코드가 아니라 사람을 노린다
북한 해킹 조직이 소프트웨어 개발자를 겨냥한 수법을 고도화하고 있습니다. 슬로우미스트 보안운영 책임자 리사 자오는 "이들은 코드가 아니라 사람을 공격한다"고 말했는데요. 2025년 조사 사례를 보면 공격자들은 개발팀을 사칭해 수정과 보수를 제안하거나, 선금을 주겠다거나 투자자인 척 시험을 요청하며 신뢰를 쌓았습니다.
악성코드는 실제 공개된 오픈소스 프로젝트 안에 숨어 있었습니다. 개발자가 코드를 고치거나 작동을 시험하는 순간 함께 실행되는 구조입니다. 보안 의식이 높아 격리 환경을 쓰는 직원에게는 설정 변경을 유도해 보호 기능을 약화시켰습니다. 침투한 컴퓨터는 내부망으로 들어가는 발판이 됐고, 공격자는 인증 정보를 훔치고 자금 관리 시스템 접근을 넓혔습니다.
피해를 키운 건 기술보다 심리였습니다. 피해 직원이 실수를 인정하기 두려워 기록을 지우거나 신고를 늦추면서 조사와 증거 확보가 어려워졌다는 설명입니다.
산업화된 가상화폐 탈취
이런 공격이 반복되는 배경에는 자금줄이 있습니다. 지난해 북한 해커들이 가로챈 가상화폐는 20억 달러 규모로, 전 세계 탈취액의 60%에 달합니다. 2017년부터 2023년까지 북한 소행으로 추정되는 공격은 58건, 피해액은 30억 달러로 집계됐습니다.
전문가 패널은 탈취 자금이 북한 외화 수입의 절반, 무기 개발 비용의 40%가량을 충당한다고 봅니다. 제재로 고립된 상황에서 정권 유지 자금을 확보하려 해커를 집중 육성해 온 결과라는 평가입니다. 평양 모란봉대학이 해킹과 암호 해독을 결합한 5년제 과정을 운영한다는 점도 함께 거론됩니다.
AI가 넓힌 공격의 범위
최근의 변화는 속도와 규모입니다. 슬로우미스트 창업자 위셴은 AI 덕분에 과거 510곳을 겨냥하던 조직이 이제 50100곳을 동시에 노릴 수 있다고 내다봤습니다. 마이크로소프트도 여러 북한 조직이 채용 자료와 가짜 신원 생성, 악성코드 개발에 AI를 활용한다고 분석했습니다.
바이낸스 사건의 배후를 두고는 시각차가 남아 있습니다. 슬로우미스트는 탈취 자금과 페멕스 사건 연루 주소의 연관성을 찾았고, TRM랩스는 과거 사건 유사성을 근거로 트레이더트레이터를 지목했습니다. 일본 경찰청은 이 조직을 라자루스 일부로 분류한 바 있습니다. 반면 바이낸스는 북한 개입을 확인하지 않았다며 수사기관 협력과 이용자 피해 보전 방침을 밝혔습니다.