피해 규모조차 모른채… 北해킹에 방산업체 10여곳 뚫렸다

국가 안보와 직결되는 방산 기술을 탈취한 북한 해킹조직들의 공격이 점차 치밀해지면서 그 공격 대상도 다양해지고 있다. 하지만 수사 당국에서 북한 해킹 정황을 포착해도 어떠한 경로로 유출된 자료가 어느 정도 규모인지 파악하기 쉽지 않다. 이 때문에 방산업체 자체적 보안 강화 등 근본적인 해결책 마련이 필요하다는 주장이 힘을 얻고 있다.

23일 경찰청에 따르면 국내 방산 관련 업체 10여 곳에서 방산 기술을 탈취한 라자루스·안다리엘·김수키 등 북한 해킹조직은 안보 분야를 비롯해 사법, 금융 등 여러 기관을 무차별적으로 공격하고 있다.

해킹 조직은 지난해 하반기부터 최근까지 국내 반도체 장비업체들을 대상으로 해킹 공격을 시도해 제품 설계 도면과 설비 현장 사진 등을 탈취했다. 서버가 인터넷에 연결돼 취약점이 노출된 업체들이 공격 대상에 올랐다.

방산 관련 업체 공격과 다르게 악성코드 사용을 최소화하고, 서버 내 설치된 정상 프로그램을 활용해 공격하는 'LotL(Living off the Land)' 기법을 주로 구사해 보안 도구의 탐지망을 쉽게 따돌렸다.

라자루스는 사법부 전산망에 악성코드를 심어 수백 기가바이트에 달하는 자료를 빼간 것으로 파악됐다. 경찰은 라자루스가 주로 사용하는 유사한 기법의 악성코드를 확인해 이들의 소행으로 결론 내렸다.

북한 해킹조직 가운데 김수키는 국내외 500여 개의 경유 서버를 장악해 내국인 1468명의 이메일 계정을 탈취하기도 했다. 피해 입은 이들 중 전직 장관급 인사 1명을 비롯해 외교·통일·국방·안보 분야의 전·현직 공무원 등 전문가 57명이 포함됐다.

김수키는 공격 대상을 외교·안보 분야 공무원 등 전문가뿐 아니라 일반인까지 확대해 해킹 공격을 벌였고, 개인정보는 물론 가상자산 탈취까지 시도했다. 엄격한 보안 절차 덕분에 실제 가상자산을 빼돌리지는 못했지만, 해킹으로 장악한 경유 서버 147대에서 가상자산 채굴 프로그램을 관리자 몰래 실행해 100만원 미만의 금액을 채굴했다.

이처럼 북한 해킹조직의 전방위 공격이 이뤄지고 있음에도 현실적으로 이들 조직이 언제, 어떠한 수법으로 공격을 벌이는지 쉽게 파악하기 어렵다. 사이버상의 공격에서 사람의 흔적이 잘 나타나지 않는 만큼 수사 당국은 어느 시점에 자료가 유출됐는지, 어떠한 수법을 사용했는지 정도를 추정만 하고 있는 실정이다.

경찰청은 해킹 공격이 북한의 자금난에서 비롯된 것으로 보고 있다. 경찰청 관계자는 "북한은 자금난 등으로 여건이 어려워 사이버 공격에 집중하고 있다"며 "이 같은 공격들이 쉽게 말해 가성비가 좋기 때문에 수십년 전부터 해커를 양성해 왔다"고 말했다.

이 관계자는 "북한이 우리보다 (해킹 관련 역량이) 떨어진다고 말할 수 없다"면서 "방산업체뿐만 아니라 협력업체까지 자체적으로 보안을 강화하도록 방위사업청과 업무협약을 맺어 협력을 강화할 계획"이라고 덧붙였다.