#. A씨는 경찰청 사이버 안전국으로부터 이메일을 받았다. 이메일 발송자는 A씨가 발송한 메일이 법령 위반의 우려가 있고, 경우에 따라서 법적 책임을 부담할 수 있다고 경고했다. 그러면서 A씨에게 스팸메일을 발송한 적이 없다면 아이디를 도용당했을 가능성이 있다고 자세히 설명한다. 그리고 마지막에 '자세한 내용은 첨부화일로 보내드립니다'라며 악성 프로그램을 포함한 첨부파일 클릭을 유도했다.

#2. B씨는 통일 관련 한 연구원으로 부터 "OOO 차장님께. 오류가 있어 최종 다시 보내드립니다. 이것으로 해주시기 바람니다. 번거롭게 해서 죄송합니다'라는 내용의 이메일을 받았다. 이메일에는 피싱 사이트로 링크되는 파일이 참부돼 있었다.

북한 해킹조직 '김수키'가 국내외 500여개의 경유 서버를 장악해 다수의 내국인 이메일 계정을 탈취한 것으로 드러났다. 특히 김수키는 공격 대상을 일반인까지 확대했으며 개인정보에 이어 가상자산 탈취까지 시도한 것으로 나타났다.

경찰청 국가수사본부는 김수키의 활동 내용을 추적·수사한 결과 내국인 1468명의 이메일 계정이 탈취된 사실을 확인했다고 21일 밝혔다.

피해자에는 전직 장관급 1명을 비롯해 외교·통일·국방·안보 분야의 전·현직공무원 등 전문가 57명이 포함됐다. 또 회사원·자영업자·무직자 등 다양한 직군의 일반인 1411명도 피해를 봤다.

지난해 해킹 당시 피해자가 49명이었고 외교·안보 분야 전문가만 해당했던 것과 비교하면 공격 대상이 약 30배로 늘었다. 특히 공격 대상이 특정 분야 종사자에 국한되지 않고 전방위적으로 확산되고 있다는 것이 경찰의 분석이다.

김수키는 국내외 서버 576대(43개국, 국내 194대)를 경유하며 IP주소를 바꾼 뒤 정부기관·기자·연구소 등을 사칭해 안내문이나 질의서 등으로 위장한 피싱 이메일을 발송했다.

예를 들어 특정 분야 전문가들을 대상으로 방송 매체 기자를 사칭해 인터뷰를 요청하는 등의 내용을 담고 있다.

수신자가 이메일에 첨부된 파일을 열람하면 PC 내부의 정보를 유출할 수 있는 악성 프로그램을 심었다.

이런 식으로 아이디와 비밀번호를 가로채 피해자의 이메일 계정에 부정 접속해 내용을 들여다보고 주소록, 첨부파일 등의 자료를 빼냈다. 다만 탈취된 정보 중에 기밀자료는 없는 것으로 확인됐다.

또한 경찰은 김수키가 피싱 이메일에 포함된 인터넷주소(URL)를 누르도록 유인하는 사례도 확인했다. 이 경우 피해자가 신뢰할 수 있는 기관이나 정보 망라 누리집(포털사이트)을 모방한 가짜 누리집으로 접속을 유도하는 수법도 이용해 계정정보를 탈취하고 있는 것으로 나타났다.

특히, 북한 해킹조직은 사칭 전자우편 수신자의 소속기관 누리집을 제작해 접속을 유도하며 피해자별로 특화된 공격을 전개하는 등 범행 수법은 더욱 교묘해지고 있다.

경찰은 해킹 공격 대상이 확대되고 수법이 진화한 이유는 가상자산을 노리고 있기 때문으로 분석했다.

김수키는 사칭 이메일 피해자 중 19명의 가상자산거래소 계정에 부정 접속해 가상자산 절취를 시도했다. 그러나 엄격한 보안 절차 탓에 실제 빼돌리는 데는 성공하지 못했다.

해킹으로 장악한 경유 서버 147대에서 가상자산 채굴 프로그램을 관리자 몰래 실행해 100만원 미만을 채굴한 사실도 확인됐다.

경찰은 북한 해킹조직으로 인한 피해를 막기 위해 외교부 등 관계기관 및 미국 정부, 유엔 등과 정보를 공유하고 협력하고 있다고 밝혔다.

아울러 한국인터넷진흥원과 협력해 북한 해킹조직이 운영하는 피싱 사이트를 차단하고 국가사이버위기관리단 등 관계기관에 북한 해킹조직의 경유 서버 목록 등 관련 정보를 제공했다.

경찰 관계자는 "북한 해킹조직의 공격이 전방위적으로 확대되는 만큼 추가적인 피해가 발생하지 않도록 인터넷 사용자의 주의가 필요하다"며 "이메일과 가상자산거래소 계정의 비밀번호를 주기적으로 변경하고 2단계 인증 및 일회용 패스워드(OTP) 설정, 해외 IP 접속 차단 등 보안 설정을 강화해달라"고 당부했다. 이어 "앞으로도 조직적 사이버 공격을 지속해서 탐지·추적함과 동시에, 관계기관과 긴밀히 협력하며 피해 방지를 위해 노력해 나갈 계획"이라고 강조했다.