북한 연계 해킹조직 ‘김수키’가 우크라이나 외교 안보 전문가들을 대상으로 사이버 공격을 시도한 것으로 나타났습니다. 한국의 사이버 보안 국제회의를 사칭해 한국과 우크라이나 간 안보 협력에 관한 정보를 수집하려는 목적이 있었을 가능성이 제기됩니다. 안소영 기자가 보도합니다.
북한 연계 해킹조직 ‘김수키’가 우크라이나 외교·안보 전문가들을 겨냥해 조직적인 사이버 첩보 활동을 벌인 정황이 포착됐습니다.
한국의 사이버보안 기업 지니언스는 12일 발표한 보고서에서 김수키가 한국에서 열린 사이버보안 컨퍼런스를 사칭해 우크라이나 전문가들에게 악성파일을 유포하려 했다고 밝혔습니다.
보고서에 따르면 공격자들은 지난 8월 6일 우크라이나 외교·안보 전문가에게 ‘제14회 대한민국 사이버보안 컨퍼런스’(KCSCON 2026)의 발표자로 초청한다는 이메일을 보냈습니다.
이메일에는 실제 행사 일정과 장소, 주최기관 등의 정보가 담겼으며, 항공료와 숙박비, 발표 사례비까지 지원하겠다는 내용도 포함됐습니다.
공격자들은 처음부터 악성파일을 보내는 대신 발표 참여 의사를 확인하는 방식으로 답장을 유도했고, 이후 회신한 대상에게 공식 초청장을 위장한 압축파일을 전달했습니다.
이 파일은 실행되면 외부 저장소에서 추가 악성코드가 내려받아지도록 설계됐습니다.
특히 정상적인 초청장 PDF가 화면에 나타나는 동안 악성코드가 사용자 모르게 실행되도록 하는 수법도 사용됐습니다.
김수키는 같은 달 19일에도 우크라이나 국제정책 전문가에게 유럽 연구기관 관계자를 사칭한 이메일을 보냈습니다.
러시아와 북한의 군사협력, 한국과 일본의 안보정책을 다룬 보고서의 검토를 요청한 뒤 악성파일이 포함된 다운로드 주소를 전달하는 방식이었습니다.
이후 공격이 성공하지 못하자 지난 9월에는 온라인 화상회의를 제안하면서 가짜 로그인 페이지로 접속을 유도하는 등 공격 수법을 바꾼 것으로 나타났습니다.
지니언스는 이들 공격에서 동일한 악성 스크립트와 저장소가 사용된 점을 확인했다며, ‘김수키’가 공격 대상과 미끼 문서만 바꿔 기존 악성코드 체계를 반복 활용한 것으로 분석했습니다.
또한 공격자들은 깃허브와 깃랩 등 정상적인 소프트웨어 개발 플랫폼을 악성코드 유포와 정보 전송 경로로 악용한 것으로 조사됐습니다.
이번 공격의 배경에는 북한의 러시아 파병과 우크라이나 전쟁이 있을 가능성이 제기됐습니다.
지니언스는 북한이 우크라이나 전문가들을 통해 북한군의 파병 실태와 전장 피해 규모, 포로 처리 동향, 한국과 우크라이나 간 안보 협력 등에 관한 정보를 확보하려 했을 가능성이 있다고 평가했습니다.
또 공격에 사용된 인프라에서 일본어로 작성된 국제형사재판소(ICC) 관련 문서와 일본 외교 관련 자료도 발견돼 공격 대상이 확대됐을 가능성도 제기됐습니다.
다만 지니언스는 조사 대상 사례 대부분에서 공격이 성공하지 못한 것으로 파악됐으며, 실제 정보 탈취가 이뤄졌는지는 확인되지 않았다고 밝혔습니다.
지니언스 측은 이번 공격이 북한의 사이버 첩보 활동이 국제 정세와 연계해 표적을 확대하고 있음을 보여준다고 지적했습니다.
그러면서 정상적인 이메일과 개발 플랫폼, 화상회의 프로그램을 악용하는 공격에 대응하기 위해 비정상적인 프로그램 실행과 외부 정보 전송 등을 탐지하는 보안 체계를 강화해야 한다고 강조했습니다.
VOA 뉴스 안소영입니다.
Forum