피싱메일·공격 자동화…AI로 진화한 '北 김수키'

사이버보안기업 지니언스 분석
국내 핀테크社 투자자료 모방
PDF 문서 열면 악성파일 실행
AI 에이전트로 공격 자동화도

국내 핀테크 업체가 만든 최신 투자 전략 보고서처럼 제목을 붙이고 문장과 표도 그럴듯하게 꾸민다. 이메일 내용도 실제 업무 담당자가 보낸 것처럼 자연스럽다. 하지만 첨부파일을 열면 즉시 컴퓨터에 악성 프로그램이 설치된다.

최근 북한 해킹 조직이 생성형 인공지능(AI)을 이용해 실제 문서와 구분하기 어려운 피싱 메일을 만들어 활용하는 것으로 나타났다. 10일 사이버 보안 기업 지니언스는 북한 정찰정보총국 산하 해킹 조직으로 알려진 김수키(Kimsuky)의 최근 공격을 분석한 결과 생성형 AI로 만든 것으로 추정되는 미끼 문서를 활용한 공격이 지속적으로 발견됐다고 밝혔다.

가장 눈에 띄는 변화는 피싱 공격이다. 김수키는 과거 해킹으로 확보한 정상 문서를 다시 미끼로 활용했지만 올해부터는 생성형 AI로 문서를 제작하고 있다. 최근에는 국내 핀테크 플랫폼이 제공하는 투자 전략 자료의 내용과 형식을 모방한 공격도 확인됐다. 문서의 색상 등을 일정하게 구성하고 이모지를 활용하는 등 온라인 문서에서 볼 수 있는 형식을 적용했다. 지니언스가 분석한 결과, 김수키는 미끼 문서 제작과 공격 기법 고도화 등에 활용하기 위해 AI를 연구한 것으로 나타났다.

특히 AI가 탈취한 자료 중 필요한 정보를 골라내도록 하거나 음성으로 확보한 통화·회의 자료를 글자로 바꿔 분석하는 기술을 연구한 정황이 나타났다.

AI 에이전트 개발 기술을 기존 공격 도구와 결합해 일부 공격 업무를 자동화하려는 움직임도 포착됐다. 향후 공격 대상에서 정보를 수집하고 필요한 자료를 추려내는 작업 등을 AI에 맡기려는 의도로 분석된다. 다만 김수키가 자체 AI 모델을 새로 개발하거나 학습시킨 정황은 발견되지 않았다.

문종현 지니언스 시큐리티 센터장은 "국가 배후 해킹 조직이 AI를 실제 공격 체계에 접목하기 위해 관련 개발 환경까지 구축하며 공격 역량을 고도화하고 있다"고 말했다.

[박성배 기자]