급속히 고도화되는 북한의 해킹실력…내후년 100조 넘본다 [김수한의 북한이야기]

[헤럴드경제=김수한 기자] 세계 최대 가상화폐거래소 바이낸스가 10월 29일(현지시간) 약 63억달러(8조4000억원) 규모의 해킹 피해를 당했다.

미 블록체인 정보업체 TRM랩스는 북한을 사건의 배후로 지목하고, 이번 사건을 “사상 최대 규모의 가상화폐 탈취 사건”이라고 규정했다. TRM랩스는 북한의 해킹 조직 트레이더트레이터(TraderTraitor)를 이번 사건의 핵심 세력으로 꼽았다.

트레이더트레이터는 2022년 미 연방수사국(FBI)과 사이버보안·인프라보안국(CISA)이 글로벌 가상자산 등을 노리는 세력이라고 지목한 북한 해킹 조직이다.

미 정보당국 우려대로 트레이더트레이터는 2023년 6월 암호화폐 지갑 플랫폼 아토믹월렛(1억달러·약 1345억원), 같은 해 7월 가상자산 결제 폴랫폼 알파포(6000만달러·약 807억원)와 에스토니아 암호화폐업체 코인스페이드(3700만달러·약 497억원) 등을 잇따라 해킹하며 본격적으로 거액을 탈취했다.

2024년 5월 일본의 가상화폐거래소 DMM비트코인에서 3억800만달러(약 4145억원), 지난해 2월 아랍에미리트 두바이를 거점으로 하는 글로벌 암호화폐 거래소 바이비트를 상대로 약 15억달러(약 2조원)의 가상자산을 빼냈다. 그리고 올해 바이낸스를 상대로 약 8조원을 뜯어냈다.

2023년 수백억원대 해킹에 그쳤다면, 2024년 수천억원, 2025년 수조원대로 해마다 사이버 약탈 능력을 10배 이상씩 늘려나간 셈이다. 이런 추세라면 내년에는 수십조원대, 내후년에는 수백조원대 해킹도 불가능하지 않을 전망이다.

이들은 업체 내부 관계자의 신뢰를 악용하는 사회공학적 기법을 사용하는 것으로 알려졌다. 피해자가 속임수에 넘어가 악성 프로그램을 실행하면 해당 기기 접근권을 얻고, 이를 발판으로 내부 시스템에 침투해 본격적인 해킹에 나서는 식이다.

트레이더트레이터라는 이름 자체도 거래자(trader)를 배신자(traitor)로 만드는 이들 특유의 해킹 방식에서 유래했다. 이름에서 알 수 있듯, 트레이더트레이터는 별도의 독립적인 해킹 조직이 아니라, 특별한 공격 수법을 가리키는 명칭에 가깝다.

이들은 널리 알려진 북한 해킹조직 라자루스와 연관된 것으로 추정된다. 북한에는 라자루스를 비롯한 6개 이상의 해킹 조직이 글로벌 무대에서 활동 중인 것으로 파악된다.

대한민국 정부는 2023년 2월 사이버 활동을 통해 북한 핵과 미사일 개발 자금을 조달하는 개인 4명과 기관 7개를 제재 대상으로 처음 지정한 바 있다. 우리 정부가 취한 사이버 분야 최초의 독자적 대북제재 조치였다.

제재 대상인 개인 4명은 박진혁, 조명래, 송림, 오충성이었으며, 제재 대상이 된 7개 기관은 라자루스(Lazarus), 블루노로프(BlueNoroff), 안다리엘(Andariel), 조선엑스포합영회사, 기술정찰국, 110호연구소, 지휘자동화대학(미림대학)이었다.

7개 기관 중 미림대학은 해킹인력 양성기관이고, 그 외 6개는 모두 북한 인민군 정찰총국 산하 해킹 조직이다.

정찰총국은 2009년 2월, 기존 대남 공작기구였던 인민군 총참모부 정찰국, 로동당 작전부 및 대외정보조사부(35호실)가 통합된 군 소속 정보기관이다. 공교롭게도 정찰총국이 출범한 2009년부터 북한 사이버 공격 활동이 급물살을 탄다.

이 조직은 미국 국방정보국(DIA)이나 러시아 정보총국(GRU)과 대응된다. 우리의 정보사령부와 777사령부 등이 배속된 국방정보본부와도 유사한 조직으로 평가된다. 북한은 지난해 9월 기존 정찰총국을 정찰정보총국으로 확대 개편했다.

정찰정보총국은 1국(작전국), 2국(정찰국), 3국(해외정보국), 5국(대남 조정국), 6국(기술국), 7국(후방지원국) 등 총 6개 활동 부서로 구성된다.

