정상 웹사이트가 공격 통로로
카스퍼스키 글로벌 연구·분석팀이 '시큐리티 애널리스트 서밋 2026'에서 북한 연계 조직 라자루스의 '오퍼레이션 플래시홀'을 공개했습니다. 지난해 7월부터 확인된 작전으로, 국내 건설과 소프트웨어, 유선통신장비 제조 분야 최소 3개 기업이 표적이 됐습니다. 주목할 대목은 공격 통로로 쓰인 곳이 대한산부인과학회 홈페이지를 비롯한 국내 언론사와 건설사, 인테리어 업체의 웹사이트였다는 점입니다. 보고서는 이 주소들을 악성코드 '클라이언트허브'의 명령제어 서버로 분류했습니다. 정상 서비스처럼 보이는 통신으로 탐지를 피하려는 의도로 풀이됩니다. 다만 침해 시점과 범위, 회원 개인정보 유출 여부는 확인되지 않았고, 학회 측은 보안 업체와 함께 확인 중입니다.
사람을 노리는 수법
출발점은 맞춤형 피싱 메일이었습니다. 가짜 이력서와 포트폴리오 링크로 접근한 뒤 워터링 홀로 유인했고, 국내 온라인뱅킹에 쓰이는 보안 프로그램 '이니세이프 크로스웹 EX'까지 악용했습니다. 통신 암호화에는 양자내성 암호 ML-KEM-1024가 동원됐는데, 보안업계보다 앞서 이 기술을 공격에 도입한 사례로 평가됩니다. 최근에는 표적이 개발자로 옮겨가는 흐름도 뚜렷합니다. 슬로우미스트가 2025년 조사한 사례를 보면 공격자들은 개발팀을 사칭해 수정 보수를 제안하고 선금을 미끼로 내걸었습니다. 오픈소스 프로젝트에 악성코드를 심어두고, 격리 환경을 쓰는 개발자에게는 설정 변경을 요구해 보호 기능을 약화시켰죠. 기술이 아니라 사람의 신뢰를 뚫는 방식이라는 게 전문가들의 공통된 지적입니다.
산업이 된 가상화폐 탈취
종착지는 결국 자금입니다. 지난해 북한 해커들이 탈취한 가상화폐는 20억 달러로 전 세계 탈취액의 60%에 달하는 것으로 추정됩니다. 2017년부터 2023년까지 58건의 공격으로 30억 달러 피해가 집계됐고, 전문가 패널은 이 자금이 북한 외화 수입의 절반, 무기 개발 비용의 40%를 충당한다고 봅니다. 여기에 AI가 붙으면서 공격 규모 자체가 달라지고 있습니다. 마이크로소프트는 북한 조직이 AI로 가짜 신원과 채용 자료를 만들고 악성코드 개발에 활용한다고 분석했는데요. 슬로우미스트 창업자 위셴은 과거 510곳을 겨냥하던 조직이 이제 50100곳을 동시에 노릴 수 있다고 내다봤습니다. 63억 달러 규모로 알려진 바이낸스 사건의 배후 지목은 엇갈리지만, 방어 진영의 고민은 깊어지고 있습니다.