북한 연계 해킹 조직이 마이크로소프트 팀즈를 사칭한 화상통화를 이용해 38만5천 달러를 탈취했다고 사이버 보안단체가 밝혔습니다. 업무상 만남처럼 접근해 가짜 회의로 유인하는 수법으로, 미국 연방수사국(FBI)도 가상자산 업계를 겨냥한 북한의 위장 접근을 경고해 왔습니다. 조상진 기자가 보도합니다.
업무용 화상회의로 위장한 북한 연계 해킹 공격에서 38만5천 달러의 피해가 발생했다는 사이버 보안단체의 분석이 나왔습니다.
가상자산 보안단체 시큐리티 얼라이언스(SEAL)는 최근 공개한 보고서에서 북한 연계 해킹 조직 ‘UNC1069’가 가짜 팀즈 통화를 이용한 사건 한 건에서 이 같은 피해가 발생했다고 밝혔습니다.
SEAL은 별도로 가상자산 지갑의 복구 정보가 유출돼 27만 달러의 피해가 발생한 사건도 북한 소행으로 의심된다고 설명했습니다.
복구 정보는 가상자산 지갑을 복원하는 비밀 문구로, 유출되면 자산 탈취에 악용될 수 있습니다.
SEAL은 두 사건을 합쳐 65만5천 달러를 북한 관련 피해 항목으로 집계했으며, 다만 피해자의 신원과 소재지, 탈취 자금의 회수 여부는 공개하지 않았습니다.
SEAL은 보고서에서 가짜 화상회의가 어떻게 자산 탈취로 이어지는지 설명하면서 북한 연계 공격자들이 텔레그램과 링크트인, 업무용 메신저 등에서 지인이나 신뢰할 만한 기업을 사칭해 표적에 접근했다고 밝혔습니다.
또 이미 탈취한 개인이나 기업의 계정을 이용하기도 했으며, 이렇게 여러 주에 걸쳐 신뢰를 쌓은 뒤 팀즈(Teams)나 줌(Zoom) 회의를 가장한 링크를 보내 가짜 회의 화면으로 유인한다고 설명했습니다.
이후 소리가 들리지 않는다거나 업데이트가 필요하다는 구실로 파일을 실행하거나 컴퓨터에 특정 명령어를 입력하도록 요구했다는 것입니다.
피해자가 회의를 진행하기 위한 정상적인 절차로 생각하고 이를 따라 하면 악성 프로그램이 실행되는 방식입니다.
SEAL은 감염된 컴퓨터에서 가상자산 지갑과 비밀번호 관리 프로그램에 저장된 정보 등을 빼낼 수 있다고 설명했습니다.
공격자는 이를 이용해 피해자의 계정이나 지갑에 접근하고 자산을 탈취할 수 있습니다.
이번 보고서에서 UNC1069는 보안업체들이 해커들의 활동을 추적하기 위해 붙인 이름으로, 그동안 북한 정권과 연계된 해킹 조직으로 분류돼 왔습니다.
구글 산하 보안업체 맨디언트도 앞서 지난 2월 보고서에서 이 조직을 금전 탈취를 목적으로 활동하며 북한과 연계됐을 가능성이 높다고 평가하는 집단으로 설명했습니다.
맨디언트는 2018년부터 이 조직을 추적해 왔으며, 가상자산 기업과 개발자, 투자회사 관계자 등을 겨냥한 공격을 관찰했다고 밝혔습니다.
미국 연방수사국(FBI)도 북한 해커들이 취업과 투자 기회를 가장해 가상자산 업계 종사자들을 노린다고 경고해 왔습니다.
FBI는 2024년 9월 발표한 경보에서 공격자들이 표적의 경력과 관심사 등을 미리 조사하고, 상대방에게 매력적으로 보일 만한 가짜 제안을 만들어 접근한다고 밝혔습니다.
또 지인이나 업계 인사를 사칭할 수 있다며, 상대방의 신원을 기존에 알고 있던 별도의 연락 수단으로 확인하라고 권고했습니다.
업무용 기기에서 출처가 불분명한 프로그램이나 명령어를 실행하지 말 것도 당부한 바 있습니다.
VOA 뉴스 조상진입니다.
Forum