한국과 미국, 일본, 호주 4개국이 조율을 거쳐 북한의 최근 정찰위성 발사 관련자들을 각각 제재한다고 미국 정부가 30일(현지시간) 발표했다. 토니 블링컨 미 국무장관은 이날 성명을 통해 한미일과 호주 등 4개국이 지난달 21일 북한의 군사 정찰위성 발사에 대한 대응 차원에서 각각 북한 관련자 등을 제재 대상으로 지정한다고 밝혔다. 블링컨 장관은 한미일과 호주 등 네 나라가 처음으로 조율된 대북 제재 조치를 발표하는 것이라고 설명했다. 이와 관련해 미국 재무부 해외자산통제국(OFAC)은 북한의 대량살상무기 프로그램을 지원하는 수익 창출과 미사일 기술 조달에 관여한 최성철, 최은혁, 임성순 등 북한 인사 8명을 제재했다. OFAC는 또 북한 정찰총국 제3국(기술정찰국) 산하 해커 조직 ‘김수키’도 제재 대상에 포함했다. 미국 국무부는 이날 공개한 2022년도 국가별 테러 보고서에서 북한이 계속 국제 테러 행위를 지원하고 있다고 판단했다. 국무부는 지난 2017년 11월 20일 북한을 테러 지원국으로 재지정한 뒤 지금까지 7년째 이를 유지하고 있다. 앞서 북한은 1987년 대한항공 여객기 폭파 사건으로 지난 1988년 처음으로 미국 정부로부터 테러지원국으로 지정됐다가 2008년 명단에서 빠졌다. 국무부는 지난 2017년 북한이 테러지원국 지정 해제 이후 9년간 반복해서 국제 테러 행위를 지원했으며 국제 테러 행위에 대한 역사적 지원 문제를 해결하기 위한 조치를 하는 데 실패했다고 판단해 다시 테러지원국 명단에 올렸다. 그러면서 국무부는 북한이 1970년 일본 항공기 납치에 가담해 일본 정부가 수배 중인 적군파 4명을 계속 북한에 보호하고 있다는 점을 사례로 들었다. 또 일본 정부가 1970∼80년대에 납북된 일본인 다수의 생사를 파악하려고 계속 노력하고 있지만 이 가운데 5명만 일본에 송환됐다고 밝혔다. 테러 지원국 지정은 해당 국가가 지난 6개월간 국제 테러를 지원하지 않았고, 앞으로도 지원하지 않겠다고 약속하는 등 일정 조건을 충족해야 해제된다. 국무부는 매년 국가별 테러보고서를 작성해 의회에 제출하는데 북한에 대한 서술은 지난 4년 동안 달라지지 않았다.

미국 재무부가 30일(현지시간) 북한 해킹조직 ‘김수키(Kimsuky)’와 최성철, 최은혁 등 개인 8명을 제재 대상 리스트(SDN)에 추가했다. 김수키는 피싱 이메일이나 인터넷주소(URL)를 보내 정부 기관인 것처럼 피해자를 속인 뒤 이들이 이메일 등에 첨부된 파일을 열람하면 PC 내부의 정보를 유출할 수 있는 악성 프로그램을 심는 것으로 알려졌다. 앞서 경찰청 국가수사본부는 지난달 21일 김수키의 활동 내용을 추적·수사한 결과 내국인 1468명의 이메일 계정이 탈취된 사실을 확인했다고 밝혔다. 피해자는 전직 전직 장관급 1명을 비롯해 외교·통일·국방·안보 분야의 전·현직 공무원 등 전문가 57명이 포함됐다. 또 회사원·자영업자·무직자 등 다양한 직군의 일반인 1411명도 피해를 봤다.

이른바 ‘김수키’로 불리는 북한 해킹조직이 외교·국방 분야 전문가뿐만 아니라 직장인이나 자영업자에게도 사칭 이메일을 보내 1000여명이 피해를 당한 것으로 확인됐다. 이들은 국민건강보험이나 국민연금공단 통지서, 국세청 국세 납부 안내서로 위장해 피싱 사이트로 유도한 뒤 가상자산(암호화폐) 계정까지 노린 것으로 드러났다. 경찰청 국가수사본부는 지난해 북한 해킹조직의 소행으로 파악된 ‘국회의원실·기자실 사칭 전자우편(이메일) 발송사건’을 추적·수사한 결과 올해는 일반인을 포함한 1468명이 이메일 계정을 탈취당했다고 21일 밝혔다. 이들은 전직 장관 1명을 포함해 외교·통일·국방·안보 분야의 전·현직 공무원 등 전문가 57명으로부터 업무 관련 정보를 빼내려 한 것으로 파악됐다. 회사원 587명 등 일반인 피해자 1411명을 상대로는 가상자산을 노리고 사칭 이메일을 보낸 것으로 조사됐다. 북한 해킹조직은 이렇게 탈취한 정보를 바탕으로 피해자 19명의 가상자산 거래소 계정에 접속했으나 추가 보안 절차를 넘지는 못했다. 경찰 관계자는 “금전적 피해는 발생하지 않았다”고 말했다. 또 IP(인터넷주소)를 숨기기 위해 해킹한 경유지 서버 147대에서 ‘가상자산 채굴 프로그램’을 몰래 가동하기도 했다. 북한 해킹조직은 경찰청, 국세청, 건강보험 등 정부 기관이나 기자, 연구소를 사칭해 안내문이나 질의서를 이메일로 보냈다. 이메일에 첨부된 파일을 열람하면 문서 파일이 열리면서 개인용컴퓨터 내부 정보를 유출할 수 있는 악성 프로그램이 설치·실행되는 방식이다. 대형 포털사이트를 모방한 가짜 홈페이지 등으로 접속을 유도해 정보를 탈취한 경우도 있었다. 경찰 관계자는 “추가 피해가 발생하지 않도록 사이트 주소가 정상적인 주소인지 확인하고, 2단계 인증이나 일회용 패스워드(OTP) 설정 등 보안 설정을 강화해달라”고 말했다.

