지난달 21일 국회입법조사처 A 조사관 명의의 메일 한 통이 저에게 전달됐습니다. 한국의 미래 외교안보전략을 제안하는 일환으로 '한반도 평화체제 구상: 구상과 전망'이라는 주제의 간담회를 준비 중인데, 저의 참석을 요청하는 내용이었습니다.

메일 내용은 상당히 구체적이었습니다.

간담회 날짜는 3월 21일(목) 오후 2시∼5시나 3월 23일(토) 오후 2시∼5시 가운데 하나로 하려 하는데 언제가 좋은지 알려달라고 했고, 발표 내용은 5페이지 내외로 15분 정도 발표를 하면 되는데 자료를 3월 10일까지 보내달라고 했습니다. 또, 발표비는 30만 원이라면서 비용은 국회에서 지원한다고 했습니다. 메일 하단에는 A 조사관의 명함까지 첨부돼 있었습니다.

저 같은 경우 가끔씩 이곳저곳에서 토론회나 세미나 참석 요청이 오기 때문에, 이번에도 그런 요청의 일환이라고 생각했습니다. 국회입법조사처는 국회의원들의 의정활동을 지원하는 연구기관인 만큼 북한이나 한반도 문제 관련 간담회를 개최할 가능성이 충분히 있는 기관이기도 합니다.

메일로 바로 답신을 보낼 수도 있었지만 간담회를 같이 하자는 요청인 만큼 담당자와 전화로 인사라도 하고 시작하는 것이 좋을 것 같아 첨부된 명함에 있는 A 조사관의 휴대폰 번호로 전화를 했습니다. 그런데 A 조사관의 첫 마디는 '피싱'인 것 같다는 것이었습니다.

A 조사관은 자신은 메일을 보낸 적이 없다면서 과거에도 자신의 명의를 도용한 피싱 메일이 돈 적이 있는데 잠시 뜸하다가 다시 시작된 것 같다고 말했습니다. 속았구나 하는 생각에 메일을 자세히 살펴보니, 명함에 있는 A 조사관 메일 주소와 발신자의 메일 주소가 영문 철자 하나가 달랐습니다. A 조사관이 u를 쓰는 부분에 발신자는 v를 사용한 것입니다.

해킹으로 의심, 출처 추적해보기로
해킹이 의심되는 상황.

누가 이런 짓을 하나 싶어 출처를 추적해보기로 했습니다. 간담회에 응하는 것처럼 몇 가지 질문을 던지고, 회사에 보고해야 하니 간담회 계획을 간단한 문건으로 만들어 보내달라고 했습니다.

상대는 2번째로 보내온 메일에서, 간담회가 국회입법조사처 세미나실에서 진행될 것이라고 하면서 거짓말을 하나 더 추가했습니다. 태영호 의원도 간담회에 참석한다는 것입니다. 태영호 의원은 북한 출신인 만큼 태영호 의원의 이름을 끌어들여 한반도 관련 간담회의 신뢰도를 높이려 한 것으로 보입니다.

제가 한 차례 더 답신 메일을 보낸 뒤, 상대는 3번째 메일에서 첨부 파일을 보내왔습니다. 정책간담회 관련 문서를 첨부했다면서, 자료를 국회와 공유를 해야 해서 원드라이브에 업로드한 만큼 압축 파일을 다운받은 뒤 비밀번호를 입력하라고 했습니다. 비밀번호로 알려준 것은 nars2024!였는데 nars는 국회입법조사처의 영문 약자입니다.

첨부 파일이 악성 해킹 파일일 것이 분명한 만큼 보안업체에 분석을 의뢰했습니다. 아울러 곧 연락하겠다는 추가 답신을 간단히 보냈는데 상대는 4번째 메일을 보내왔습니다. 개인적인 사정으로 출장을 가게 됐다면서, 메일 확인을 자주 못할 수 있으니 전화번호를 남겨달라는 것이었습니다. 제가 악성 파일을 열어보면 원하는 목적을 달성하게 되므로 이제 거리를 좀 두면서 제 휴대폰에 대한 2차 공격을 준비하려는 것으로 보였습니다.

북한 해킹그룹 '김수키' 소행으로 드러나
보안업체가 악성 파일을 분석한 결과, 해킹을 시도한 주체는 북한 해킹그룹 '김수키'인 것으로 나타났습니다. 보안업체들은 과거 해킹 공격에 쓰였던 코드들을 누적해서 분석하고 있는데, 이번 해킹 공격에 사용된 코드들이 과거 '김수키'가 사용한 코드들과 90% 이상 일치했다는 것입니다.

