北해커 놀이터 된 韓…환자 정보까지 털렸다

북한 해커들이 군사·방위산업 기밀을 넘어 환자 정보가 모이는 병원, 신약 기술을 보유한 제약회사, 수많은 이용자가 접속하는 언론사까지 공격 범위를 넓히고 있다. 정보와 시스템이 집중된 곳을 먼저 뚫어 연계된 기관으로 침투하는 수법이다. 북한발 사이버 공격의 안전지대가 사라지고 있다는 우려가 나온다.

◇군사·방산 넘어 병원·언론사까지

20일 경찰청에 따르면 북한 소행으로 의심되는 국가 배후 해킹조직은 지난 4월 국내 언론사 서버 관리업체와 병원, 제약회사 등을 잇달아 공격했다. 서울청을 비롯한 전국 시·도 경찰청에서 관할 기관들을 나눠 수사하고 있다. 경찰은 해당 조직이 북한 정찰총국 산하 해킹 조직인 라자루스일 가능성을 열어두고 수사하고 있다. 경찰은 북한 해킹조직이 반복적으로 사용하는 공격 패턴과 악성코드, 명령어 등에서 단서를 찾는다.

이번 공격 대상은 민감한 정보가 집중되거나 다수 이용자와 연결된 곳이라는 공통점이 있다. 병원에는 환자 개인정보가, 제약·바이오회사에는 신약 관련 자료가 축적돼 있다. 언론사 역시 불특정 다수가 접속하는 만큼 공격에 따른 피해가 광범위하게 확산될 수 있다.

과거 북한 해킹조직은 군사·방산 기밀과 대북·외교 정보를 빼내는 데 주로 집중했으나 이제는 특정 분야를 가리지 않고 전방위적 공격에 나서고 있다. 북한 해킹조직은 2021년 서울대병원을 공격해 환자와 전현직 직원 등 약 83만 명의 개인정보를 탈취했다.

2022년에는 라자루스가 국내 언론사 8곳을 포함한 61개 기관의 컴퓨터 207대에 악성코드를 심었다. 이용자가 해킹당한 언론사 홈페이지에 접속하기만 해도 악성코드에 감염되도록 했다. 공격 대상에는 의료·바이오업체와 방산업체, 공공기관도 포함됐다.

◇한 곳 뚫으면 줄줄이…‘정보 길목’ 노려

북한은 최근 개별 기관이나 관계자를 노리는 데서 더 나아가 ‘정보 거점’을 공략하는 방식으로 공격 범위를 넓히고 있다. 한 곳을 뚫으면 다수 기관의 정보에 접근하거나 추가 공격의 발판을 마련할 수 있는 소프트웨어 공급망과 대학, 연구기관, 개발 환경 등이 주요 표적으로 떠오르고 있다.

북한 해킹조직 김수키의 공격이 대표적이다. 지난해에는 CJ올리브네트웍스의 디지털 인증서를 탈취, 이를 이용해 한국기계연구원 침투를 시도한 정황이 포착됐다. 또 국내 사이버보안 업체 엔키화이트햇은 김수키가 지난해부터 올해 초까지 국내 그룹웨어 개발사의 외부망 서버를 취약점 공격과 스피어피싱 등으로 장악한 뒤 내부망까지 침투한 사실을 확인했다고 밝혔다.

라자루스 역시 최근 소프트웨어 개발자를 비롯해 깃(Git)과 젠킨스(Jenkins) 등 소프트웨어 개발·배포 시스템까지 공격 대상으로 삼고 있다. 이들 시스템에는 소스코드뿐 아니라 계정과 인증정보, 배포 권한 등이 집중돼 있어 한 번 침투하면 추가 공격으로 이어질 가능성이 크다. 보안업계에서는 북한 해킹조직이 정보가 몰리는 길목을 선점해 공격 효율을 높이는 방향으로 수법을 고도화하고 있다고 보고 있다.

해킹 전문업계 관계자는 “최근 북한은 수많은 개발자가 사용하는 ‘원천’을 노려 공격 효과를 키운다”며 “한 번 침투하면 대량의 민감정보를 확보할 수 있는 언론사와 병원, 기술기업 등이 주요 표적이 되는 것으로 보인다”고 말했다.

우연수/최영총 기자 coincidence@hankyung.com