중앙선거관리위원회(선관위)의 투·개표 관리 시스템이 북한 등 외부 해킹 세력에게 언제든 침투당할 수 있는 부실한 상태로 드러났다. 대통령, 국회의원 총선거 등 전국 단위 선거에 사용되는 선관위 내부망의 보안관리도 부실해 공격 세력이 의도하면 실제 투·개표 결과까지 조작할 수 있는 것으로 나타났다. 10일 국가정보원과 선관위와 한국인터넷진흥원(KISA)은 판교 사이버안보협력센터에서 브리핑을 열고 선관위·국정원·KISA 3개 기관 합동으로 7월 17일~9월 22일 실시한 선관위 사이버 보안관리에 대한 점검 결과를 공개했다. 합동 점검은 가상의 해커가 모든 기술을 동원해 실제 선관위 전산망 침투를 시도하는 방식으로 진행됐다. 먼저 유권자 등록 현황과 투표 여부를 관리하는 선관위의 ‘통합 선거인 명부 시스템’은 인터넷을 쉽게 통해 침투할 수 있고, 접속 권한과 계정 관리도 부실해 수시로 해킹이 가능한 것으로 확인됐다. 선거인명부에서 사전 투표한 인원을 투표하지 않은 인원으로 표시하거나, 반대로 분류하는 것도 가능했다. 심지어 존재하지 않는 유령 유권자를 정상적인 유권자로 등록할 수도 있었다. 가상 해커들은 사전 투표용지에 날인되는 선관위 청인과 투표소 사인을 빼내는 데 성공했고, 용역업체 직원이 쓰는 프로그램을 활용해 실제 사전투표용지와 QR코드가 같은 투표지를 대량 인쇄할 수 있었다. 개표 시스템 보완 관리 미흡해 개표 결과도 조작 가능 사전투표소에 설치된 통신장비에 외부의 비인가 컴퓨터도 연결할 수 있어 내부 선거망으로 침투할 수 있었다. 투표지 분류기에서는 비인가 휴대용 저장장치를 무단으로 연결해 해킹 프로그램을 설치할 수 있었다. 이를 통해 개표 결과가 저장되는 ‘개표 시스템’에 해커가 개입해 실제 후보별 개표 결괏값도 변경할 수 있는 것으로 나타났다. 선관위의 전반적인 시스템 자체도 해킹에 취약한 것으로 파악됐다. 주요 시스템에 접속할 때 선관위에서 사용하는 비밀번호는 12345처럼 단순하게 쓰거나 관리자 패스워드로 손쉽게 유추할 수 있었다는 게 국정원 설명이다. 중요 정보를 처리하는 내부 전산망의 보안 정책이 미흡해 전산망 간 통신이 가능했고 선관위 업무망·선거망 등 내부 중요망까지 침입할 수 있었다. 실제 해킹 사고가 발생한 이후 선관위의 후속 조치도 미흡한 것으로 나타났다. 국정원에 따르면 2021년 4월 선관위의 인터넷 컴퓨터가 북한 ‘김수키’ 조직의 악성코드에 감염돼 메일함에 저장됐던 대외비 문건 등 업무 자료가 유출된 사실도 드러났다. 선관위는 지난해 ‘주요 정보통신 기반 시설 보호 대책 이행 여부 점검’을 자체 평가한 결과 ‘100점 만점’이었다고 통보했지만, 이번 점검에서 재평가했더니 31.5점에 불과했다고 국정원은 전했다. 국정원은 “국제 해킹조직들이 통상적으로 사용하는 해킹 수법을 통해 선관위 시스템에 침투할 수 있어 북한 등 외부 세력이 의도할 경우 어느 때라도 공격이 가능한 상황”이라면서 “선관위에 선거 시스템 보안 관리를 국가 사이버 위협 대응체계와 연동시켜 해킹 대응 역량을 강화하는 방안을 제의하고, 취약한 비밀번호는 즉시 보완했다”고 밝혔다.

북한 해킹조직인 ‘김수키’(Kimsuky)가 한미연합연습을 노리고 사이버 공격을 시도한 정황이 확인됐다. 경기남부경찰청 안보수사과는 한미연합연습인 ‘프리덤 실드(자유의 방패·FS)’ 전투모의실에 파견된 국내 워게임(War Game) 운용업체 A사 직원들을 대상으로 지난 2월부터 3월까지 수차례 발송된 악성 전자우편 사건을 수사한 결과 김수키의 소행으로 확인됐다고 20일 밝혔다. 김수키는 지난해 4월부터 A사를 해킹하기 위해 악성코드가 담긴 전자우편 공격을 지속한 끝에 지난 1월 A사 소속 행정 직원의 전자우편 계정을 탈취하고,컴퓨터에 악성코드를 심는 데에 성공했다. 김수키는 이후 원격 접속을 통해 A사 직원들의 신상정보를 가로챈 것으로 드러났다. 김수키는 탈취한 자료를 바탕으로 지난 2월 연말정산 시기에 맞춰 원천징수 영수증으로 위장한 전자우편을 프리덤 실드 전투모의실에 파견된 A사 직원들에게 보냈다. 이를 받은 A사 직원들은 전자우편에 첨부돼 있던 파일을 실행하려 했으나, 전투모의실이 위치한 주한미군 부대에서는 미 국방 전산망의 통제를 받기 때문에 보안시스템에 의해 해당 파일이 열리지 않았다고 한다. 수사 결과 군 관련 정보가 김수키 측에 흘러 들어간 정황은 나타나지 않았다. 다만 일부 직원이 해당 전자우편을 외부의 개인 전자우편 계정으로 재전송해 열람했고, 이 과정에서 개인용 컴퓨터가 악성코드에 감염된 사례가 있었다고 경찰은 설명했다. 경찰은 지난 3월 미군 수사기관과 정보 공유를 통해 피해를 확인한 후 수사에 착수, 해킹공격에 사용된 아이피(IP)가 2014년 김수키가 벌인 ‘한국수력원자력 해킹 사건’에서 사용된 IP 대역과 일치하는 사실을 파악했다. 아울러 기존 공격과 유사성, ‘념두’ 등 북한식 어휘 사용, 한미연합연습 시기(3월 13~23일) 등 전반을 고려할 때 이번 사건 역시 김수키의 소행인 것으로 판단했다. 경기남부경찰청 이상현 안보수사과장은 “한미 간 유기적인 협업과 선제 조치로 주한미군의 자료유출을 예방한 사례이다”라며, “앞으로도 국가안보에 위협이 되는 북한의 사이버 공격에 적극적으로 대응해나갈 계획이다”라고 밝혔다.

