北해커집단 '김수키' 장관급 메일함 몇달간 들여다봤다

전직 장·차관급 등 9명 피해…기밀자료 유출은 없어
학계인사 사칭해 본인인증 유도하고 메일계정 탈취

지난해 국내 외교·안보 분야 관계자들에게 대량 유포된 '피싱 메일'이 북한 해킹조직 '김수키'의 소행으로 파악됐다.

7일 경찰청 국가수사본부에 따르면 김수키는 지난해 4∼7월 남한 외교·안보 전문가 150명에게 피싱 사이트 접속을 유도하는 악성 전자우편을 발송했다.

실제 피싱 사이트에 접속해 계정정보를 뺏긴 피해자는 전직 장·차관급 3명과 현직 공무원 1명, 학계·전문가 4명, 기자 1명 등 모두 9명으로 확인됐다.

김수키는 2014년 한국수력원자력 해킹 사건으로 유명세를 산 북한 해킹조직이다.

우리 정부는 지난 2일 김수키를 독자 대북제재 명단에 올렸다.

지난해 5월 국민의힘 태영호 의원실 비서 명의로 외교·안보 전문가들에게 발송된 피싱 메일도 이들의 소행인 것으로 최근 확인된 바 있다.

김수키는 전직 고위 공무원 등 피해자들의 메일 송·수신 내역을 4∼9개월간 실시간 모니터링하며 첨부문서와 주소록 등을 빼낸 것으로 조사됐다.

다만 탈취된 정보 중에 기밀자료는 없는 것으로 확인됐다고 경찰은 전했다.

김수키는 남한 내 36개, 국외 102개 등 모두 138개 서버를 해킹으로 장악한 뒤 인터넷 프로토콜(IP) 주소를 세탁해 피싱 메일을 발송했다.

해킹한 서버를 악성 전자우편 발송, 피싱 사이트 구축, 탈취정보 전송 등 서로 다른 용도로 사용해 추적을 교란하는 치밀함도 보였다.

경찰과 국가정보원은 피싱 메일 5천800여개 분석으로 공격 근원지 IP 주소와 경유지 구축 방식 등을 확인한 끝에 김수키를 범행 주체로 지목했다.

'봉사기'(서버)나 '랠'(내일), '적중한'(적합한) 등 북한식 어휘나 문구 사용도 결정적 근거가 됐다.

경찰은 이번 수사로 김수키를 비롯한 북한 해킹조직의 새로운 4단계 공격수법을 파악했다고 밝혔다.

우선 교수나 연구원 등을 사칭해 책자 발간 또는 논문 관련 의견을 요청하는 메일을 보내 접근했다.

이후 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 첨부해 메일을 다시 발송했다.

피해자가 본인 인증을 위해 피싱 사이트에 접속하면 계정정보가 이들에게 자동으로 넘어갔다.

정보를 빼낸 뒤에는 감사하다는 내용의 답장을 발송해 의심을 차단했다.

경찰청 관계자는 "피해 사실을 인지하고 경찰이나 수사기관에 알린 피해자는 없었다"며 "경찰이 연락하기 전까지 대부분 피해를 당한 사실도 몰랐다"고 말했다.

경찰은 김수키가 사용한 국내외 서버에서 가상자산 지갑 주소 2개가 발견됨에 따라 금전 탈취도 시도한 것으로 보고 계속 수사 중이다.

이들 지갑에선 200만원 상당의 거래가 이뤄진 것으로 전해졌다.

경찰청 관계자는 "안보 분야 관계자를 대상으로 북한의 해킹 시도가 이어질 것으로 전망되므로 보안 조치를 강화해달라"고 당부했다.

/연합뉴스