북한 정부 연계 해킹 조직 ‘탈륨’이 주미 한국대사관과 한국 최대 포털 네이버, 주요 국제 싱크탱크 등을 연상시키는 인터넷 도메인을 잇따라 개설했던 것으로 드러났습니다. 마이크로소프트가 법원에 정기적으로 제출하는 감시 보고서를 통해 확인된 내용입니다. 함지하 기자가 보도합니다.
북한 해킹 조직 ‘탈륨’이 주미 한국대사관과 주요 외교·안보 싱크탱크, 한국의 대형 포털 사이트를 모방한 위장 도메인들을 개설했던 사실이 확인됐습니다.
마이크로소프트(MS)가 미국 버지니아 동부 연방법원에 제출해 온 일련의 법원 감시인 보고서에 따르면, 탈륨(MS 명칭 ‘에메랄드 슬릿’)은 지난 2년 사이 한국과 국제사회의 핵심 외교·안보 네트워크를 겨냥한 도메인을 지속적으로 등록해 왔습니다.
마이크로소프트는 지난 2019년 탈륨을 상대로 소송을 제기한 이후, 법원의 영구 금지명령에 따라 탈륨이 생성한 악성 도메인의 통제권을 확보하고 그 현황을 약 120일 간격으로 재판부에 보고하고 있습니다.
지난 2년간의 보고서 가운데 가장 눈에 띄는 것은 지난해 7월(제10호 보고서) 제출된 내역입니다.
당시 보고서에는 탈륨이 한국대사관을 연상시키는 영문 표기 ‘코리안 엠버시’에 미국 국가 도메인인 ‘.us’를 붙인 ‘KOREANEMBASSY.US’ 도메인을 등록했던 사실이 명시됐습니다.
아울러 미국과 영국의 유력 싱크탱크와 외교 채널을 겨냥한 위장 도메인도 대거 포함됐습니다. 탈륨은 미국 안보 싱크탱크인 애틀랜틱 카운슬의 영문 철자를 교묘하게 비튼 위장 주소(ATLANTICACOUNCIL.ORG)를 만들었고, 영국 왕립국제문제연구소 채텀하우스(CHATHAMHOUSES.ORG)와 학술·대북 지원 활동을 펼쳐온 포드 재단(FORDFOUNDATLON.ORG), 프랑스 외교 공관(DIPLOMATIE-EMB-FR.EMAIL)을 사칭한 도메인도 잇따라 개설했습니다.
이어 지난해 9월(제11호 보고서)에는 한국 최대 포털인 ‘네이버’를 위장한 도메인(NAVERS.FUN)과 한반도 정세 전문 매체를 연상시키는 주소(PENINSULADISPATCH.SITE), 그리고 글로벌 가상화폐 거래소인 ‘MEXC’를 사칭한 도메인(MEXC-SERVICE.STORE) 등이 적발돼 차단 목록에 올랐습니다.
올해 들어서도 탈륨의 사칭 시도는 계속됐습니다.
올해 1월(제12호 보고서)에는 미국 외교협회(CFR) 행사를 사칭한 위장 주소(CFR-EVENT.EMAIL)와 함께 한국 내 스마트폰 본인확인 서비스 ‘모바일OK’를 모방한 듯한 도메인(MOBILEOKGROUP.SITE)이 포착됐고, 지난 5월(제13호 보고서)에는 미국의 신흥 외교 싱크탱크인 퀸시 연구소를 사칭한 도메인(QUNCYINST.SITE)도 잇따라 식별됐습니다.
한편 마이크로소프트는 15일 법원에 제출한 제14차 보고서에서 지난 5월 이후 탈륨이 개설한 5개의 악성 도메인을 추가로 적발해 법원 명령에 따라 통제권을 확보했다고 밝혔습니다.
이번에 적발된 도메인(ENMACROUNE.ONLINE, AKISOS.SITE, OPWKT.STORE, KPOIC.ONLINE, GOKOTO.SITE)들은 앞선 기관 사칭 주소들과 달리 특정 단어가 들어가지 않은 무작위 영문 조합 형태로 제작된 것으로 나타났습니다.
VOA 뉴스 함지하입니다.