최근 한미연합연습 전투모의실에 파견된 직원들이 입은 해킹 피해가 북한 해킹조직 ‘김수키(Kimsuky)’ 소행인 것으로 파악됐다. 경기남부경찰청 안보수사과는 올해 2월부터 한미연합연습 전투모의실에 파견된 국내 워게임(War Game) 운용업체 직원들을 대상으로 발송된 악성 전자우편 사건을 수사한 결과 북 해킹조직이 범행한 것으로 확인됐다고 20일 밝혔다. 경찰에 따르면 경유지 구축 방법 등 기존 공격과 유사성, 전자우편상 북한식 어휘 ‘념두(염두)’ 등 사용, 한미연합연습 시기에 맞춰 공격한 점 등을 종합적으로 고려해 북한 해킹조직 소행이라고 판단한 것이다. 특히 이번 공격에 사용된 아이피(IP)주소는 2014년 발생한 ‘한국수력원자력 해킹 사건’ 당시 쓰인 아이피와 일치했다.김수키는 작년 4월부터 국내 워게임 운용업체를 해킹하기 위해 악성 전자우편 공격을 지속했다. 올해 1월경에는 해당 업체 소속 행정직원의 전자우편 계정을 탈취하고 업체 컴퓨터에 악성코드를 설치하는 데 성공한 것으로 조사됐다. 이후 원격접속을 통해 피해업체의 업무 진행 상황과 전자우편 송수신 내용을 실시간으로 확인하고, 업체 전 직원의 신상정보를 탈취한 것으로 확인됐다. 김수키의 범행은 여기서 멈추지 않았다. 탈취한 자료를 활용해 올해 2월부터 연말정산 시기에 맞춰 ‘원천징수영수증’으로 위장된 악성 전자우편을 한미연합연습 전투모의실에 파견된 피해업체 직원들을 대상으로 발송했다. 일부 직원이 해당 전자우편을 외부 계정으로 재전송하는 과정에서 개인용 컴퓨터가 악성코드에 감염되기도 했다. 이상현 경기남부경찰청 안보수사과장은 “한미 간 유기적인 협업과 선제 조치로 주한미군의 자료유출을 예방한 사례다”며 “앞으로도 국가안보에 위협이 되는 북한의 사이버 공격에 적극적으로 대응해나갈 계획”이라고 전했다.

정부가 북한의 불법 금융 활동을 지원한 한국계 러시아인 최천곤을 대북 독자 제재 대상으로 지정했다. 정부가 한국계 개인을 제재 리스트에 올린 것은 처음이다. 28일 외교부에 따르면 최천곤은 원래 한국인이었으나 러시아 국적을 취득한 이후 유엔안전보장이사회(안보리) 대북 제재를 위반하며 북한 정권을 위해 활동해왔다. 대북 제재를 회피하기 위해 몽골에 ‘한내울란’이라는 이름의 위장 회사를 세우고 북한의 불법 금융 활동을 지원했고, 북한 조선무역은행 블라디보스토크 대표인 서명과 공동 투자 형식으로 러시아 무역회사 ‘앱실론’을 설립했다. 안보리 결의는 북한 단체 및 개인과의 합작 사업을 금지하고 있어, 서명과 회사를 설립한 것 자체가 제재 위반에 해당한다. 서명이 소속된 조선무역은행은 2017년 안보리 대북 제재 대상으로 지정됐다. 정부는 북한인 서명과 한내울린, 앱실론 등 단체 2곳도 전 세계에서 처음으로 독자 제재 대상으로 지정했다. 외교부는 “최천곤은 지금도 불법 활동을 지속하고 있다”며 “이번 조치를 통해 국내 금융망 접근 차단에 따른 대북제재 위반 활동 제약이란 실질적 효과를 기대한다”고 밝혔다. 정부의 대북 독자 제재는 지난 2일 북한 정찰총국 산하 해커조직 ‘김수키’에 대해 단행한 이후 26일 만이다. 윤석열 정부는 지난해 5월 출범 후 이번을 포함해 총 9차례에 걸쳐 개인 45명, 기관 47곳을 대북 독자 제재 대상으로 지정했다. 제재 대상으로 지정된 개인·기관과 외환거래 또는 금융거래하기 위해서는 각각 한국은행 총재 또는 금융위원회의 사전 허가가 필요하다. 허가 없이 거래하는 경우 관련법에 따라 처벌받을 수 있다.

북한이 포털사이트 네이버를 정교하게 복제한 피싱사이트를 개설해 국민을 대상으로 해킹을 시도한 정황을 포착했다고 국가정보원이 14일 밝혔다. 국정원에 따르면 북한은 도메인 주소 ‘www.naverportal.com’에서 네이버 메인화면에 있는 실시간 뉴스·광고 배너와 메뉴 탭을 그대로 따라 한 사이트를 제작해 개인정보 탈취를 시도했다. 증권이나 부동산, 뉴스 등 자주 이용하는 세부 메뉴까지 동일하게 복제했다. 국정원은 “화면에 있는 외관만으로는 실제 사이트와 피싱사이트를 구분하기 어렵다”며 “단순히 네이버 로그인 페이지만 복제해 아이디(ID)와 비밀번호를 탈취하던 기존 방식에서 더 나아가 개인정보 탈취 가능성을 높이려 공격 수법을 진화시킨 것”이라고 밝혔다. 국정원은 이 피싱사이트 관련 정보를 국가·공공기관, 한국인터넷진흥원(KISA) 등에 공유했으며 현재 피싱사이트에 대한 접속 차단 조치를 취했다. 국정원은 “서버가 해외에 있어 해외기관과 정보 공유로 해킹조직 활동을 추적하고 있다”며 “피해 차단을 위해 다각적으로 대응할 계획”이라고 말했다. 국정원은 특히 “포털사이트를 이용할 땐 주소를 직접 입력해 접속하거나 즐겨찾기 기능을 사용하는 것이 안전하다”며 이용자들의 주의를 당부했다. 한편 방미 중인 김건 외교부 한반도평화교섭본부장은 13일(현지시간) 브라이언 넬슨 미 재무부 테러·금융정보차관과 면담하고 북한의 불법적 사이버 활동 대응을 위한 양국 협력을 강화하기로 했다고 밝혔다. 넬슨 차관은 미 독자제재 프로그램을 운영하는 재무부 해외자산통제국(OFAC)을 관장하고 있다. 김 본부장과 넬슨 차관은 북한이 심각한 경제난을 겪으면서도 핵·미사일 개발을 지속할 수 있는 것은 가상자산 탈취와 정보기술(IT) 분야 외화벌이 활동 때문이라는 데 인식을 함께했다. 또 한미가 지난 4월과 5월 북한의 불법 사이버 활동에 관여한 개인과 단체를 독자제재 대상으로 지정하면서 긴밀히 공조한 것을 평가하고, 협력 외연을 국제사회·민간 등으로 확대하기로 의견을 모았다고 외교부는 전했다. 김 본부장은 이날 구글과 구글 산하 사이버 보안업체 맨디언트 관계자들과 간담회도 열었다. 김 본부장은 “북한의 전방위적 사이버 공격은 개인과 기업의 재산상 피해를 야기할 뿐 아니라 글로벌 IT 생태계 전반에도 심각한 위협”이라고 강조했다. 그는 맨디언트가 지난 4월 북한 해킹그룹 ‘김수키’의 주요 공격 대상 등을 분석한 보고서를 낸 것을 높이 평가하고, 앞으로도 “긴밀히 협력하자”고 말했다.