'김수키'는 북한의 대표적인 해킹 조직으로 우리 정부의 대북 독자제재 대상입니다. 2014년 한국수력원자력 해킹 때 이름을 알리기도 했습니다.

보안업체 설명으로는 제가 악성 파일을 실행했을 경우 해커가 제 컴퓨터를 자기 컴퓨터처럼 들여다보고 조작할 수 있게 된다고 했습니다. 제 컴퓨터에 저장돼 있는 여러 정보와 이메일 등을 빼내가는 것은 물론, 제가 여러 사이트에 접속하면서 아이디나 비밀번호를 입력하면 그런 입력 정보까지 모두 파악할 수 있다는 것입니다.

더 무서운 것은 제 휴대폰까지 해킹됐을 경우입니다. 해커는 저에게 전화번호를 알려달라고 했는데, 만약 제 전화번호로 악성 파일을 보내 도청 앱까지 설치하게 될 경우 저의 24시간 생활이 해커에게 노출됩니다. 제가 다른 사람과 통화하는 것은 물론이고, 제가 휴대폰을 들고 다니면서 들리는 모든 소리가 해커에게 전달되기 때문입니다.

휴대폰은 보통 언제 어디나 가지고 다니고 집에 가서 충전을 하더라도 전원을 끄지 않는 경우가 많습니다. 도청 앱이 설치되면 집에서 하는 사적인 대화까지 모두 해커에게 노출되는 것입니다. 이렇게 되면, 해커가 '나는 네가 한 모든 일을 알고 있다'는 식으로 협박을 하는 일이 가능해집니다.

계속 진화하고 있는 북한 해킹 방식
이번 해킹 시도 사례를 보면, 북한의 해킹 방식이 점차 세련돼가고 있음을 알 수 있습니다.

먼저, 처음부터 악성 파일을 보내지는 않는다는 점입니다.

처음부터 모르는 사람에게 첨부 파일이 오면 의심을 하고 안 열어보는 경우가 많은데, 이번 경우를 보면 처음에는 일반 메일처럼 접근해 어느 정도 신뢰를 형성한 뒤 악성 파일을 나중에 보내는 방법을 썼습니다. 즉, 확실히 미끼를 물었다고 생각되는 시점부터 본격적인 작업에 들어간 것입니다. 보안업체 말로는 이렇게 사전작업을 거쳐가며 해킹을 시도하는 것이 요즘 북한의 추세라고 합니다.

다음으로 주목해볼 점은 남한식의 말투를 사용하기 위해 상당히 노력하고 있다는 점입니다.

북한 해커가 이번에 보낸 메일들을 보면 다음과 같은 내용들이 있습니다.

"담주 월욜전으로 보내드리도록 하겠습니다."
"함 보시고 의견이 있으시다면"
"비번(nars2024!)을 입력하시면"
"안 박사님 전번 남겨주신다면"

담주, 월욜 이런 말들은 표준어는 아니지만 남한에서는 문자나 대화방 등에서 일상적으로 사용되고 있는 말입니다. 북한 해커들은 이런 말들을 군데군데 섞어쓰며 진짜 메일처럼 보이려고 했습니다. 해킹으로 주요 정보를 빼내기 위해 계속 진화하고 있는 셈입니다.

가끔씩은 아날로그적 접근 방법도 필요?
해킹을 막기 위한 확실한 방법이 있는 것은 아닙니다. 백신 프로그램을 활용할 수는 있지만 공격자도 진화하고 있어서 남한에서 잘 사용하는 백신을 우회하는 공격 기법을 계속 개발해내고 있다고 합니다. 컴퓨터는 가끔씩 포맷해주는 것이 가장 확실하기는 한데, 이건 기존 자료를 일일이 다시 옮겨야 하는 만큼 상당히 귀찮은 일이기도 합니다.

이상한 파일이다 싶으면 절대 열어보지 않는 것이 역시 매우 중요합니다. 또, 이번에 제가 인사라도 하려고 전화했다가 해킹 시도를 알게 됐듯이, 가끔씩은 아날로그적인 접근 방법도 필요한 시대가 아닌가 싶습니다.

최신 콘텐츠

'담주' '월욜' 쓰면서 접근한 북한 해커, 당하지 않았던 이유는

Quiz