[이슈밸리=권동혁 기자] 국내 외교·안보 분야 관계자들에게 유포 된 '피싱 메일'이 북한 해킹조직 '김수키'의 소행인 것으로 밝혀졌다.
경찰청 국가수사본부는 김수키가 지난해 4∼8월 남한 외교·안보 전문가 150명에게 피싱 사이트 접속을 유도하는 악성 전자우편을 발송했다고 8일 밝혔다.
실제 피싱 사이트에 접속해 계정정보를 뺏긴 피해자는 전직 장·차관급 3명과 현직 공무원 1명, 학계·전문가 4명, 기자 1명 등 모두 9명으로 확인됐다.
김수키는 2014년 한국수력원자력 해킹 사건으로 유명세를 산 북한 해킹조직인데 우리 정부는 지난 2일 김수키를 독자 대북제재 명단에 올린 바 있다.
김수키는 전직 고위 공무원 등 피해자들의 메일 송·수신 내역을 2∼4개월간 실시간 모니터링하며 첨부문서와 주소록 등을 빼낸 것으로 조사됐다. 경찰은 다만 탈취된 정보 중에 기밀자료는 없는 것으로 확인됐다고 전했다.
김수키는 남한 내 36개, 국외 102개 등 모두 138개 서버를 해킹으로 장악한 뒤 인터넷 프로토콜(IP) 주소를 세탁해 피싱 메일을 발송했다. 해킹한 서버를 악성 전자우편 발송, 피싱 사이트 구축, 탈취정보 전송 등 서로 다른 용도로 사용해 추적을 교란하기도 했다.
경찰과 국가정보원은 피싱 메일 5800여개 분석으로 공격 근원지 IP 주소와 경유지 구축 방식 등을 확인한 끝에 김수키를 범행 주체로 지목했다.
경찰은 이번 수사로 김수키를 비롯한 북한 해킹조직의 새로운 4단계 공격수법을 파악했다고 밝혔다.
우선 교수나 연구원 등을 사칭해 책자 발간 또는 논문 관련 의견을 요청하는 메일을 보내 접근했고 이후 피해자가 답장을 보내면 본인 인증이 필요한 대용량 문서 파일을 첨부해 메일을 다시 발송했다.
피해자가 본인 인증을 위해 피싱 사이트에 접속하면 계정정보가 이들에게 자동으로 넘어갔다. 정보를 빼낸 뒤에는 감사하다는 내용의 답장을 발송해 의심을 차단했다.
경찰청 관계자는 "피해 사실을 인지하고 경찰이나 수사기관에 알린 피해자는 없었다"며 "경찰이 연락하기 전까지 대부분 피해를 당한 사실도 몰랐다"고 말했다.