북한이 포털사이트 네이버를 정교하게 복제한 피싱사이트를 개설해 국민들을 대상으로 해킹을 시도한 정황을 포착했다고 국가정보원이 14일 밝혔다. 국정원에 따르면 북한은 도메인 주소 ‘www.naverportal.com’에서 네이버 메인화면에 있는 실시간 뉴스·광고 배너와 메뉴 탭을 그대로 따라 한 사이트를 제작해 개인정보 탈취를 시도했다. 증권이나 부동산, 뉴스 등 자주 이용하는 세부 메뉴까지 동일하게 복제했다. 국정원은 “화면에 있는 외관만으로는 실제 사이트와 피싱사이트를 구분하기 어렵다”면서 “단순히 네이버 로그인 페이지만 복제해 아이디(ID)와 비밀번호를 탈취하던 기존 방식에서 더 나아가 개인정보 탈취 가능성을 높이려 공격 수법을 진화시킨 것”이라고 밝혔다. 국정원은 이 피싱사이트 관련 정보를 국가·공공기관, 한국인터넷진흥원(KISA) 등에 공유했으며, 현재 피싱 사이트에 대한 접속 차단 조치를 취했다. 국정원은 “서버가 해외에 있어 해외기관과 정보공유로 해킹조직 활동을 추적하고 있다”면서 “피해 차단을 위해 다각적으로 대응할 계획”이라고 말했다. 아울러 “포털사이트를 이용할 땐 주소를 직접 입력해 접속하거나 즐겨찾기 기능을 사용하는 것이 안전하다”며 이용자들의 주의도 당부했다. 외교부는 김건 외교부 한반도평화교섭본부장이 미국 워싱턴DC를 방문해 브라이언 넬슨 재무부 테러·금융정보 차관과 면담하고 북한의 불법적인 사이버 활동 대응을 위한 양국 협력을 강화하기로 했다고 밝혔다. 넬슨 차관은 미국의 독자제재 프로그램을 운영하는 재무부 해외자산통제국(OFAC)을 관장하고 있다. 김 본부장과 넬슨 차관은 북한이 심각한 경제난을 겪으면서도 핵·미사일 개발을 지속할 수 있는 것은 가상자산 탈취와 정보기술(IT) 분야 외화벌이 활동 때문이라는 데 인식을 함께했다. 또한 한미가 지난 4월과 5월 북한의 불법 사이버 활동에 관여한 개인과 단체를 독자 제재 대상으로 지정하면서 긴밀히 공조한 것을 평가하고, 협력의 외연을 국제사회·민간 등으로 확대하기로 의견을 모았다고 외교부는 전했다. 김 본부장은 이날 구글과 구글 산하 사이버 보안업체 맨디언트와 간담회도 열었다. 김 본부장은 북한의 전방위적 사이버 공격은 개인과 기업의 재산상 피해를 야기할 뿐 아니라 글로벌 IT 생태계 전반에도 심각한 위협이라고 강조했다. 그는 맨디언트가 지난 4월 북한 해킹그룹 ‘김수키’의 주요 공격 대상 등을 분석한 보고서를 낸 것을 높이 평가하고 앞으로도 긴밀히 협력하자고 말했다.

조태용 국가안보실장은 9일 “북한이 소위 위성 명목의 장거리 탄도미사일 발사 한 번에 쏟아부은 비용이 북한 전체 주민의 10개월치 식량에 해당한다”며 “이는 빈곤에 허덕이는 북한 주민을 위해 쓸 수 있었던 비용이다”고 비판했다. 조 실장은 이날 외교·안보·통일 분야 4개 국책 연구기관이 주최한 ‘윤석열 정부 출범 1주년 외교·안보·통일 분야 평가와 과제’ 공동학술회의 기조연설에서 “우리 안보의 실체적 위협이자 당면한 최우선적 안보 위협은 물론 북한의 핵과 미사일”이라며 “북한 정권이 핵과 미사일 개발에 몰두하는 사이 주민들은 최악의 경제난과 인권유린으로 고통받고 있다”고 지적했다. 조 실장은 “무고한 사람의 삶을 담보로 하는 현재 취약한 평화가 진짜 평화라고 믿으며 스스로를 숨기고 진실을 회피하는 것은 윤석열 정부의 국가안보 철학에 정면으로 반하는 것”이라고도 했다. 북한은 2017년 6차 핵실험 직후 국제사회의 촘촘한 대북제재로 통치자금 벌이 등에서 애로를 겪고 있다. 이에 북한은 미사일 발사 등의 비용을 충당하기 위해 정권 차원에서 국제사회를 상대로 해킹을 주도하고 있다. ‘김수키’ 등 해커조직은 지난 몇 년 간 가상자산(암호화폐) 탈취 등에 힘을 쏟아 왔다. 국가정보원은 지난해 북한 해커조직이 해킹으로 벌어들인 수익이 8000억원 이상일 것으로 파악하고 있다.

