은 조직이 이에 해당한다. 맥너마라 애널리스트는 "이들은 주로 북한 정찰총국에 속해 정치적·군사적 의도를 갖고 핵 관련 정보를 수집하는 등 일종의 스파이 활동을 벌인다"며 "한국에서 탈북자를 돕는 단체를 추적하고 수집하는 조직도 있다"고 말했다.

맥너마라 애널리스트는 최근 해커들이 가상화폐와 같은 최신 기술을 악용하고 있다는 점에 주목했다. 그는 "북한 해커는 새로운 기술을 빠르게 배우고 이에 빠르게 적응한다는 특징이 있다"며 "최근에는 분산형 금융시스템을 공격하는 등 새로운 시스템을 공략하는 방법을 빨리 배운다"고 설명했다.

해커들이 사용하는 방식 중에는 기술적으로 뛰어나기보다 사람의 착각이나 실수를 유발하는 사회공학적 방법도 있다. 맥너마라 애널리스트는 "가령 북한은 이메일이나 사회관계망서비스(SNS)를 닮은 가짜 사이트를 만들어 아이디와 비밀번호를 수집한다"며 "기술적으로 고도화되지는 않았지만 매우 효과적인 방식"이라고 설명했다. 이 과정에서 생성형 인공지능(AI)이 활용되기도 한다. 그는 "AI가 생성한 프로필 사진을 SNS에 올리고 다른 사람을 사칭하는 사례도 있다"며 "이에 대응하고자 AI가 생성한 사진을 판별하는 방법을 개발하기 위해 노력하고 있다"고 말했다.

이처럼 점점 고도화되는 사이버 공격에 대응하기 위해 민간 업체가 보안 분야에 관심을 갖고 적극적으로 투자해야 한다는 것이 그의 주장이다. 맥너마라 애널리스트는 "최근 가상화폐를 다루는 소규모 기업이 계속해서 생겨나지만 제대로 된 보안 시스템을 갖추지 못해 북한에 매력적인 타깃이 되고 있다"며 "이들도 보안에 투자를 많이 해야 한다"고 말했다.

맨디언트와 같은 사이버 보안 업체가 해커를 추적하는 활동을 '귀속'이라고 부른다. 귀속 활동을 위해서는 해커가 남기고 간 다양한 흔적을 활용한다. 맥너마라 애널리스트는 "해커가 사용하는 멀웨어·악성코드를 분석해 기존에 북한이 사용했던 것과 유사한 것으로 판단되면 이 해커가 북한과 관련 있다고 추정하는 방식"이라고 설명했다. 맨디언트는 구글 클라우드가 지난해 54억달러(약 7조2500억원)를 투자해 인수한 사이버 보안 업체다.

[김대은 기자]