김수키 아닌 中 해커…LG유플 침투, 네카오까지 공격 시도

고려대 정보보호대학원, 해커그룹 해킹 분석 보고회
LG유플러스 내부망 침투 흔적…KT는 인증서 유출 정황
네이버·카카오 사용자 대상 피싱메일 생성
"해커 공격수법 탐지 위해 투자 필요"

[이데일리 김아름 기자] 한국 정부 기관과 주요 기업을 동시에 겨냥한 해킹 배후가 북한 해커 조직 ‘김수키(Kimsuky)’가 아니라 중국 세력일 가능성이 크다는 분석이 제기됐다. 특히 이들이 통신사 내부망까지 침투한 사실이 확인되면서, 고도화된 탐지 기술 확보의 시급성이 강조되고 있다.

김휘강 고려대 정보보호대학원 교수가 22일 고려대학교 안암캠퍼스 정운오 IT교양관에서 열린 ‘김수키 추정 해커그룹 해킹 분석 보고회’에서 발표하고 있다. (사진=김아름 기자)

고려대학교 정보보호대학원은 22일 안암캠퍼스 정운오 IT교양관에서 ‘김수키(Kimsuky)’로 추정되는 해커 그룹의 공격을 분석한 보고회를 열었다. 이번 행사는 앞서 미국의 보안·해킹 전문 권위지 프랙(Phrack)이 ‘APT Down: The North Korea Files’ 보고서를 통해 북한 배후 해커 조직 김수키가 국내 정부기관과 통신사를 공격했다고 발표한 데 따른 정밀 분석 차원에서 마련됐다.

김휘강 고려대 정보보호대학원 교수는 보고회에서 “정부 부처와 통신사 등의 내부망에 침투해 정보가 유출된 흔적이 확인됐다”며 “인가받지 않은 자가 접근할 수 없는 내부 시스템 관련 자료가 다수 빠져나간 것으로 분석된다”고 밝혔다. 유출된 정보는 고객 개인정보가 아니라 기업 기밀에 가까운 성격이라는 설명이다.

(사진=AI생성 이미지)

실제 피해 사례도 제시됐다. 행정안전부는 행정전자서명(GPKI) 인증서 관련 소스코드와 문서가, 외교부는 내부 메일 서버 소스코드가, 통일부와 해양수산부는 온나라 서비스 관련 소스코드와 내부망 사용자 인증 기록이 각각 유출된 것으로 확인됐다.

LG유플러스와 KT 등 주요 통신사, 그리고 한겨레 등 언론사의 내·외부망이 해커의 침투를 받은 정황이 확인됐다.

분석 결과 LG유플러스에서는 내부망 침투 흔적이 식별됐으며, KT의 경우 인증서 유출 정황이 드러났다. 다만 KT는 개발자 관리 부실로 인해 발생했을 가능성도 제기돼 “해킹 피해로 단정하기는 어렵다”는 신중론이 함께 나왔다.

김 교수는 “LG유플러스는 내부망이 뚫린 것으로 보이고 KT는 온도차가 있을 수 있다”며 “장기간 특정 기업을 대상으로 해킹을 진행하면 사실상 막을 수 있는 기업은 거의 없다. 현재는 이런 취약점에 대한 대처가 다 이뤄진 상태”라고 설명했다. 그는 “최초 해킹 수단과 시점은 공개 데이터에 들어 있는 것이 없어 알 수 없다”고 부연했다.

또한 네이버·카카오·연세대학교 이메일 사용자를 겨냥해 피싱 메일을 생성·발송한 공격 로그도 확인됐다. 검찰, 한국지역정보개발원, 링네트, 방첩사령부, 라온·라온시큐어, 디지털트러스트네트워크, 인비즈넷, 옴니원 등 기관·기업의 이메일 계정 226개를 대상으로 한 피싱 메일 생성 기록도 존재했다.

김휘강 교수는 “특정 해커 그룹의 작업자 PC 한 대가 외부에 노출되며 확보된 데이터셋이기 때문에, 아직 공개되지 않은 기관과 기업들도 추가로 공격받았을 가능성이 크다”며 “장기간에 걸쳐 전방위적으로 이뤄진 공격이었다는 점을 알 수 있었다”고 진단했다.

공격 주체와 관련해 그는 “소스코드와 악성코드 분석 과정에서 중국과 연관된 흔적이 발견돼, 이번 공격은 북한 해커 조직 김수키가 아닌 중국계 위협 그룹의 소행일 가능성이 크다”고 설명했다. 이어 “공격자가 한국어 문장을 번역하거나 중국 커뮤니티 사이트를 방문한 기록이 확인돼, 북한이 아닌 중국 해커일 가능성이 높다”면서도 “다만 김수키가 중국과 긴밀히 교류하는 만큼 북한 연계 가능성을 완전히 배제할 수는 없지만, 북한 소행으로 단정짓기에는 증거가 부족하다”고 덧붙였다.

김 교수는 우리나라 보안 수준 전반에 대한 점검 필요성을 강조했다. 그는 “한국 시스템에 대한 이해도가 높은 해커에 의해 장기간 탐지되지 않은 채 침투가 이어진 사실이 드러났다”며 “기업의 민감한 내부 시스템까지 자유롭게 드나든 정황이 확인된 만큼, 기존의 탐지 체계를 고도화해야 한다”고 지적했다. 이어 “해킹 그룹의 진화된 공격 수법을 효과적으로 탐지하기 위해서는 사이버 위협 정보를 신속히 확산·공유하고, 이를 뒷받침할 고도화된 투자도 필요하다”고 강조했다.

김아름 (autumn@edaily.co.kr)