개인정보 등을 한 번에 빼내는 ‘김수키’...10년 넘은 북한의 해킹 그룹 [지식용어] 

시선뉴스=정혜인 수습기자ㅣ최근 북한이 다양한 방법으로 해킹을 시도하고 있다. 지난 6월 미 자유아시아방송(RFA)는 통신사 KT를 사칭한 북한의 해킹 시도를 발견했다고 밝혔다. 또 이달에는 북한 해커가 네이버(naver)인 것처럼 위장한 ‘네이버포털(naverportal)’ 사이트로 사이버 해킹을 시도한 정황이 드러나기도 했다. 이 두 가지 해킹은 모두 북한 ‘김수키’의 소행인 것으로 알려졌다.

‘김수키’는 정보를 빼내기 위해 교묘한 수단을 쓰며 활동하는 북한의 지능형 지속 공격(APT) 해킹 조직이다. 이들은 2012년, 북한 정부의 국제적인 정보 수집 임무를 위해 만들어졌다. 한·미·일 정부 및 싱크탱크 등 여러 분야의 전문가를 표적으로 하고, 한반도와 관련한 핵, 외교정책, 국가 안보 문제 등과 관련한 정보를 얻기 위해 활동한다.

김수키는 한국수력원자력 연구소를 해킹하면서 존재를 나타냈다. 2014년 연말에 한수원의 원전 도면과 문서 일부가 유출된 것이다. 범인이라 주장한 사람은 크리스마스까지 원전 가동을 중단하지 않으면 원전을 폭파할 것이라고 하기도 했다. 하지만 이후의 시도들은 미수에 그쳤고, 경찰청 국가수사본부는 이 사건을 김수키가 주도한 것으로 보고 있다. 

2021년에는 한국항공우주산업(KAI)과 대우조선해양 등의 국내 방산업체가 해킹 등 사이버공격 위험에 노출되었다. 대우조선해양은 각종 함정을, KAI는 한국형 전투기 KF-21 등 다양한 무기체계를 개발하고 있는 곳으로, 당시 KAI의 경우 최소 2차례의 해킹을 당했다. 전문가들은 이들 해킹 시도의 범인으로 북한을 지목했고, 국민의 힘 하태경 의원은 김수키를 사건의 주범으로 거론했다.

지난해에는 김수키가 태영호 국회의원실을 사칭해 대한민국의 외교안보전문가 및 기관 해킹을 시도했다. 김수키는 연구원 수십 명에게 '[태영호 국회의원실 세미나] "윤석열 시대 통일 정책 제언" -감사의 인사‘라는 제목의 가짜 메일에 '사례비_지급 의뢰서.docx'라는 파일을 첨부해 전송했다. 첨부한 메일을 받으면 자신도 모르게 해킹 프로그램이 설치되는데, 이 메일로 인해 약 49명이 개인정보가 유출되는 피해를 보았다.

이러한 메일은 주로 전·현직 외교·안보 분야 관계자에게 전송되었으나, 최근에는 일반인들이 이와 같은 메일을 받는 사례가 늘어나고 있다. 국정원의 2020년부터 2022년까지 북한의 사이버공격 및 피해 통계에 따르면 네이버와 카카오(다음) 등의 국내 포털사이트를 사칭한 해킹 메일 전송이 전체의 74%에 육박했다. 

그리고 앞서 말한 네이버 사칭 사이트는 네이버 메인화면과 완전히 같은 모습을 하고 있었다는 점이 가장 주목할 부분이다. 국정원에 따르면 기존에 북한은 로그인 페이지 정도만 복제했지만, 이번에는 실시간 뉴스 광고 및 세부 메뉴까지 동일하게 만들었다. 화면의 외관만으로는 피싱 사이트를 구분하기 어려울 정도였다. 

이에 한미 양국은 지난 7월 26일 북한의 불법 사이버 활동을 차단하기 위해 ’제4차 한미 실무그룹 회의‘에서 민간 업체와 연대 강화 방안 등을 논의했다. 또한 지난 4월과 5월에는 한미가 북한 불법 사이버 활동 관련한 독자 제재를 동시에 단행했고, 6월에는 김수키에 대한 합동 보안 권고문을 발표했다. 

사실 이번 독자 제재의 상징적인 의미는 크지만, 실효성 측면에서는 실행 능력이 떨어진다. 독자 제재에 올렸다고 하더라도 정부가 취할 수 있는 추가 조치가 없기 때문이다. 북한의 해킹이 더욱 빈번해짐에 따라 공기관, 개인 모두 계정을 보호하고 서버를 강화하는 등 개인정보 보호에 더욱 경각심을 가지고 조심하는 것이 필요하다.