[서울=뉴시스]박영환 기자 = 북한 해커들이 일감을 미끼로 개발자에게 접근해 악성코드를 실행시키고 보안 설정까지 약화시키는 수법을 쓰고 있다는 분석이 나왔다.

미국 뉴욕포스트는 30일(현지시간) 약 63억달러 규모의 바이낸스 해킹 사건을 계기로 북한 해킹 조직의 수법을 조명했다. 보안업체 슬로우미스트의 리사 자오 보안운영 책임자는 “이들은 코드가 아니라 사람을 공격한다”고 말했다.

자오 책임자가 소개한 구체적인 침투 수법은 슬로우미스트가 2025년 조사한 사례다.

당시 공격자들은 소프트웨어 개발팀을 사칭해 개발자에게 프로그램을 고쳐주면 보수를 주겠다고 제안했다. 신뢰를 얻으려고 돈을 먼저 주겠다고 제안하거나, 투자자인 척하며 거래용 프로그램을 시험해달라고 요청하기도 했다.

공격자들은 개발자에게 건넬 프로그램에 악성코드를 숨겨뒀다. 실제 공개된 소프트웨어 프로젝트를 가져와 악성코드를 끼워 넣은 것이다. 개발자가 프로그램을 고치거나 작동을 시험하려고 실행하면 숨겨둔 악성코드도 작동하게 만드는 방식이다. 일감은 개발자의 컴퓨터에 침투하기 위한 미끼였다.

보안에 신경 쓴 직원도 속아 넘어갔다. 일부 직원은 프로그램에 문제가 있더라도 컴퓨터의 다른 부분으로 피해가 번지지 않도록 별도로 격리된 환경에서 실행했다. 그러자 공격자들은 프로그램을 제대로 작동시키려면 설정을 바꿔야 한다며 변경을 유도했다. 그 결과 보호 기능이 약해져 공격자가 컴퓨터를 더 폭넓게 통제할 수 있게 됐다는 것이다.

이렇게 침투한 개발자의 컴퓨터는 그가 일하는 회사로 들어갈 발판이 될 수 있다. 뉴욕포스트는 공격자가 이를 통해 회사 내부망에 들어가 시스템 접속에 쓰는 인증 정보를 훔치고, 자금을 관리하는 시스템에 대한 접근을 넓혀갈 수 있다고 설명했다. 이 과정에서 기업이 원래 사용하는 업무 도구를 악용해 활동을 감추기도 한다.

피해 직원이 실수를 인정하기 두려워하는 심리도 조사에 걸림돌이 됐다. 자오 책임자는 속았다는 사실을 알아챈 일부 직원이 책임을 추궁당할까 봐 관련 기록을 지우고 신고도 늦춰 조사와 증거 수집이 어려워졌다고 전했다. 그는 “기술적 수법보다 인간의 심리를 이용한다는 점이 더 놀라웠다”고 말했다.

해커들은 다른 나라의 컴퓨터를 공격 경유지로 삼기도 한다. 위셴 슬로우미스트 창업자는 북한 해킹 조직이 미국에 있는 컴퓨터를 침해한 뒤 이를 유럽이나 일본의 목표를 공격하는 데 활용할 수 있다고 설명했다. 다른 나라의 시스템을 발판으로 세계 각지에 접근한다는 것이다.

AI는 악성코드 작성과 전달 준비 등 공격에 필요한 작업을 더 빠르고 적은 비용으로 수행하도록 돕는다. 위 창업자는 과거 6개월에서 1년 동안 표적 약 5~10곳에 집중하던 해킹 조직이 이제는 50~100곳을 겨냥할 수 있다고 내다봤다. 사람이 직접 코드를 작성하거나 반복하던 작업을 AI로 더 효율적으로 처리할 수 있다는 설명이다.

뉴욕포스트가 인용한 마이크로소프트(MS)의 29일 보고서도 여러 북한 해킹 조직이 AI를 활동에 활용하고 있다고 분석했다. 사람을 속이기 위한 채용 자료와 가짜 신원을 만들거나 악성코드를 개발하는 데 AI를 이용한다는 내용이다.

이번 바이낸스 사건에서는 탈취금 추적 결과가 북한 연계 분석의 근거로 제시됐다. 자오 책임자는 바이낸스에서 탈취된 자금과 2025년 초 가상자산 거래소 페멕스 탈취 사건에 연루된 주소 사이의 연관성을 발견했다고 말했다. 슬로우미스트는 앞서 페멕스 사건을 북한 해커와 연결한 바 있다.

블록체인 분석업체 TRM랩스도 과거 사건과의 유사성 등을 근거로 북한의 지원을 받는 해킹 조직 ‘트레이더트레이터’를 배후로 지목했다. 일본 경찰청은 가상자산 탈취 활동으로 알려진 이 조직을 북한 해킹 조직 ‘라자루스’의 일부로 분류한 바 있다. 다만 바이낸스는 뉴욕포스트에 보낸 답변에서 북한의 개입을 확인하지 않았다. 회사는 수사기관과 협력해 범인을 추적하고 있으며 회사 자금으로 이용자 피해를 모두 보전하겠다고 밝혔다.


◎공감언론 뉴시스 yunghp@newsis.com