UN 대북제재 이후, 북한 사이버공격으로 살 길 찾나

북한 추정 사이버공격, 대북제재 이후 증가추세
각종 취약점 악용과 사회공학적 기법 등으로 공격 시도

[보안뉴스 김경애 기자] 유엔 안전보장이사회가 대북제재 결의 2375호를 채택했다. 이번에 채택된 대북제재는 원유 공급량을 동결하고, 액화천연가스 공급과 섬유 수출을 금지하며, 해외 북한 노동자에 대한 신규 노동허가 발급을 금지하는 내용 등이 주요사항으로 포함됐다.

북한에 대한 강도 높은 제재가 진행되다 보니 북한 추정의 사이버공격 역시 다시 증가하는 추세다. 이들은 외교 및 국방 분야 전문가 또는 탈북자 등을 대상으로 한 타깃 공격이나 금전적 이득을 위한 정보탈취, 사회적 혼란, 외화벌이 등 다양한 목적으로 사이버공격을 감행하고 있다.

이들의 공격수법은 사람의 심리를 이용한 사회공학적 수법부터 뚫릴 때까지 고도화된 수법으로 공격하는 APT공격, 탈북자나 방산업체 등을 노린 워터링 홀 공격, 탈북자나 민·관·군 관계자를 노린 스피어피싱, 스미싱과 파밍, 랜섬웨어, 우회 공격 등 여러 공격 기술을 타깃에 따라 다양하게 활용하는 것이 특징이다.

뿐만 아니라 각종 취약점을 노린 공격도 서슴치 않고 있다. 국내에서 가장 많이 사용하고 있는 한글 문서와 워드문서 등의 취약점에서부터 제로데이 취약점, 소프트웨어 취약점, 백신서버 취약점까지 망라해서 공격하고 있다.

특히, 국제사회의 대북제재 수위가 높아짐에 따라 북한 추정의 사이버공격은 외화벌이 쪽에 집중되는 분위기다. 심지어 북한의 수출입 등 무역거래도 가상화폐를 이용하고 있다는 게 보안전문가의 설명이다.

이와 관련해서는 블록체인을 기반으로 한 스타트업과 가상화폐 거래소, 핀테크 업체 등과 같은 신생산업 분야와 금융을 타깃으로 한 공격시도가 지속적으로 탐지되고 있는데서 짐작할 수 있다. 특히, 3.20 사이버테러와 소니픽처스 해킹을 일으킨 북한 해커조직 모두 가상화폐 분야를 타깃으로 집중 공격을 감행하는 것으로 분석됐다.

이들이 신생산업 분야를 노리는 이유는 회사규모가 크지 않아 상대적으로 보안이 허술한데다가 인력을 계속 확충하고 있어 이력서를 사칭하거나 가상화폐를 주제로 읽어볼만한 내용으로 이메일 공격을 감행할 경우 효과적이기 때문이다. 더욱이 신생 금융분야 기업의 경우 가상화폐를 많이 활용하므로 자금을 확보하기에 매력적인 공격대상이며, 가상화폐는 자금세탁으로 추적이 쉽지 않아 더할 나위 없이 좋은 먹잇감이다.

최근 탐지된 사회공학적 기법의 경우 가상화폐 거래소와 핀테크 업체를 노리고 이력서나 근로계약서 등을 위장해 악성코드를 심은 파일을 첨부하는 공격이 주로 시도되고 있다.

이에 대해 한 보안전문가는 “최대한 뚫리지 않도록 보안을 강화하는게 중요하지만 제로데이 취약점이나 APT와 같은 고도화된 공격의 경우 뚫렸을 때 빨리 인지하고 신속하게 대응하는게 중요하다”며 “회사 내부적으로 지침을 만들어 사고 발생시 어떻게 처리해야 할지 대응체계를 갖춰야 한다. 대기업의 경우 보안조직이 있는 반면, 중소기업이나 스타트업, 영세업체의 경우 보안담당자조차 없는 경우가 많기 때문에 사고 대비를 위한 대응체계 마련이 중요하다”고 말했다.

이어 그는 “사고가 발생했을 경우 숨기려 하기 보단 어떻게 뚫렸는지 해당 정보를 보다 적극적으로 공유해 향후 유사한 공격을 차단할 수 있도록 해야 한다”고 덧붙였다.
[김경애 기자(boan3@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다