"중요한 건보 전자문서 도착" 이거 눌렀다가 1500명 털렸다

북한 해킹조직이 정부기관, 기자 등을 사칭해 전자우편을 발송해 개인정보를 탈취하려는 시도가 확인돼 경찰청이 21일 주의를 당부했다. 지난해에도 국회의원실 등을 사칭한 전자우편을 보내 유사 범죄를 저질렀는데, 올해 공격 대상이 확대됐다는 게 경찰 설명이다.

경찰청 국가수사본부에 따르면, 북한 해킹조직은 올해 3월부터 10월 사이 정부기관(경찰청·국민건강보험·국민연금공단·국세청), 기자, 연구소 등을 사칭해 ‘안내문’이나 ‘질의서’ 등 수신자가 관심을 가질 만 한 내용으로 위장한 전자우편을 발송했다. 전자우편에 첨부된 파일을 열람하면 개인용 컴퓨터(PC) 악성 프로그램이 설치돼 정보를 유출하는 방식이다. 또 전자우편에 포함된 인터넷주소(URL)를 눌러 가짜 사이트 접속을 유도해 계정 정보를 탈취하는 ‘피싱(Fishing)’수법도 활용하는 것으로 드러났다.

북한 해킹조직이 국민건강보험을 사칭해 보낸 전자우편. '확인하기' 링크를 누르면 북한 해킹조직이 제작한 가짜 포털사이트로 연결돼 계정 정보를 탈취당할 수 있다. 사진 경찰청 국가수사본부 제공

추가 수사를 통해 확인된 전자우편 탈취 피해자는 총 1468명이다. 이중 외교·통일·국방·안보 분야의 전·현직 공무원 등 전문가는 57명이다. 회사원·자영업자 등 다양한 직군의 일반인 1411명도 피해를 입은 것으로 나타났다.

경찰은 북한이 가상자산을 노리고 범죄를 저지르는 것으로 보고 있다. 사칭 전자우편 피해자 19명의 가상자산 거래소 계정에 접속해 절취를 시도하고, 해킹으로 장악한 경유 서버 147대에서 ‘가상자산 채굴 프로그램’을 관리자 몰래 실행한 사실이 드러났기 때문이다. 지난해에는 금품을 요구하는 악성 프로그램(랜섬웨어)을 유포해 가상자산을 갈취한 적도 있다.

북한 해킹조직의 범행은 이번이 처음이 아니다. 지난해 5월 북한 해커들은 태영호 국민의힘 국회의원실 비서 명의를, 10월에는 국립외교원을 사칭한 전자우편이 뿌려졌다. 제20대 대통령직 인수위원회 출입기자를 사칭한 전자우편이 국방 전문가 등에게 무작위 발송된 사례도 있다. 정부는 올 6월 북한 정찰총국 산하 해킹조직 ‘김수키’(Kimsuky)를 세계 최초로 대북 독자 제재 대상으로 지정하기도 했다.

북한 해킹조직 정부기관 등 사칭 우편 사건 개요도. 사진 경찰청 국가수사본부 제공

경찰은 추가 피해를 방지하기 위해 한국인터넷진흥원과 협력해 해킹조직이 운영하는 피싱 사이트 42개를 차단했다고 밝혔다. 또 국가사이버위기관리단 등 관계기관에 북한 해킹조직의 경유 서버 목록 등 관련 정보를 제공하기로 했다. 경찰은 이용자들의 주의도 당부했다. 전자우편과 가상자산거래소 계정 비밀번호 주기적 변경, 2단계 인증 및 일회용 패스워드(OTP) 설정, 해외 인터넷주소(IP) 접속 차단 등 보안 설정을 강화해야 피해를 예방할 수 있다. 경찰 관계자는 “앞으로도 관계 기관과 긴밀히 협력해 북한의 조직적 사이버 공격을 지속해서 추적해 피해를 방지하겠다”라고 밝혔다.

이영근 기자 lee.youngkeun@joongang.co.kr