이 중에서 사이버공격을 담당하는 부서는 3국이며, 121국(사이버전지도국)으로도 불린다. 평양 대동강 유역 무신동 지역에 본부를 두고 있는 것으로 파악된다.

3국, 즉 121국의 산하 조직인 110호 연구소(컴퓨터기술연구소)가 라자루스, 블루노로프, 안다리엘, 김수키(또는 탈륨) 등의 활동 근거지로 알려져 있다. 이들은 앞서 한국 정부가 처음 취한 독자적 대북제재의 대상과 대부분 겹친다.

기존 정찰총국에서는 공작원 양성 및 침투, 정보 수집, 요인 암살, 납치 등 특수 임무를 수행한 것으로 알려져 있다. 정찰총국 전신 시절, 1968년 울진·삼척 무장공비 침투사건, 1996년 강릉 무장공비 침투사건 등을 벌였다.

2010년 3월 천안함 피격, 2010년 11월 연평도 포격, 2015년 DMZ 목함지뢰 매설, 2017년 김정남 피살 등의 사건 등도 모두 정찰총국의 소행으로 드러났다.

그밖에 2024년 10월 우크라이나 전쟁에 파병된 북한군도 정찰총국 산하다.

북한 최초의 사이버 공격은 2009년 7월 7일 한국과 미국의 주요 기관 35개 웹사이트에 대한 디도스 공격이었다. 이후 4차례에 걸친 대남 사이버 공격으로 정부기관을 비롯한 68개 주요 웹사이트가 장애를 일으켰다.

이러한 디도스 공격은 2011년 4월 농협 금융전산시스템 공격으로 영역을 넓혔고, 2013년 3월에는 KBS, MBC 등 국내 언론사도 공략 대상으로 삼았다.

2014년 12월에는 국내 한국수력원자력 해킹에 이어 미 영화사 소니픽처스를 해킹하는 등 글로벌 무대로 본격 진출, 세계적 주목을 받았다. 당시 소니픽처스는 김정은 북한 국무위원장 암살을 다룬 영화 ‘인터뷰’ 개봉을 앞두고 있었다. 소니픽처스는 해킹 피해로 1000억원대의 손실을 입은 것으로 알려졌다.

2015년 10월에는 서울 지하철 해킹에 이어 청와대를 비롯한 외교안보 부처 해킹 시도가 있었다.

2016년 1월 6일, 북한의 4차 핵실험은 북한의 사이버 공격 행태에 일대 전환을 가져온 획기적 사건이었다.

이때 이후부터 북한 정찰총국이 주도하는 글로벌 사이버 공격의 전략적 목표는 국제사회의 대북제재로 야기된 외화부족 타개 및 핵과 미사일 개발자금 확보로 전면 전환되는 양상을 보였다.

북한은 4차 핵실험 이후 2017년 11월 화성-15형 대륙간탄도미사일(ICBM) 발사에 성공하며 ‘국가핵무력완성’을 선언할 때까지 총 3차례의 핵실험(4차, 5차, 6차)과 44차례의 각종 탄도미사일 시험발사를 실시해 국제사회로부터 강력한 제재를 피할 수 없는 처지에 놓였다.

유엔 안전보장이사회는 북한의 핵·미사일 개발 중단을 위해 결의안을 10회 가결시켰다.

이에 북한은 2016년 방글라데시 중앙은행을 상대로 8100만달러(약 1100억원) 규모 해킹을 주도했다. 2017년 2월 국내 가상화폐거래소 빗썸을 해킹해 700만달러(약 93억원)를 탈취했다.

이들은 이후 공격을 추가로 4차례 이어가 빗썸 피해액은 총 6500만달러(약 870억원)에 달한 것으로 알려졌다. 국내 공격 성공에 이어 해외 공략에도 가속도가 붙었다.

2017년 5월에는 전 세계 150여개국 금융기관을 상대로 ‘랜섬웨어’ 공격을 가했고, 이를 계기로 국제사회는 북한의 사이버 위협을 중대한 국가안보 위기로 여기게 됐다.

2019년 11월에는 국내 가상화폐거래소 업비트를 공격해 560억원의 손실을 끼쳤고, 2020년 9월엔 슬로바키아 가상화폐거래소 해킹에 나서 약 540만달러(약 72억원)를 벌어들였다.

2021년 상반기에는 국내 한국항공우주산업(KAI), 한국원자력연구원 등을 해킹 공격하고, 같은 해 4월 미 캔자스주와 플로리다주 소재 병원을 랜섬웨어로 공격해 50만달러(약 6억7000만원)를 빼내가기도 했다.