지난해 국내 외교·국방·안보 분야 전문가에게 유포된 악성 ‘피싱 메일’이 북한 해킹조직인 ‘김수키’의 소행인 것으로 확인됐다. 이들이 보낸 메일에 속아 피싱 사이트에 접속해 계정 정보를 빼앗긴 피해자는 전직 장차관급 3명을 포함해 모두 9명이다. 해킹조직은 피해자 메일함을 2~4개월간 들여다보면서 첨부 문서와 주소록 같은 정보를 빼내 간 것으로 조사됐다. 경찰청 국가수사본부는 지난해 4∼8월 외교·안보 전문가 150명에게 대량 유포된 악성 전자우편 발송 사건 수사 결과를 7일 발표했다. 경찰은 피싱 메일 5800여개 분석으로 공격 근원지의 인터넷 프로토콜(IP) 주소, 경유지 구축 방식을 확인한 뒤 김수키를 지목했다. ‘봉사기’(서버), ‘랠’(내일), ‘적중한 분’(적합한 분) 등 북한식 어휘나 문구를 사용한 점도 북한 해킹조직의 소행으로 판단한 근거다. 2014년 한국수력원자력 해킹 사건으로 명성을 얻은 김수키는 라자루스, 블루노로프, 안다리엘 등과 함께 북한 정찰총국 내 해킹조직 중 하나다. 우리 정부는 지난 2일 김수키를 독자 대북제재 명단에 올렸다. 이들은 국내 36개, 해외 102개 등 모두 138개 서버를 해킹으로 장악한 뒤 IP 주소를 세탁해 피싱 메일을 발송한 것으로 조사됐다. 서버를 장악한 이후 이들은 교수, 연구원, 기자 등을 사칭해 책자 발간이나 논문 관련 의견, 인터뷰 등을 요청하는 메일을 보냈다. 경찰청 관계자는 “지난해 새 정부 출범을 전후해 피해자들의 지인이나 안보 분야 오피니언 리더를 사칭하는 방법으로 접근했다”고 설명했다. 이들은 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 첨부해 메일을 다시 발송했다. 피해자가 본인 인증을 위해 피싱 사이트에 접속하면 계정 정보가 이들에게 자동으로 넘어가는 방식이었다. 정보를 빼낸 뒤에도 이들은 ‘감사하다’는 내용의 답장을 보내 의심을 차단했다. 경찰은 전직 장차관급 3명, 현직 공무원 1명, 학계와 전문가 4명, 기자 1명 등 모두 9명이 피해를 입은 것으로 파악했다. 해킹조직은 메일 송수신 내역을 2∼4개월간 실시간 모니터링하면서 첨부문서와 주소록 등 정보를 탈취했다. 다만 경찰은 “해킹조직이 빼내 간 정보 중에 기밀자료는 없는 것으로 파악했다”고 밝혔다. 아울러 경찰은 이들이 사용한 국내외 서버에서 가상자산(암호화폐) 지갑 주소 2개가 발견된 것과 관련해 금전 탈취 시도가 있었다고 보고 수사를 이어 가고 있다.

지난해 국내 외교·국방·안보 분야 전문가에게 유포된 악성 ‘피싱 메일’이 북한 해킹조직인 ‘김수키’의 소행으로 확인됐다. 경찰 수사 결과, 이들이 보낸 메일에 속아 피싱 사이트에 접속해 계정 정보를 빼앗긴 피해자는 전직 장·차관급 3명, 현직 공무원 1명, 학계와 전문가 4명, 기자 1명 등 모두 9명에 달했다. 경찰청 국가수사본부는 지난해 4∼8월 외교·안보 전문가 150명에게 대량 유포된 악성 전자우편 발송 사건 수사 결과를 7일 발표했다. 경찰은 공격 근원지 IP 주소, 경유지 구축 방식, ‘봉사기’(서버)나 ‘랠’(내일), ‘적중한 분’(적합한 분) 등 북한식 어휘나 문구를 사용한 점을 근거로 이번 사건을 북한 해킹조직의 소행으로 판단했다. 김수키는 라자루스, 블루노로프, 안다리엘 등과 함께 북한 정찰총국 내 있는 여러 개의 해킹조직 중 하나다. 이들은 국내 36개, 해외 102개 등 모두 138개 서버를 해킹으로 장악한 뒤 IP주소를 세탁해 피싱 메일을 발송한 것으로 조사됐다. 서버를 장악한 이후 이들은 교수, 연구원, 언론사 기자 등을 사칭해 책자 발간이나 논문 관련 의견, 인터뷰 등을 요청하는 메일을 보냈다. 경찰청 관계자는 “지난해 새 정부 출범을 전후해 피해자들의 지인이나 안보 분야 오피니언 리더를 사칭하는 방법으로 접근했다”고 설명했다. 이들은 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 첨부해 메일을 다시 발송했다. 피해자가 본인 인증을 위해 피싱 사이트에 접속하면 계정정보가 이들에게 자동으로 넘어가는 방식이었다. 정보를 빼낸 뒤에도 이들은 ‘감사하다’는 내용의 답장을 보내 의심을 차단했다. 실제로 경찰이 연락하기 전까지 피해를 본 사실을 모르는 경우가 대다수였다.이들은 전직 고위 공무원 등 피해자들의 메일 송수신 내역을 2∼4개월간 실시간 모니터링하면서 첨부문서와 주소록 등을 빼내 간 것으로 조사됐다. 다만 경찰은 “탈취된 정보 중에 기밀자료는 없는 것으로 확인됐다”고 밝혔다. 아울러 경찰은 이들이 사용한 국내외 서버에서 가상자산(암호화폐) 지갑 주소 2개가 발견된 것과 관련해 금전 탈취 시도도 있었다고 보고 수사를 이어가고 있다. 암호화폐 지갑에선 200만원 상당의 거래가 이뤄진 것으로 알려졌다.

