지난해 국내 외교·안보 분야 관계자들에게 대량 유포된 ‘피싱 메일’이 북한 해킹조직 ‘김수키(Kimsuky)’의 소행으로 파악됐다. 피해자는 총 9명으로, 이 중 3명은 정부 고위공무원이었던 장·차관급이었다.

7일 경찰청에 따르면 김수키는 지난해 4∼8월 국내 외교·안보 전문가 150명에게 피싱 사이트 접속을 유도하는 악성 전자우편을 발송했다. 실제 피싱 사이트에 접속해 계정정보를 뺏긴 피해자는 전직 장·차관급 3명과 현직 공무원 1명, 학계·전문가 4명, 기자 1명 등 모두 9명으로 확인됐다. 김수키는 전직 고위 공무원 등 피해자들의 메일 송·수신 내역을 2∼4개월간 실시간 모니터링하며 첨부문서와 주소록 등을 빼낸 것으로 조사됐다.

김수키는 북한과 연계된 것으로 파악되는 대표적인 해킹 그룹이다. 이 조직은 주로 국가 기반시설이나 정부기관, 탈북자, 정치인 등을 대상으로 사회적 혼란이나 정보 수집을 위한 사이버 공작을 벌이는 것으로 분석된다. 김수키는 2014년 한국수력원자력 직원에게 피싱 메일을 발송하는 수법으로 한수원 자료를 탈취해 간 것으로 파악됐다.

다만 이번에 탈취된 정보 중에 기밀자료는 없는 것으로 확인됐다고 경찰은 전했다. 김수키는 국내 36개, 국외 102개 등 모두 138개 서버를 해킹으로 장악한 뒤 인터넷 프로토콜(IP) 주소를 세탁해 피싱 메일을 발송했다. 해킹한 서버를 악성 전자우편 발송, 피싱 사이트 구축, 탈취정보 전송 등 서로 다른 용도로 사용해 추적을 교란하기도 했다.

경찰은 이번 수사로 김수키를 비롯한 북한 해킹조직의 공격수법을 파악했다고 밝혔다. 우선 교수나 연구원 등을 사칭해 책자 발간 또는 논문 관련 의견을 요청하는 메일을 보내 접근했다. 이후 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 첨부해 메일을 다시 발송했다. 피해자가 본인 인증을 위해 피싱 사이트에 접속하면 계정정보가 이들에게 자동으로 넘어갔다. 정보를 빼낸 뒤에는 감사하다는 내용의 답장을 발송해 의심을 차단했다. 경찰청 관계자는 “피해 사실을 인지하고 경찰이나 수사기관에 알린 피해자는 없었다”며 “경찰이 연락하기 전까지 대부분 피해를 당한 사실도 몰랐다”고 말했다.

경찰과 국가정보원은 피싱 메일 5800여개 분석으로 공격 근원지 IP 주소와 경유지 구축 방식 등을 확인한 끝에 김수키를 범행 주체로 지목했다. ‘봉사기’(서버)나 ‘랠’(내일), ‘적중한’(적합한) 등 북한식 어휘나 문구 사용도 결정적 근거가 됐다고 한다. 경찰은 김수키가 사용한 국내외 서버에서 가상자산 지갑 주소 2개가 발견됨에 따라 금전 탈취도 시도한 것으로 보고 계속 수사 중이다. 이들 지갑에선 100만원 상당의 거래가 이뤄진 것으로 전해졌다.

경찰청은 “안보 분야 관계자를 대상으로 한 해킹 시도가 계속될 것으로 전망된다”며 “비밀번호의 주기적 변경, 인증 설정 강화 등 보안 조치를 강화해야 한다”고 말했다.