북한 연계 해커들 AI 기술로 침투…“320개 기업에 위장 취업”

크라우드스트라이크 위협 헌팅 보고서

북한 연계 해커 조직인 '페이머스 천리마'가 생성형 인공지능(AI) 기술을 활용해 지난해 320개 이상의 기업에 침투했다는 분석 결과가 나왔다. 이는 전년 대비 220% 급증한 수준이다. 이들은 허위 신분을 이용해 위장취업한 후 내부자를 위협한다.

글로벌 클라우드 기반 사이버 보안 기업 크라우드스트라이크는 1일 260개 이상의 공격 세력을 추적한 '2025 위협 헌팅 보고서'를 통해 이 같은 분석 결과를 발표했다.

보고서에 따르면 페이머스 천리마는 이력서 작성, 면접, 자료 분석, 메일 작성, 의사소통 등에 생성형 AI를 사용했다. 화상 면접에서 자산들의 정체를 숨기기 위해 딥페이크와 AI 얼굴 교환 앱을 이용했다.

위장 취업에 성공한 뒤에는 영어에 능통하지 않음에도 생성형 AI 코드 에이전트와 번역 도구로 일상 업무를 수행했다.

공격자들은 특히 최근 기업들이 앞다퉈 도입하고 있는 자율형 AI 에이전트를 주요 표적으로 삼았다. AI 에이전트 개발 도구를 빌미로 접근 권한과 자격 증명을 탈취해 악성코드를 배포했다.

러시아와 연계한 공격 세력인 '엠버 베어'도 눈에 띄었다. 이들은 친러시아 성향의 메시지를 확산시켰다. 이란 연계 공격자인 '차밍 키튼'의 경우 대량언어모델(LLM) 기반의 피싱 미끼로 미국과 유럽 조직을 겨냥했다.

사이버 범죄 조직과 해커들이 AI를 악용해 스크립트를 작성한 후 기술 문제를 해결해 악성코드를 개발하는 사례도 늘었다. AI 기반 악성코드의 실질적인 위협을 보여주는 초기 사례로는 '펑크락커'와 '스파크캣'이 있다.

또 '스캐터드 스파이더'는 신속하고 공격적인 수법으로 범행했다. 서비스센터를 사칭해 자격 증명을 재설정하고 다중 인증(MFA)을 우회했다.

서비스형 소프트웨어(SaaS) 및 클라우드 환경 전반으로 횡적 이동도 시도했다. 초기 침투부터 랜섬웨어 배포까지 불과 24시간이 걸리지 않은 사례도 확인됐다.

클라우드 공격도 전년 대비 136% 크게 늘었다. 이 중 40%는 중국과 연계한 공격 세력에 의해 발생했다. 대표적으로 '제네시스 판다'와 '머키 판다'는 클라우드 설정 오류와 신뢰된 접근 권한을 악용해 탐지를 회피했다.

애덤 마이어스 크라우드스트라이크 공격 대응 작전 총괄은 "공격자들은 생성형 AI를 악용해 기업이 도입한 AI 시스템을 주요 표적으로 삼는다"며 "이들은 SaaS 플랫폼과 클라우드 콘솔, 고급 권한 계정을 노리는 동일한 방식으로 AI 에이전트를 공격 대상으로 주로 한다"고 분석했다.

임성원 기자 sone@dt.co.kr

크라우드스트라이크 로고.