북한의 사이버 공격이 전산망 파괴와 정보 탈취를 넘어 수조원대 가상자산 탈취로 이어지고 있다. 최근에는 인공지능(AI)까지 공격에 활용하며 침투 수법을 고도화하고 있다. 금융·방산·공공기관을 가리지 않는 전방위 공격에 사이버 안보 위협이 커지고 있다.
◇전산망 마비에서 8조원 탈취까지…공격 목적 다변화
북한의 사이버 공격은 금융·공공기관의 전산망 마비부터 산업기술 유출, 가상자산 탈취에 이르기까지 다양한 형태로 전개돼 왔다. 2011년 4월 농협 전산망 마비 사건이 대표적이다. 당시 악성코드 공격으로 서버 273대에 장애가 발생하고 인터넷뱅킹과 현금자동입출금기(ATM) 등 금융서비스가 중단됐다. 검찰은 북한 정찰총국의 소행으로 결론 내렸다.
2013년에는 방송사와 금융기관을 겨냥한 '3·20 사이버테러'로 PC와 서버 약 4만8700대가 피해를 봤다. 이듬해에는 미국 소니픽처스에서 내부 기밀과 이메일이 유출되고 한국수력원자력의 원전 관련 자료가 외부에 공개됐다.
금전 탈취도 주요 공격 목적으로 자리 잡았다. 2016년 북한 연계 해커들은 방글라데시 중앙은행의 국제은행간통신협회(SWIFT) 송금 시스템을 악용해 8100만달러(약 1100억원)를 빼돌렸다. 2017년에는 워너크라이 랜섬웨어가 전 세계 병원과 기업 등에 피해를 입혔다.
최근에는 가상자산이 핵심 표적으로 떠올랐다. 미국 연방수사국(FBI)은 2022년 로닌 네트워크의 약 6억2000만달러(약 8300억원), 지난해 바이비트의 약 15억달러(약 2조원) 탈취 사건을 북한 소행으로 지목했다. 지난달 29일 발생한 바이낸스 해킹으로는 약 63억6000만달러(약 8조4900억원)의 가상자산이 유출됐다. FBI는 북한 연계 조직 '트레이더트레이터'를 배후로 공식 지목했다.
북한이 전 세계 가상자산 해킹에서 차지하는 비중은 압도적이다. 블록체인 분석업체 TRM랩스에 따르면 올해 가상자산 해킹 피해액의 85%(74억 달러)가 북한 연계 조직의 소행이다. 지난해 63%에서 22%포인트(P) 상승한 수치다. 북한이 2017년 이후 약 100건의 공격으로 탈취한 가상자산은 총 128억달러(약 17조원)에 달한다.
◇AI 업은 北 해커…속도·수법 고도화
북한 해킹 조직은 인공지능(AI)을 표적 조사와 신분 위장은 물론 악성코드 개발과 소프트웨어(SW) 공급망 침투에도 활용하고 있다. 기존 공격의 준비 시간을 단축하는 수준을 넘어 침투 도구 제작과 내부 활동까지 AI 활용 범위를 넓히는 양상이다.
마이크로소프트(MS)는 지난달 29일 발표한 보고서를 통해 “북한 해킹 조직들이 아직 AI에 공격을 전적으로 맡기기보다는 기존 공격의 생산성과 효율성을 높이는 수단으로 활용하고 있다”고 밝혔다.
조사 대상인 북한 연계 해킹 조직 8곳 가운데 3곳은 AI를 실제 공격 과정에 본격적으로 활용하고 있으며, 나머지 5곳도 활용을 확대하는 것으로 나타났다.
AI는 표적 조사와 신분 위장부터 피싱 문서 제작, 악성코드 개발까지 폭넓게 활용되고 있다.
특히 공격 대상의 직업과 관심사에 맞춘 피싱 문서를 수분 만에 수십 건씩 제작하는 등 공격 준비 시간을 단축하고 있다. AI 코딩 도구를 활용한 악성코드 제작·수정은 물론, 개발자의 SW 저장소에 악성코드를 삽입하는 등 개발환경을 악용한 공격에도 활용되는 것으로 분석됐다.
구글 위협정보그룹(GTIG)도 지난 9월 보고서를 통해 북한 해킹 조직이 AI를 악성코드 개발과 내부 시스템 침투, SW 공급망 공격에 활용하고 있다고 밝혔다.
북한 연계 조직 '미드나이트 넵튠(옛 UNC1069)'은 AI 코딩 도구로 원격접속 악성코드(RAT)를 개발하고, 내부 시스템 간 이동에 필요한 스크립트를 작성했다. 개발자의 SW 저장소와 AI 코딩 도구 설정을 변조해 백도어가 실행되도록 하는 공격도 포착됐다.
이와 함께 북한의 위장 정보기술(IT) 인력 조직이 탈취한 계정으로 대규모언어모델(LLM) 서비스의 애플리케이션프로그래밍환경(API)을 대량 등록한 정황도 확인됐다.
◇협력사·개발자까지 침투 통로…보안 대응 범위 넓혀야
북한이 공격 수단을 다변화하면서 기업과 기관의 방어 범위도 넓어져야 한다는 지적이 나온다. 외부에 노출된 서버뿐 아니라 임직원의 계정, 개발자의 작업 환경, 협력업체의 시스템이 침투 경로로 악용될 수 있기 때문이다.
특히 정상적인 채용 절차나 업무 협업을 가장한 공격은 악성코드 탐지만으로 대응하기 어렵다. 공격자가 임직원의 계정과 접근권한을 확보하면 정상적인 업무 활동처럼 위장해 내부 시스템을 탐색하고 정보를 유출할 수 있다.
AI 활용은 이러한 위험을 가중시킬 수 있다. 표적별 맞춤형 피싱 문서를 대량 생성하고, 차단된 악성코드를 빠르게 수정하는 등 기존 공격을 더 짧은 시간에 반복할 수 있기 때문이다. 개발 도구와 SW 저장소를 악용한 공급망 공격은 보안이 취약한 외부 협력사를 통해 내부 시스템까지 위협할 수 있다.
이에 따라 주요 계정의 다중인증과 접근권한 최소화, 협력사 접속 관리, 개발환경 보호를 함께 강화할 필요가 있다.
알려진 악성코드를 차단하는 데 그치지 않고 비정상적인 로그인과 권한 사용, 내부 시스템 간 수상한 접근을 식별하는 보안관제 역량도 중요하다.
북한의 사이버 공격은 전산망 파괴, 자산 탈취, 산업기술·정보 수집을 병행하는 형태로 전개되고 있다.
AI가 공격 준비와 실행의 속도를 높이는 만큼 개별 시스템 보호를 넘어 조직 전체의 공격표면과 접근권한을 통합적으로 관리하는 대응체계가 요구된다.
염흥렬 순천향대 정보보호학과 명예교수는 “기업과 기관은 AI 기반 보안 자동화와 제로트러스트를 통한 다층 방어체계를 구축해야 한다”며 “AI 기업의 자율규제만으로는 한계가 있는 만큼 사이버 공격에 AI가 악용되는 것을 최소화하기 위한 국제 규범과 국가 간 협력체계도 필요하다”고 말했다.
박진형 기자 jin@etnews.com
