방첩사 계엄 문건 알고보니 북한 소행?

지난해 말 '12·3 비상계엄 사태'와 관련한 가짜 문건을 빙자한 해킹 이메일이 대량으로 유포된 사건이 북한 해킹조직의 소행인 것으로 드러났습니다. 경찰청 국가수사본부는 이 사건을 정밀 분석한 결과, 조직적인 수법과 기술을 통해 개인정보를 탈취하려는 명백한 사이버 공격이었으며, 실제로 120명 이상의 개인정보가 유출됐다고 밝혔습니다.

계엄문건 사칭 수법

해당 해킹 공격은 2023년 12월 11일, '방첩사 작성한 계엄 문건 공개'라는 제목의 이메일이 무차별적으로 유포되면서 시작됐습니다. 수신자에게는 국회의원이 국군방첩사령부의 계엄 문건을 폭로한다는 내용과 함께 첨부파일이 포함돼 있었고, 이 파일 안에는 해킹용 악성코드가 숨겨져 있었습니다. 단순한 정보 공유처럼 보이지만, 이는 전형적인 사회공학 기법의 일환으로, 사용자의 심리적 동요를 유도해 파일을 열게 만들고 해킹을 유도하는 수법이었습니다.

12만건 넘는 해킹 시도

경찰청에 따르면 북한 해킹조직은 해당 문건 이메일뿐 아니라 총 30가지 유형의 다양한 이메일을 제작해, 작년 11월부터 올해 1월까지 약 1만7744명을 대상으로 총 12만6266회에 걸쳐 사칭 메일을 발송했습니다. 이메일 발송에는 해외에서 임대한 서버 15대가 동원됐고, 이 서버에는 자체 제작한 이메일 송신 프로그램이 설치되어 있었습니다. 이 프로그램은 이메일이 읽혔는지, 수신자가 피싱 사이트에 접속했는지, 계정 정보를 입력했는지 등을 한눈에 파악할 수 있는 감시 기능을 탑재하고 있었습니다.

피싱 방식과 대상층

북한은 계엄 문건 외에도 신년사 분석, 정세 전망, 유명 가수 콘서트 초대장, 세금 환급, 건강정보, 운세 등 일상적인 주제를 위장 소재로 활용해 이메일을 다양하게 구성했습니다. 이 이메일들은 수신자가 의심 없이 열어볼 수 있도록 공공기관 이메일처럼 보이거나, 지인의 이메일 주소와 매우 유사하게 조작됐습니다. 이메일 본문에는 ‘바로가기’ 링크가 포함되어 있었으며, 클릭 시 포털 사이트 로그인 창과 유사한 피싱 사이트로 연결됐습니다. 여기서 실제 포털 사이트 아이디와 비밀번호를 입력하도록 유도한 뒤, 해당 정보를 탈취했습니다.

이 같은 방식으로 실제 개인정보 피해가 발생한 사례도 확인됐습니다. 피싱 사이트에 접속한 수신자 중 최소 120명이 계정정보를 포함해 포털 보관함에 저장된 연락처 정보까지 탈취당한 것으로 파악됐습니다. 피해자들은 대부분 통일, 안보, 국방, 외교 등 국가의 핵심 전략 분야에 종사하는 인물들이었습니다.

북한 소행의 증거

경찰은 여러 정황과 기술적 증거를 통해 이번 사건을 북한의 사이버 공격으로 결론지었습니다. 우선, 해킹에 사용된 서버 중 일부는 과거 북한발 사이버 공격에서 사용된 것과 동일한 것이었습니다. 또한 이메일 발송지의 IP 주소가 북한과 인접한 중국 접경 지역에서 할당됐고, 해킹 메일을 송신한 서버 내부에서는 '탈북자 정보', '군 관련 데이터'를 수집하고 있는 정황이 포착됐습니다. 더불어 해당 서버의 인터넷 검색 기록에서 '주체사상', '남조선'과 같은 북한식 어휘가 다수 발견되었고, 이를 통해 북한 내부에서 지휘되고 있었던 사이버 작전이라는 사실이 사실상 확정되었습니다.

과거 유사 사례와의 연관성

이러한 수법은 과거에도 유사하게 사용된 바 있습니다. 특히 2016년과 2017년 박근혜 전 대통령의 국정농단 사태 당시에도 '최순실', '대통령 하야' 등의 자극적인 키워드를 활용해 악성코드가 담긴 이메일이 무차별적으로 퍼졌습니다. 당시도 경찰청은 북한이 정부기관을 사칭해 사이버 공격을 시도했다고 발표한 바 있으며, 이번 사건 역시 그 연장선상에 있다고 볼 수 있습니다.

경찰의 대응 및 보안 권고

경찰청은 사이버 공격에 대응하기 위해 전담 수사팀을 운영해 원문 이메일을 확보하고, 서버 추적과 경유지 분석, 발송 프로그램 내역 등을 정밀하게 조사했습니다. 경찰 관계자는 “사이버 공격은 단순한 기술 해킹이 아닌 정보전의 일환으로 국가 안보와 직결된다”며, 앞으로도 국내외 유관 기관과 협력 체계를 강화해 사이버 위협에 대한 대응을 계속해 나가겠다고 밝혔습니다.

아울러 시민들에게도 다음과 같은 보안 수칙을 준수할 것을 당부했습니다. 먼저 발신자가 불분명하거나 공공기관을 사칭한 이메일은 열람을 자제해야 하며, 첨부파일이나 링크를 무분별하게 클릭하지 않는 것이 중요합니다. 이메일로 주고받는 파일은 반드시 암호를 설정해 송수신하고, 비밀번호는 별도 통신 수단을 통해 전달해야 하며, 가능한 모든 계정에는 2단계 인증 기능을 설정해 두는 것이 안전합니다.

북한의 사이버 공격은 점점 더 교묘하고 정교해지고 있습니다. 국가적 위기 상황이나 이슈를 악용하는 방식으로 시민을 속이고, 정보를 탈취하려는 시도가 계속되고 있는 만큼, 사이버 보안에 대한 경각심은 앞으로도 지속되어야 할 것입니다.

 

2025.04.15 - [사회] - 오송 지하도 참사 현장소장 징역 6년 확정

오송 지하도 참사 현장소장 징역 6년 확정