악성파일 첨부된 메일 살포
ID·비번 입력한 49명 피해
‘랜섬웨어’ 유포도 첫 확인

북한 해킹 조직이 최근 기자, 국회의원실, 국가기관을 사칭해 외교안보 분야 전문가들에게 이른바 ‘피싱 메일’을 대량 유포한 정황이 드러났다.

경찰청 국가수사본부는 지난 4~10월 발송된 ‘제20대 대통령직 인수위원회 출입기자 사칭 이메일’, ‘태영호 국회의원실 비서 사칭 이메일’, ‘국립외교원 사칭 이메일’ 사건 등에 대해 수사한 결과 2013년부터 파악된 북한의 특정 해킹 조직 소행으로 확인했다고 25일 밝혔다.

경찰에 따르면 메일을 받은 외교·통일·안보·국방 분야 전문가는 최소 892명에 달했다. 메일에는 피싱 사이트로 유도하거나 악성 프로그램이 깔린 파일이 첨부돼 있었다. 이 중 피싱 사이트에 접속해 아이디와 비밀번호를 입력한 피해자는 49명으로 잠정 집계됐다.

해킹 조직은 이들의 송·수신 전자우편을 실시간 모니터링하며 첨부 문서와 주소록 등을 빼낸 것으로 조사됐다. 수사기관의 추적을 피하기 위해 인터넷 프로토콜(IP) 주소를 세탁하고 26개국 326대(국내 87대)의 경유지 서버를 동원했다.경찰은 2014년 ‘한국수력원자력 해킹 사건’, 2016년 ‘국가안보실 사칭 이메일 발송 사건’ 등과 동일한 북한 해킹 조직 소행인 것으로 결론 냈다. 공격 근원지 IP 주소, 해외 사이트 가입 정보, 경유지 침입·관리 수법, ‘왁찐’(백신 북한말) 등 북한 어휘를 사용한 점, 범행 대상이 외교·통일·안보·국방 전문가인 점 등을 판단 근거로 삼았다고 경찰은 설명했다.

경찰은 국내외 민간 보안업체에서 일명 ‘김수키(Kimsuky)’ 등으로 명명한 북한의 특정 해킹조직을 여러 차례 수사했던 경험이 있다.

이 조직은 서버를 장악해 데이터를 쓸 수 없게 암호화한 뒤 금전을 요구하는 ‘랜섬웨어’를 살포해 중소 쇼핑몰 등 국내 13개 업체 서버 19대가 피해를 봤다. 북한 해킹 조직이 랜섬웨어를 활용한다는 사실이 드러난 건 처음이다. 서버를 정상화해주는 대가로 업체당 130만원 상당의 비트코인을 요구했는데 대상 업체 가운데 두 곳이 255만원 상당의 비트코인을 지불한 것으로 파악됐다.

경찰 관계자는 “북한 해킹조직이 피해자에 금전을 요구한 이메일 가상 주소를 추적하는 동시에 비트코인 해외 거래소에 대한 수사도 진행 중”이라고 말했다.