북한 해킹 조직 '김수키' 피싱메일 유포 사건 개요도 [사진=경찰청 제공. 재판매 및 DB 금지]

7일 경찰청 국가수사본부에 따르면 북한 해킹 조직 '김수키'가 지난해 4~7월 국내 외교·안보 분야 관계자들에게 '피싱 메일'을 대량으로 유포하는 방식으로 계정 정보를 탈취한 것으로 파악됐다.

김수키는 외교·안보 분야 전문가 150명에게 피싱 사이트 접속을 유도하는 악성 이메일을 발송했다. 피해자 중 전직 장·차관급 3명과 현직 공무원 1명, 학계·전문가 4명, 기자 1명 등 9명은 실제 피싱 사이트에 접속해 계정 정보를 뺏긴 것으로 확인됐다. 조사에 따르면 김수키는 피해자들의 메일 송·수신 내역을 4~9개월간 실시간 모니터링하며 첨부문서와 주소록 등을 빼냈다.

다만 경찰은 탈취된 정보 중 기밀자료는 없는 것으로 확인됐다고 전했다.

김수키는 남한 내 36개, 국외 102개 등 모두 138개 서버를 해킹해 장악하고 인터넷 프로토콜(IP) 주소를 세탁해 피싱 메일을 발송했다. 이들은 해킹한 서버를 악성 전자우편 발송, 피싱 사이트 구축, 탈취 정보 전송 등 서로 다른 용도로 사용하는 등 추적을 교란하는 치밀함도 보였다.

경찰과 국가정보원은 피싱 메일 5,800여 개를 분석해 공격 근원지 IP 주소와 경유지 구축 방식 등을 확인한 끝에 범행 주체로 김수키를 지목했다. 특히 이들이 '봉사기'(서버), '랠'(내일), '적중한'(적합한) 등 북한식 어휘나 문구를 사용한 점이 이들을 특정한 결정적인 근거가 됐다.

경찰은 이번 수사로 김수키를 비롯한 북한 해킹 조직의 새로운 4단계 공격수법을 파악했다고 밝혔다. 

이들은 교수나 연구원 등을 사칭해 책자 발간 또는 논문 관련 의견을 요청하는 메일을 보내 접근했다. 이후 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 첨부해 메일을 다시 발송했다.

피해자가 본인 인증을 위해 피싱 사이트에 접속하면 계정 정보가 자동으로 넘어갔다. 또 정보를 빼낸 뒤에도 감사하다는 내용의 답장을 발송해 의심을 차단했다.

경찰청 관계자는 "피해 사실을 인지하고 경찰이나 수사기관에 알린 피해자는 없었다"며 "경찰이 연락하기 전까지 대부분 피해를 당한 사실도 몰랐다"고 말했다.

경찰은 김수키가 사용한 국내외 서버에서 가상자산 지갑 주소 2개가 발견되자 금전 탈취도 시도한 것으로 보고 계속 수사중이다. 이들 지갑에서는 200만 원 상당의 거래가 이뤄진 것으로 전해졌다.

한편 김수키는 2014년 한국수력원자력 해킹 사건의 주범으로 알려진 북한 해킹조직으로, 우리 정부가 지난 2일 독자 대북제재 명단에 올린 바 있다. 또한 지난해 5월 국민의힘 태영호 의원 비서 명의로 외교·안보 전문가들에게 발송된 피싱 메일도 이들의 소행인 것으로 확인됐다.

“ 저작권자 © 퍼스널포커스 무단전재 및 재배포 금지 ”