정부가 2일 북한 정찰총국 산하 해커 조직 ‘김수키’를 독자 대북제재 명단에 올렸다. 북한이 군사정찰위성을 탑재한 발사체 ‘천리마 1형’을 쏘아 올린 지 이틀 만이다. 앞서 정부는 북한이 위성 발사 시 ‘응분의 대가’를 치르게 할 것이라고 밝혔었다. 외교부는 이날 첨단 기술을 빼돌려 북한의 위성 개발에 직간접적인 관여를 해온 김수키를 대북 독자 제재 대상으로 지정한다고 밝혔다. 김수키는 국내는 물론 해외에도 널리 알려진 대표적인 해킹 집단으로 10여년 전부터 전방위 사이버 공격을 일삼아왔다. 국내에선 한국수력원자력, 한국항공우주산업 등을 해킹한 것을 포함해 각종 무기와 인공위성, 우주 관련 첨단기술을 훔친 것으로 알려졌다. 지난 4월 공개된 유엔 안전보장이사회 산하 대북제재위원회 보고서에 따르면 북한 정찰총국 제3국(기술정찰국) 산하 단체인 김수키는 군사, 에너지, 인프라 분야를 공격 대상으로 삼고 해당 분야에서 활동하는 업체들의 기밀정보도 노려왔다. 보고서는 김수키가 ‘애플시드’라는 이름의 백도어 멀웨어(악성 소프트웨어)를 구매주문서나 신청서 등으로 위장해 군기지 보수업체와 원전 관련회사 등에 배포, 피해자 계정 정보는 물론 컴퓨터 폴더와 파일까지 빼냈다고 말했다. 윤석열 정부는 2022년 10월 핵·미사일 개발 및 제재 회피에 조력한 북한 인사 15명과 기관 16곳을 독자제재 대상으로 추가 지정하며 대북 제재를 재개한 바 있다. 해당 대북 제재는 2017년 12월 이후 약 5년 만에 재개된 대북 제재였으나 대량살상무기(WMD) 및 미사일 개발에 관여한 인물과 단체에 집중됐다. 한국의 사이버 분야 대북 제재는 지난 2월이 처음이었다. 외교부는 김수키를 제재 대상으로 지정하면서 이들 활동에 대한 경각심을 높이기 위해 정부가 자체 식별한 김수키의 가상자산 지갑 주소도 함께 제재 명단에 올린다고 밝혔다. 또 국정원, 경찰청, 미국 연방수사국(FBI), 국무부, 국가안보국(NSA)과 함께 김수키 의심 활동에 대한 주의와 사이버 보안 조치 강화를 권고하는 한미 정부 합동 보안권고문도 발표했다. 이번 제재는 윤석열 정부 출범 이후 단행된 8번째 대북 독자 제재다. 정부는 지난해 10월 이후 지금까지 45개 기관과 개인 43명을 독자 제재 대상에 지정했다.

2021년 서울대병원에서 발생한 83만건의 개인정보 유출 사건은 북한 해킹조직의 소행으로 드러났다. 악성코드 감염으로 바깥으로 새 나간 정보는 조직검사와 같은 병리 검사 결과, 진단명, 환자 이름 등 모두 81만건에 달한다. 경찰은 이들이 주요 인사에 대한 진료 정보를 노리고 해킹을 저지른 것으로 봤다. 경찰청 국가수사본부는 2021년 발생한 서울대학교병원 개인정보 유출사건 수사 결과를 10일 발표했다. 경찰청 관계자는 “공격 근원지의 IP 주소, IP 주소 세탁 기법, 시스템 침입·관리 수법, 내부망 장악 시 사용한 계정 비밀번호에 북한 어휘가 사용된 점 등을 종합적으로 판단해 북한 해킹조직의 소행으로 판단했다”며 “‘김수키’와 연관이 있는 것으로 추정된다”고 밝혔다. 이들은 서울대병원 내부망을 장악할 때 사용했던 계정의 비밀번호에 ‘다치지 말라’(건들지 말라는 의미)는 북한 어휘를 사용하기도 했다. 이들은 2021년 5~6월 국내외에 소재한 서버 7곳을 장악해 서울대병원을 해킹하기 위한 기반을 마련한 것으로 조사됐다. 경찰청 관계자는 “전현직 직원 1만 7000명의 정보는 실제로 유출된 것을 확인했고, 나머지 81만명의 환자 개인정보는 유출 정황을 확인했다”고 말했다.

2021년 서울대병원에서 발생한 83만건의 개인정보 유출 사건은 북한 해킹조직의 소행으로 드러났다. 악성코드 감염으로 바깥으로 새 나간 정보는 조직검사와 같은 병리 검사 결과, 진단명, 환자 이름 등 모두 81만건에 달한다. 경찰은 이들이 주요 인사에 대한 진료 정보를 노리고 해킹을 저지른 것으로 봤다. 경찰청 국가수사본부는 2021년 발생한 서울대학교병원 개인정보 유출사건 수사 결과를 10일 발표했다. 경찰청 관계자는 “공격 근원지의 IP주소, IP주소 세탁 기법, 시스템 침입·관리 수법, 내부망 장악 시 사용한 계정 비밀번호에 북한 어휘가 사용된 점 등을 종합적으로 판단해 북한 해킹조직의 소행으로 판단했다”며 “‘김수키’와 연관이 있는 것으로 추정된다”고 밝혔다. 김수키는 라자루스, 블루노로프, 안다리엘 등과 함께 북한 정찰총국 내 있는 여러 개의 해킹조직 중 하나다. 이들은 서울대병원 내부망을 장악할 때 사용했던 계정의 비밀번호에 ‘다치지 말라’(건들지 말라는 의미)는 북한 어휘를 사용하기도 했다. 경찰청 관계자는 “암호화돼 있는 비밀번호를 풀어보니 이런 단어를 사용한 것”이라며 “그동안 남한 쪽 여러 기관을 해킹하는 과정에서 압수되거나 공격이 막힌 것에 대한 메시지로 보인다”고 설명했다. 이들은 2021년 5~6월 국내외에 소재한 서버 7곳을 장악해 서울대병원을 해킹하기 위한 기반을 마련한 것으로 조사됐다. 서울대병원 내부망에 침투하기 위해 여러 서버를 살피던 이들은 게시판 글쓰기 기능에서 사진과 파일을 업로드할 때 악성코드를 심을 수 있다는 취약점을 발견했다. 이후 이들은 서울대병원 내부망에 침투해 각종 개인정보를 빼냈다. 경찰은 이들이 환자 81만여명, 전현직 직원 1만 7000명 등 모두 83만명의 개인정보를 빼낸 것으로 판단했다. 경찰은 “전현직 직원 1만 7000명의 정보는 실제로 유출된 것을 확인했고, 나머지 81만명의 환자 개인정보는 유출 정황을 확인했다”며 “아직까지 개인정보 유출 이후 2차 피해가 확인되거나 신고가 접수된 경우는 없다”고 설명했다. 북한 해킹조직은 조직검사와 세포 검사 등 병리 검사 사진과 진단명 등이 저장됐던 서버를 주 타깃으로 삼은 것으로 조사됐다. 유출 정황이 확인된 환자 81만명의 정보도 모두 병리 검사 결과가 저장됐던 서버에서 새 나갔다. 경찰청 관계자는 “피의자 검거 이후 진술을 받아야 해킹 목적을 확인할 수 있지만, 이번 사건은 검거가 불가능하다”면서도 “다만 주요 인사 등에 대한 진료 정보를 빼내기 위한 것이 목적으로 서울대병원을 해킹한 것으로 보인다”고 말했다. 다만 주요 인사의 진료 정보가 실제로 유출됐는지에 대해선 “확인해주기 어렵다”고 했다.