2022년 3월에는 블록체인 기반 게임 ‘액시 인피니티’를 상대로 당시 역대 최대 규모인 6억1500만달러(약 8235억원)를 해킹한 것으로 나타났다.

미 FBI는 이런 사건 배후에 북한의 해킹 조직 라자루스가 있다고 밝혔다. 라자루스는 2014년 소니픽처스 사건, 2017년 랜섬웨어 사건 배후로도 지목된 바 있다.

라자루스는 트레이더트레이터, APT38, 블루노로프, 히든 코브라, 가디언스 오브 피스(평화의 수호자) 등 다양한 별칭으로 불린다. 다시 말해, 실체가 정확히 파악되지 않았다는 의미다.

2007년 정찰총국 산하에 창설된 해킹 조직으로 전해지며, 수법이나 방식, 영역, 목적에 따라 다양한 별칭이 부여되는 것으로 보인다.

라자루스라는 명칭이 붙은 유래에 대해서도 해석이 분분하다.

‘라자루스’(Lazarus)는 성경에 등장하는 ‘나사로’의 영어 이름이다. 그가 죽은 지 나흘 만에 다시 살아났다는 점에서 ‘부활’이나 ‘소생’의 상징으로 여겨진다. 그래서 추적이나 제재에도 굴하지 않고, 끈질기게 활동을 이어가는 집단으로 해석되기도 한다.

그러나 이 명칭은 해외 보안업체가 북한의 해킹 행적을 추적하며 편의상 붙인 것에 불과하다.

2014년 소니픽처스 해킹 사건을 조사하던 보안업체 노베타가 2016년 발간한 보고서 ‘블록버스터 작전’에서 유래했다는 설, 소니픽처스 해킹 당사자의 아이디를 본따 명명됐다는 설, 게임 ‘디아블로’의 캐릭터 ‘라자루스’에서 따왔다는 설 등이 분분하다.

블루노로프와 안다리엘은 라자루스의 하위그룹으로 분류된다.

주로 금융기관이나 암호화폐 관련 해킹에 관여하는 특징을 보인다. 특히 블루노로프는 2016년 방글라데시 중앙은행 해킹의 주범으로 전해진다.

러시아 보안업체 카스퍼스키가 블루노로프의 금융기관 공격 양상을 분석하면서 라자루스와는 다른 별도의 해킹 조직이라고 판단해 해킹에 사용된 도구의 이름을 본따 블루노로프라는 명칭이 붙었다고 한다.

안다리엘은 게임 ‘디아블로’에 등장하는 지옥의 7악마 중 하나이기도 하다. 2008년부터 활동을 시작했으며, 무기와 군수품을 담당하는 방위산업체, 조선사 등 주로 국방 분야 기관을 공격 대상으로 삼았다.

라자루스는 금융, 안다리엘은 방산, 김수키는 정부기관 등으로 영역을 나눠 치밀하게 공조한 흔적이 엿보인다.

2010년부터 활동한 김수키는 러 보안업체 카스퍼스키가 북한 해커 김숙양의 이메일 계정을 통해 ‘김숙양’ 보고서를 발표한 것이 계기였다. 업체가 ‘Kimsukyang’에서 ‘ang’을 지우고 ‘Kimsuky’로 축약해 발표해 김수키가 됐다는 것이다.

김수키는 피싱 이메일 등 악성코드를 유포, 정보탈취 업무를 수행하는 것으로 알려졌다. 한·미·일 정부, 외교안보 싱크탱크 등에 대해 집중적으로 정보수집 활동을 벌여왔으며, 해킹 조직 ‘탈륨’과 동일한 조직인 것으로 추정된다.

북한 당국은 정찰총국이 관할하는 해킹 조직을 지속적으로 확대할 것으로 예측된다. 이를 위해 북한에서 가장 뛰어난 인재들을 선별해 해커로 양성하는 프로그램이 현재 본격 가동 중인 것으로 알려졌다.

김정은 위원장은 집권 초부터 사이버 전력과 핵·미사일 전력을 ‘양대 보검’이라고 강조해왔다. 김 위원장은 7월 향후 정찰정보총국의 직능과 임무를 확대하겠다고 밝히기도 했다.

북한의 사이버전 인력은 현재 최소 8400여명으로 추산된다.

군은 2016년부터 2022년까지 ‘국방백서’에서 북한 사이버전 인력을 6800여명으로 기술했지만, 국가정보원 등 정보당국은 2024년을 기점으로 8400여명으로 재평가했다.

김수한 기자

Google News 에서 헤럴드경제 팔로우