이메일에 악성코드 심는 ‘김수키’, 韓 사법부 공격 주범 추정 ‘라자루스’[Who, What, Why]

■ What - 北의 대표 해킹 조직들
라자루스 산하 ‘안다리엘’
금융기관·방위산업체 타깃

‘김수키’ ‘라자루스’ ‘안다리엘’.

더는 일반인들에게도 낯선 이름이 아니다. 북한 정찰총국에 속한 이들 해킹 조직은 국경이 없는 온라인 공간에서 사이버 공격을 통한 외화벌이와 기술 탈취를 벌이고 있다. 다만 스스로 붙인 이름은 아니다. ‘○○파’라 불리는 조직폭력배 이름이 대부분 경찰·검찰에서 수사 편의를 위해 임의로 붙여준 이름인 것처럼, 북한 해킹 조직 이름 역시 해외 보안업체 등에서 해킹 주체를 특정하기 위해 붙인 이름이다. 전문가들은 개별 조직 자체에 집중할 필요는 없다고 설명한다. 어디까지나 이들은 북한 당국의 지시에 따라 움직이는 만큼, 언제든 조직이 개편될 수 있기 때문이다.

◇ 김수키 = 북한 해킹 조직 가운데 가장 유명한 그룹이다. 러시아의 보안 기업 ‘카스퍼스키 랩’에서 2013년 북한 해커의 이메일 계정 ‘Kimsukyang’을 제목으로 보고서를 발표한 뒤 ‘Kimsuky’로 축약한 이름인 김수키로 불리고 있다. 주로 이메일에 악성코드를 심어 기밀을 탈취하는 ‘스피어 피싱’ 방식이나 공격 대상이 자주 방문하는 웹사이트를 미리 감염시킨 뒤 잠복하는 ‘워터링 홀’ 방식을 사용하는 것으로 알려져 있다. 2014년 한국수력원자력 원전 도면 유출 및 가동중지 협박 사건을 일으켰고, 이후에도 국회의원을 사칭해 외교·안보 기관과 전문가 해킹을 시도하는 등 활발한 활동을 벌였다. 최근엔 생성형 인공지능(AI) 챗봇 ‘챗GPT’를 해킹 공격에 사용한 것으로 나타나기도 했다.

◇라자루스 = 지난해 수면 위로 드러난 사법부 전산망 해킹 사건을 일으킨 주범으로 추정되는 조직이다. 사법부 전산망이 외부 공격으로 뚫린 것이 처음이라 큰 충격을 줬다. 라자루스란 이름은 2014년 김정은 북한 국무위원장을 희화화한 영화 ‘더 인터뷰’를 제작한 소니픽쳐스 해킹 사건을 계기로 글로벌 보안기업 연합 ‘노베타’ 보고서에 처음 실렸다. 2016년 방글라데시 중앙은행을 해킹해 8100만 달러를 훔친 배후로 지목됐다. 2017년에는 ‘워너크라이’ 랜섬웨어를 유포해 세계적으로 피해가 확산했다.

◇ 안다리엘 = ‘블루노로프’와 함께 라자루스 산하에 있는 것으로 알려진 조직이다. 국내 금융기관과 방위산업체 등을 주 공격 대상으로 삼고 있다. 2016년 한민구 당시 국방부 장관 집무실 개인 컴퓨터와 국방부 인트라넷을 해킹해 군사작전 정보를 빼내려 했다. 지난해 12월 경찰은 안다리엘이 국내 방산업체 등을 해킹해 주요 기술자료를 빼돌리고, 랜섬웨어 몸값으로 받은 돈 일부를 북한으로 송금한 정황을 포착했다고 밝혔다.

조재연 기자 jaeyeon@munhwa.com