국가정보원은 북한의 해커 조직이 최근 구글 서비스의 보안 취약점을 악용해 사이버 공격을 하고 있다며 주의를 당부했다. 국정원과 독일 연방헌법보호청은 20일 북한 정찰총국과 연계된 해커 조직 ‘김수키’의 신종 사이버 공격 유형 두 가지를 다룬 합동 보안 권고문을 발표했다. 권고문에 따르면 북한은 악성 링크를 담은 이메일을 피해자들에게 발송한 뒤 ‘크로미움 브라우저’에서 작동하는 악성 확장프로그램을 추가하도록 유도하고 있다. 크로미움은 구글에서 개발한 오픈소스 웹 브라우저 프로젝트다. 구글 크롬, 마이크로소프트 엣지, 네이버 웨일 등이 크로미움 기반으로 제작됐다. 피해자가 확장프로그램을 설치하면 해커는 별도 로그인 없이도 피해자의 이메일 내용을 실시간으로 받아 볼 수 있다. 북한은 또 ‘구글 플레이 동기화’ 기능을 악용해 사전에 피싱 메일 등을 통해 해킹한 구글 계정과 연결된 스마트폰에 악성 애플리케이션을 설치하고 정보를 탈취하는 것으로 나타났다. 국정원은 “북한 정찰총국과 연계된 사이버 공격이 최근 ‘스피어 피싱’을 통해 이뤄지고 있다”면서 “악성 이메일 판별 방법을 배우고 의심스러운 이메일을 수신했을 때 유의 사항을 준수해야 한다”고 강조했다. 스피어 피싱은 특정 개인이나 단체 등 공격 대상을 미리 정하고 시도하는 피싱 공격이다. 국정원이 해외 정보기관과 합동 보안 권고문을 발표한 것은 지난달 ‘한미 합동 사이버보안 권고문’에 이어 두 번째다. 국정원은 “국가 배후 해킹 조직의 공격 수법이 계속 진화하고 있어 대응을 위해선 국제 공조가 필수적”이라고 설명했다.

국가정보원은 북한의 해커 조직이 최근 구글 서비스의 보안 취약점을 악용해 사이버 공격을 하고 있다며 주의를 당부했다. 국정원과 독일 연방헌법보호청은 20일 북한 정찰총국과 연계된 해커 조직 ‘김수키’의 신종 사이버공격 유형 두가지를 공개한 합동 보안 권고문을 발표했다. 권고문에 따르면 북한은 악성 링크를 담은 이메일을 피해자들에게 발송한 뒤 ‘크로미움 브라우저’에서 작동하는 악성 확장프로그램 추가를 유도하고 있다. 크로미움은 구글에서 개발한 오픈 소스 웹 브라우저 프로젝트로 구글 크롬, 마이크로소프트 엣지, 네이버 웨일 등이 크로미움 기반으로 제작됐다. 피해자가 확장 프로그램을 설치하면 해커는 별도 로그인 없이도 피해자의 이메일 내용을 실시간으로 받아 볼 수 있다.북한은 또 ‘구글 플레이 동기화’ 기능을 악용해 사전에 피싱 메일 등을 통해 해킹한 구글 계정과 연결된 스마트폰에 악성 애플리케이션을 설치하고 정보를 탈취하는 것으로 나타났다. 국정원은 “북한 정찰총국과 연계된 사이버공격이 최근 ‘스피어 피싱’을 통해 이뤄지고 있다”면서 “악성 이메일 판별 방법을 배우고 의심스러운 이메일을 수신했을 때 유의사항을 준수해야 한다”고 강조했다. 스피어 피싱은 특정 개인이나 단체 등 공격 대상을 미리 정하고 시도하는 피싱 공격이다. 국정원이 해외 정보기관과 합동 보안 권고문을 발표하는 것은 지난달 ‘한미 합동 사이버보안 권고문’에 이어 두 번째다. 국정원은 “국가 배후 해킹 조직의 공격 수법이 계속 진화하고 있어 대응을 위해선 국제 공조가 필수적”이라고 설명했다.

