"친구가 보낸 카톡 믿었는데"…클릭하는 순간 '낭패'

북한 연계 해킹조직, 지인 신뢰 악용한 다단계 공격

[한국경제TV 김현경 기자]

북한 연계 해킹 조직으로 알려진 '코니(Konni)'가 이메일과 메신저를 연계한 다단계 사이버 공격을 시도하고 있는 것으로 나타나 사용자들의 주의가 요구된다

16일 사이버 보안 기업 지니언스 시큐리티 센터가 발표한 위협 인텔리전스 분석 보고서에 따르면, 이 조직은 최근 특정 대상을 노린 지능형 지속 위협(APT) 공격을 전개하고 있다.

정상 이메일로 위장해 사용자 PC에 악성코드를 심고, 이를 통해 탈취한 메신저 계정에서 주변 지인에게 악성코드를 재유포하는 '신뢰 기반' 수법이다.

이 공격은 '북한 인권 강사 위촉 안내'로 위장한 스피어피싱 이메일에서 시작된다. 스피어피싱은 특정인을 노려 실제 업무 연락처럼 위장한 이메일이나 메시지를 보내 악성코드를 심는 사이버 공격이다.

공격자는 이메일에 첨부된 압축파일 안에 악성 바로가기(LNK) 파일을 포함시켜 사용자가 실행하도록 유도하고, 사용자가 문서를 열기 위해 해당 LNK 파일을 더블클릭하는 순간 내부에 숨겨진 악성 스크립트가 실행되며 PC가 감염된다.

이번 공격은 감염된 컴퓨터에 설치된 카카오톡 PC 버전을 이용해 추가 확산을 시도한다는 점이 특징이다. 공격자는 피해자 단말기에 장기간 잠복하며 계정 정보를 확보한 뒤 메신저 세션에 접근하고, 피해자의 지인들에게 악성 파일을 다시 보내는 방식으로 공격 범위를 넓힌다.

이는 기존 피해자와의 신뢰 관계를 이용하기 때문에 수신자가 별다른 의심 없이 파일을 열어볼 가능성이 매우 높다.

지니언스는 이를 단순한 정보 탈취를 넘어선 '계정 기반 재확산'의 위험 모델로 평가하며, 신뢰 관계를 악용한 다단계 공격 구조가 형성되고 있다고 분석했다.

지니언스는 갈수록 정교해지는 APT 공격에 대응하기 위해 단순한 침해지표(IoC) 중심의 차단을 넘어 엔드포인트 탐지 및 대응(EDR) 중심의 이상행위 대응 체계 도입이 시급하다고 제언했다.

조직 차원에서 메신저를 통한 파일 송수신 보안 가이드 마련, 비정상적인 대량·반복 전송 패턴 탐지, 중요 단말의 세션 보호 여부 점검 등이 필요하다는 전언이다.

또한, 문서 아이콘으로 위장한 바로가기 파일이나 공문 형식을 가장한 첨부파일에 대해 사용자가 경계심을 가질 수 있도록 교육을 강화해야 한다고 강조했다.

(사진=연합뉴스)

김현경기자 khkkim@wowtv.co.kr