한국을 노린 집중 공격
북한 해킹 조직들이 지난 1년간 한국을 주요 표적으로 삼아 총 86건의 지능형 지속 공격(APT)을 감행한 것으로 확인됐습니다. 안랩의 '2025년 사이버 위협 동향 및 2026년 전망' 보고서에 따르면, 북한계 해킹 조직들의 활동은 전체 APT 공격의 절반에 가까운 비중을 차지했는데요. 특히 라자루스가 31건, 김수키가 27건으로 가장 활발하게 활동하며 한국의 금융, IT, 국방, 가상자산 분야를 집중적으로 노리고 있습니다.
이들은 단순한 해킹을 넘어 체계적인 수익 창출 수단으로 사이버 공격을 활용하고 있습니다. 최근 발생한 업비트 해킹 사건에서 445억 원 상당의 가상자산이 유출된 것도 라자루스의 소행으로 의심되는데, 서명 과정 조작, 대규모 자산 이체, 이체 경로 분산 등 기존 전술과 유사한 패턴이 발견되고 있습니다.
진화하는 공격 기술
북한 해킹 조직들의 공격 기술은 날로 정교해지고 있습니다. 라자루스는 맥 OS와 리눅스까지 지원하는 멀티 플랫폼 악성코드를 개발해 공격 범위를 확대했는데요. 이들의 악성코드에는 키 로깅, 클립보드 감시, 암호화폐 지갑 정보 탈취 기능까지 포함되어 있습니다. '오퍼레이션 싱크홀'로 불리는 공격에서는 한국 내 IT, SW, 금융 등 최소 6개 조직이 침해당한 정황이 확인되기도 했습니다.
김수키는 사회공학적 기법을 활용한 스피어 피싱 공격에 특화되어 있습니다. 강연 의뢰서나 인터뷰 요청을 위장한 이메일을 발송하고, 러시아 도메인이나 한글 무료 도메인을 활용해 발신지를 숨기는 방식이 특징인데요. 최근에는 AI로 위조한 신분증까지 사용하며 공격의 신뢰도를 높이고 있습니다.
한국이 주된 표적이 되는 이유
한국이 북한 해킹 조직의 주요 표적이 되는 데는 여러 이유가 있습니다. 가장 큰 요인은 높은 IT 인프라 의존도와 활발한 가상자산 시장입니다. 디지털화가 빠르게 진행된 만큼 공격 표면이 넓고, 언어 장벽이 없다는 점도 북한 해킹 조직들에게는 유리하게 작용합니다. 정치·외교·안보 측면에서 가치 있는 정보가 많다는 점도 중요한 이유로 꼽힙니다.
안랩 보고서는 "한국은 2025년 아시아에서 가장 집중적인 사이버 공격을 받은 국가 중 하나"라고 지적합니다. 실제로 국내 정보보호 투자 비율이 상대적으로 낮고, 랜섬웨어 협상 시 비용을 지불하는 사례가 많아 북한에게는 매력적인 표적이 되고 있습니다.
내년 전망과 대응 방향
2026년에는 북한 해킹 조직들의 공격이 더욱 고도화될 것으로 예상됩니다. 클라우드 환경에서 리눅스 기반 서버를 노린 공격이 증가할 것이며, AI 기술을 활용한 맞춤형 공격도 본격화될 전망입니다. 특히 오픈소스 생태계를 통한 공급망 공격이 늘어나면서 기업들의 핵심 시스템까지 위협받을 가능성이 커지고 있습니다.
가장 우려되는 점은 국가 배후 APT와 민간 랜섬웨어 생태계의 융합입니다. APT의 고도화된 침투 기술과 랜섬웨어의 결합은 공격 성공률을 높이고 피해 규모를 확대할 뿐만 아니라, 공격 주체를 특정하기 어렵게 만듭니다. 이른바 '랜섬웨어 카르텔'이 정착될 경우 중소기업들의 피해가 급증할 것이라는 전망도 나오고 있습니다.
전문가들은 이러한 위협에 대응하기 위해 기업과 기관들이 메일 샌드박스 도입 확대, 다중 인증 적용 범위 확대 등 보안 체계를 재정비해야 한다고 조언합니다. 정부와 민간의 위협 정보 공유 체계를 더욱 세분화하고, 분야별 대응 매뉴얼을 보완하는 등 다층 방어망 구축이 시급한 상황입니다.