언론사 기자, 국회의원실 비서, 정부기관을 사칭해 전문가들에게 ‘피싱 이메일’을 보낸 일당이 북한 해커 조직인 일명 ‘김수키’로 드러났다. 2014년 한국수력원자력을 해킹하는 등 정보 탈취를 목적으로 수년째 국내 해킹 공격을 벌여 온 그 조직이다. 경찰청이 어제 발표한 수사 결과를 보면 이들은 지난 4~10월 외교안보·국방 전문가 892명에게 악성 프로그램이 담긴 이메일을 보낸 뒤 피싱 사이트에 접속해 아이디와 비밀번호를 입력한 49명의 이메일을 실시간 들여다보며 첨부 문서와 주소록 등을 빼낸 것으로 밝혀졌다. 이번엔 별 피해가 없었다고 하나 자칫 민감한 외교안보 정보가 유출됐을 가능성을 생각하면 아찔해진다. 북한 해킹 조직이 컴퓨터 서버를 장악해 데이터를 암호화한 뒤 돈을 요구하는 ‘랜섬웨어’를 국내에서 활용한다는 사실도 이번에 처음 확인됐다. 중소 쇼핑몰 등 국내 13개 업체 서버 19대가 피해를 봤는데, 이 가운데 업체 두 곳이 255만원 상당의 비트코인을 지불했다고 한다. 북한의 해킹 수법은 날로 교묘해지고 있다. 국가정보원은 최근 ‘2023년 사이버 안보 위협 전망’에서 내년에 원전과 방산 기술을 노린 북한의 사이버 공격이 거세질 것으로 내다봤다. 특히 북한의 암호화폐 해킹 능력은 세계 최고 수준으로, 랜섬웨어 등 사이버 금융범죄가 광범하게 확산될 위험성을 우려했다. 북한이 2017년부터 전 세계에서 탈취한 가상자산 규모는 1조 5000억원으로 추산된다. 핵과 미사일 고도화의 자금줄이란 점에서 국제사회의 공동 대처가 시급한 현안이다. 국가기관과 기업은 물론 민간 영역도 사이버 안보에 대한 인식과 협력 체계가 강화돼야 한다. 국정원이 추진 중인 사이버안보법 등 법 제정도 함께 서둘러야 할 것이다.

언론사 기자, 국회의원실 비서, 정부기관을 사칭해 전문가들에게 ‘피싱 이메일’을 보낸 일당이 북한 해커 조직인 일명 ‘김수키’로 드러났다. 2014년 한국수력원자력을 해킹하는 등 정보 탈취를 목적으로 수년째 국내 해킹 공격을 벌여 온 그 조직이다. 경찰청이 어제 발표한 수사 결과를 보면 이들은 지난 4~10월 외교안보·국방 전문가 892명에게 악성 프로그램이 담긴 이메일을 보낸 뒤 피싱 사이트에 접속해 아이디와 비밀번호를 입력한 49명의 이메일을 실시간 들여다보며 첨부 문서와 주소록 등을 빼낸 것으로 밝혀졌다. 이번엔 별 피해가 없었다고 하나 자칫 민감한 외교안보 정보가 유출됐을 가능성을 생각하면 아찔해진다. 북한 해킹 조직이 컴퓨터 서버를 장악해 데이터를 암호화한 뒤 돈을 요구하는 ‘랜섬웨어’를 국내에서 활용한다는 사실도 이번에 처음 확인됐다. 중소 쇼핑몰 등 국내 13개 업체 서버 19대가 피해를 봤는데, 이 가운데 업체 두 곳이 255만원 상당의 비트코인을 지불했다고 한다. 북한의 해킹 수법은 날로 교묘해지고 있다. 국가정보원은 최근 ‘2023년 사이버 안보 위협 전망’에서 내년에 원전과 방산 기술을 노린 북한의 사이버 공격이 거세질 것으로 내다봤다. 특히 북한의 암호화폐 해킹 능력은 세계 최고 수준으로, 랜섬웨어 등 사이버 금융범죄가 광범하게 확산될 위험성을 우려했다. 북한이 2017년부터 전 세계에서 탈취한 가상자산 규모는 1조 5000억원으로 추산된다. 핵과 미사일 고도화의 자금줄이란 점에서 국제사회의 공동 대처가 시급한 현안이다. 국가기관과 기업은 물론 민간 영역도 사이버 안보에 대한 인식과 협력 체계가 강화돼야 한다. 국정원이 추진 중인 사이버안보법 등 법 제정도 함께 서둘러야 할 것이다.

북한 해킹 조직이 최근 기자, 국회의원실, 국가기관을 사칭해 외교안보 분야 전문가들에게 이른바 ‘피싱 메일’을 대량 유포한 정황이 드러났다. 경찰청 국가수사본부는 지난 4~10월 발송된 ‘제20대 대통령직 인수위원회 출입기자 사칭 이메일’, ‘태영호 국회의원실 비서 사칭 이메일’, ‘국립외교원 사칭 이메일’ 사건 등에 대해 수사한 결과 2013년부터 파악된 북한의 특정 해킹 조직 소행으로 확인했다고 25일 밝혔다. 경찰에 따르면 메일을 받은 외교·통일·안보·국방 분야 전문가는 최소 892명에 달했다. 메일에는 피싱 사이트로 유도하거나 악성 프로그램이 깔린 파일이 첨부돼 있었다. 이 중 피싱 사이트에 접속해 아이디와 비밀번호를 입력한 피해자는 49명으로 잠정 집계됐다. 해킹 조직은 이들의 송·수신 전자우편을 실시간 모니터링하며 첨부 문서와 주소록 등을 빼낸 것으로 조사됐다. 수사기관의 추적을 피하기 위해 인터넷 프로토콜(IP) 주소를 세탁하고 26개국 326대(국내 87대)의 경유지 서버를 동원했다.경찰은 2014년 ‘한국수력원자력 해킹 사건’, 2016년 ‘국가안보실 사칭 이메일 발송 사건’ 등과 동일한 북한 해킹 조직 소행인 것으로 결론 냈다. 공격 근원지 IP 주소, 해외 사이트 가입 정보, 경유지 침입·관리 수법, ‘왁찐’(백신 북한말) 등 북한 어휘를 사용한 점, 범행 대상이 외교·통일·안보·국방 전문가인 점 등을 판단 근거로 삼았다고 경찰은 설명했다. 경찰은 국내외 민간 보안업체에서 일명 ‘김수키(Kimsuky)’ 등으로 명명한 북한의 특정 해킹조직을 여러 차례 수사했던 경험이 있다. 이 조직은 서버를 장악해 데이터를 쓸 수 없게 암호화한 뒤 금전을 요구하는 ‘랜섬웨어’를 살포해 중소 쇼핑몰 등 국내 13개 업체 서버 19대가 피해를 봤다. 북한 해킹 조직이 랜섬웨어를 활용한다는 사실이 드러난 건 처음이다. 서버를 정상화해주는 대가로 업체당 130만원 상당의 비트코인을 요구했는데 대상 업체 가운데 두 곳이 255만원 상당의 비트코인을 지불한 것으로 파악됐다. 경찰 관계자는 “북한 해킹조직이 피해자에 금전을 요구한 이메일 가상 주소를 추적하는 동시에 비트코인 해외 거래소에 대한 수사도 진행 중”이라고 말했다.