“北 해킹조직, 스파이 활동보다 금전적 이득이 주목적”

ⓒ게티이미지뱅크

“최근 북한 해킹조직이 스파이 활동보다 암호화폐 탈취와 같은 금전적인 이득을 목적으로 하는 공격 활동을 활발히 벌이고 있습니다.”

루크 맥나마라 구글 위협인텔리전스그룹 수석 애널리스트는 19일 오전 서울 강남구 강남파이낸스센터에서 열린 구글 클라우드 시큐리티 데이 미디어 브리핑에서 북한의 사이버 공격 활동에 대해 이같이 말했다.

북한 해킹조직은 미사일 개발 프로그램과 핵 야망, 정권 운영 비용에 대한 자금을 직접 조달하는 동시에 국제 사회의 제재를 회피하기 위해 암호화폐 거래소나 사용자, 대체불가능토큰(NFT) 프로젝트 등을 타깃으로 삼고 있다. 실제 북한 해킹조직 라자루스는 지난달 암호화폐 거래소 바이비트를 해킹해 약 14억6000만달러(약2조1000억원) 규모의 암호화폐를 해킹한 바 있다.

맥나마라 애널리스트는 “북한 해킹조직은 암호화폐 기업과 거래소 입장에서 가장 주목해야 할 공격자”라며 “암호화폐 신기술의 변화와 혁신을 어떻게 악용할지 빠르고 깊게 이해한다”고 말했다.

정보기술(IT) 인력을 활용하는 것도 외화 획득의 주요 수단이다. 북한 IT인력은 원격·재택근무 활성화를 틈타 모든 산업 분야에서 소프트웨어(SW)·IT 엔지니어로 활동하고 있다. 미국을 중심으로 동아시아, 라틴아메리카 등에서 활발한 활동을 보인다. 북한 IT인력이 구직활동을 벌이면서 현지 브로커와 긴밀한 공조가 필요한데, 브로커는 백그라운드 체크, 은행 계좌 개설, 랩톱 수령 등을 돕는다.

맥나마라 애널리스트는 “북한 IT인력은 브로커에게 일종의 수수료를 지급하는데, 브로커는 북한 정권을 위해 일하는지 모르는 채 활동하기도 한다”며 “다른 국가의 그룹과 차이점은 북한 해킹조직은 북한 국적을 숨기고 다양한 산업 분야의 기업에 고용돼, 북한 정권에 수익을 창출하는 데 기여하고 있다는 점”이라고 설명했다.

그러면서 “아직 한국에서 북한 IT인력의 활동이 발견되지 않았다”며 “인력 채용 시 보안 담당자와 인사관리(HR) 담당자가 함께 진행하고, 초기 화상 인터뷰에서 카메라를 켜는 걸 거부하거나 이력서와 다른 주소로 노트북을 보내달라고 한다면 의심해 봐야 한다”고 덧붙였다.

최근 글로벌 사이버 위협 동향도 소개했다. 공격자는 탐지 회피에 집중하며 기존의 보안 탐지 가시성에서 벗어나 다양한 침입 경로를 모색하고 있다. 엣지 디바이스 공격이나 QR코드를 사용한 피싱, 임직원 공격을 통한 내부 접근 권한 획득 등이 대표적이다. 아울러 범죄자, 해킹조직, 국가 배후 해킹조직 간 경계도 점점 모호해지고 있다.

맥나마라 애널리스트는 “한 사이버 범죄 집단이 초기 접근을 획득한 후 다른 범죄집단이나 국가 배후 해킹조직에 넘겨주는 경우도 흔해졌다”며 “국가 배후 해킹조직이 핵티비스트(정치·사회 목적을 위해 활동하는 해커)로 위장하거나 핵티비스트와 긴밀히 공조하기도 한다”고 말했다.

루크 맥나마라 구글 위협인텔리전스그룹 수석 애널리스트.(구글 클라우드 제공)

조재학 기자 2jh@etnews.com