북한 등 국가 차원의 지원을 받는 것으로 추정되는 해킹조직이 국내 개인과 기업을 겨냥해 피싱 메일과 워터링홀(Watering Hole) 공격을 동시에 활용하는 것으로 나타났다. 특히 이용자가 평소 자주 방문하는 홈페이지에 접속하는 것만으로도 악성코드에 감염될 수 있는 사례가 확인되면서 정부가 민간 보안업계와 함께 사이버보안 강화에 나섰다.
30일 정부와 보안업계에 따르면 국가정보원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원은 안랩, 에스투더블유, 엔키화이트햇, 플레인비트 등 주요 보안기업과 공동으로 최근 사이버 위협 동향을 분석한 뒤 '합동 사이버보안 권고문'을 발표했다.
이번 권고문은 최근 국내에서 잇따라 확인된 해킹 사례를 분석한 결과를 토대로 작성됐으며, 국가 배후 해킹조직의 공격 수법이 이전보다 훨씬 정교하고 다양해졌다는 점을 강조했다.
보안업계에서는 올해 상반기 국내를 대상으로 이어진 일련의 공격이 북한의 대표적인 해킹조직으로 알려진 '라자루스(Lazarus)'와 연관됐을 가능성에 무게를 두고 있다.
전문가들은 공격 대상이 특정 기관에 국한되지 않고 일반 국민과 기업 전반으로 확대되고 있다는 점에서 각별한 주의가 필요하다고 지적했다.
현재 가장 빈번하게 활용되는 공격 방식 가운데 하나는 사회공학 기법을 이용한 피싱 메일이다.
해킹조직은 구직자와 기업의 관심을 끌기 위해 채용 제안이나 고액 연봉을 내세운 스카우트 제안, 기부 요청 등 실제 업무 메일처럼 보이는 내용을 작성해 발송하는 것으로 나타났다.
특히 최근에는 첨부파일 대신 인터넷 주소(URL)를 본문에 삽입하는 방식이 새롭게 확인됐다.
수신자가 해당 링크를 클릭하면 해킹조직이 미리 만들어 두거나 탈취한 블로그 또는 깃허브(GitHub) 페이지로 연결되며, 이 과정에서 오래된 보안 프로그램의 취약점을 이용해 악성코드가 설치되는 것으로 조사됐다.
기존처럼 악성 파일을 첨부하는 방식도 여전히 사용되고 있다.
'고연봉 채용 제안', '이력서 검토 요청' 등 자연스러운 문구를 활용해 첨부파일을 열도록 유도하고, 실제 헤드헌터 계정이나 기업 관계자의 이메일을 탈취해 발신자를 속이는 사례도 확인됐다.
정부는 이러한 방식이 일반 이용자뿐 아니라 기업 실무자까지 쉽게 속일 수 있을 정도로 정교하게 제작되고 있다고 설명했다.
또 다른 대표적인 공격 기법은 워터링홀 공격이다.
워터링홀 공격은 사용자가 자주 방문하는 홈페이지를 미리 해킹한 뒤 악성코드를 심어 놓고, 이용자가 해당 사이트에 접속하는 순간 악성 프로그램이 설치되도록 만드는 방식이다.
최근에는 병원 홈페이지와 뉴스 사이트 등 다수의 이용자가 찾는 웹사이트가 공격 대상으로 활용된 것으로 조사됐다.
특히 사용자가 별도의 파일을 내려받거나 실행하지 않아도, PC에 설치된 구버전 보안 프로그램의 취약점을 통해 악성코드가 자동 설치되는 사례가 확인돼 우려를 키우고 있다.
정부는 최근 워터링홀 공격이 더욱 고도화되고 있다고 진단했다.
과거에는 악성코드를 비교적 단순하게 삽입하는 방식이 많았지만, 최근에는 악성코드를 숨기거나 웹사이트의 소스코드를 직접 변조하는 기법까지 활용되면서 보안 시스템으로도 탐지가 어려운 경우가 늘어나고 있다는 설명이다.
전자서명 프로그램이나 보안인증 프로그램, 키보드 보안 프로그램 등을 최신 버전으로 업데이트하지 않은 이용자의 경우 감염 위험이 더욱 높아질 수 있다고 정부는 경고했다.
국가 배후 해킹을 오랫동안 분석해 온 보안업계 관계자 역시 이번 공격의 배후에 북한 해킹조직이 있을 가능성을 제기했다.
이 전문가는 "올해 상반기 국내를 대상으로 워터링홀 공격이 여러 차례 확인됐다"며 "공격 방식과 사용된 기법 등을 종합적으로 볼 때 북한 배후의 라자루스 조직이 연관됐을 가능성을 배제하기 어렵다"고 분석했다.
악성코드에 감염될 경우 피해 범위는 단순히 개인정보 유출에 그치지 않는다.
브라우저에 저장된 계정과 비밀번호는 물론 카드번호와 각종 인증 정보가 외부로 유출될 수 있으며, 컴퓨터에 저장된 문서와 사진, 연락처, 메신저 대화 내용 등도 탈취될 위험이 있다.
더 큰 문제는 감염된 컴퓨터가 또 다른 공격의 통로로 활용될 수 있다는 점이다.
해커는 감염된 PC를 거점으로 같은 네트워크에 연결된 다른 컴퓨터까지 악성코드를 확산시키는 방식으로 공격 범위를 확대할 수 있다.
기업의 경우 피해 규모는 더욱 커질 수 있다.
소스코드와 내부 업무 문서, 고객 개인정보, 인사 자료, 영업기밀 등이 유출될 가능성이 있으며, 이를 빌미로 금전을 요구하는 협박이나 추가 공격으로 이어질 위험도 존재한다.
정부는 이러한 사이버 공격에 대비하기 위해 개인과 기업 모두 기본적인 보안 수칙을 철저히 지켜야 한다고 강조했다.
개인 이용자에게는 운영체제와 모든 보안 프로그램을 항상 최신 버전으로 유지하고, 주요 계정에는 2단계 인증을 활성화하며, 출처가 불분명한 이메일의 첨부파일이나 인터넷 주소는 열지 말 것을 당부했다.
기업에는 사내 소프트웨어를 정기적으로 점검하고 네트워크를 적절히 분리하는 한편, 다중인증(MFA)을 적극 도입하고 임직원을 대상으로 한 보안 교육을 지속적으로 실시할 것을 권고했다.
정부는 앞으로도 민간 보안업계와 협력해 국가 배후 해킹조직의 공격 동향을 지속적으로 분석하고, 새로운 공격 기법이 확인될 경우 신속하게 관련 정보를 공유해 피해 확산을 최소화한다는 방침이다.
