북한 해킹조직 ‘김수키(Kimsuky)’가 한·미 연합연습을 겨냥해 사이버 공격을 감행한 것으로 20일 나타났다.
김수키는 국내 ‘워게임(War Game)’ 운용업체 직원들에게 연말정산 ‘원천징수영수증’으로 둔갑한 전자우편을 보내 해킹을 시도했다.
해당 워게임 운용업체 직원 일부 개인자료가 북한으로 넘어갔지만 군 관련 정보는 유출되지 않았다.
경기남부경찰청 안보수사과는 한·미 연합연습 ‘을지 프리덤 실드(자유의 방패)’ 전투모의실에 파견된 워게임 운용업체 A사 직원들을 대상으로 지난 2월부터 3월까지 악성 전자우편이 수차례 발송된 사건을 수사한 결과 김수키 소행으로 확인했다고 이날 밝혔다.
경찰에 따르면 김수키는 지난해 4월부터 A사를 해킹하기 위해 악성코드를 심어둔 전자우편을 지속적으로 발송한 끝에 올해 1월 A사 행정직원 전자우편 계정을 탈취했다.
김수키는 이후 해당 직원 컴퓨터에 악성코드를 심은 뒤 원격 접속을 통해 A사 업무 진행 상황과 전자우편 송수신 내용을 실시간 들여다봤다.
김수키는 또 A사 직원의 신상정보도 가로챘다.
김수키는 이를 토대로 지난 2월 연말정산 시기에 맞춰 원천징수영수증으로 위장한 전자우편을 프리덤 실드 전투모의실에 파견된 A사 직원들에게 보냈다.
김수키는 당시 보낸 전자우편에서 자신을 한 세무법인 세무사무실 담당자로 소개하며 “연말정산자료를 정리하던 중 ○○○님 자료에서 뭔가 오류가 생겨 본인께 직접 확인해야 할 부분이 있어 메일을 드렸다”고 말했다.
김수키는 이어 “보내드린 문서는 초안파일이어서 PC에서만 열릴 것이다. 만일 잘 열리지 않으면 ‘알집’ 설치를 부탁드린다”고 덧붙였다.
A사 직원들은 전자우편에 첨부된 파일을 실행하려 했지만 전투모의실이 위치한 주한미군 부대는 미 국방 전산망 통제를 받아 해당 파일은 열리지 않았다.
다만 일부 직원이 전자우편을 외부 계정으로 재전송해 열람하면서 개인용 컴퓨터가 감염됐다.
경찰은 군 관련 정보가 김수키 측으로 흘러들어간 정황은 나타나지 않았다고 전했다.
경찰은 지난 3월 미군 수사기관과 정보공유를 통해 피해를 확인한 후 수사에 착수하고 해킹 공격에 사용된 IP가 ‘한국수력원자력 해킹사건’에서 사용된 IP 대역과 일치한다는 것을 확인했다.
경찰은 또 경유지 구축 방법 등 기존 공격과의 유사성, 북한식 어휘 ‘념두(염두)’를 사용한 점, 한·미 연합연습 시기에 맞춰 공격한 점 등을 종합해 이번 사이버 공격은 김수키 소행으로 결론 내렸다.
경찰은 21~31일로 예정된 을지 프리덤 실드를 한 달여 앞둔 지난달 미 육군 인사처를 사칭한 전자우편이 주한미군 한국인 근무자들에게 발송된 사실을 추가 확인해 미군 수사기관과 공조수사 중이다.
김수키는 대남 및 해외공작을 진두지휘하는 북한 정찰총국 소속 해킹조직이다.
2014년 한수원 해킹 사건으로 국내외에 이름을 알렸다.
김수키는 지난해 4월부터 10월까지 국내 외교안보 분야 전문가들에게 기자와 국회의원실 비서 등을 사칭한 ‘피싱메일’을 대량 유포해 해킹을 시도했다.
손재호 기자 sayho@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
