‘방첩사 계엄 문건’ 피싱 메일 추적하니…“북한 소행”

지난해 12월 비상계엄 선포 후 국군방첩사령부에서 작성한 계엄 문건을 사칭한 파일을 첨부해 정보를 탈취하려 한 '피싱 메일' 발신지를 경찰이 추적한 결과 북한 소행인 것으로 드러났습니다.

경찰청 국가수사본부는 오늘(15일) 브리핑을 통해 '방첩사 작성한 계엄 문건 공개'라는 제목으로 발송된 피싱 메일을 보낸 건 북한 해커인 것으로 파악했다고 밝혔습니다.

비상계엄 문건을 사칭한 피싱 메일이 발송됐다는 KBS 보도를 보고 수사에 착수한 경찰은 북한 해킹 조직이 지난해 11월부터 올해 1월까지 방첩사 계엄 문건을 포함해 공연 예매, 세금 환급, 오늘의 운세 등 30종 피싱 메일을 보내 개인 정보를 탈취하려 한 사실을 확인했습니다.

메일에는 악성 코드가 포함된 계엄 문건 파일이 첨부돼 있거나, 개인 정보를 요구하는 피싱 사이트로 연결되는 링크가 담겨 있었습니다.

이 같은 피싱 메일은 17,744명에게 126,266회 발송된 거로 경찰 조사 결과 드러났습니다. 보내진 메일 가운데 7,771건은 실제로 열람됐고, 그중 120명은 피싱 사이트에 접속해 아이디와 비밀번호를 입력한 것으로 나타났습니다.

개인정보를 입력한 사람은 계정 정보와 메일, 연락처 정보 등을 탈취당했는데, 중요 보안 자료가 유출되거나 금전적 피해가 발생하지는 않은 거로 경찰은 파악하고 있습니다.

경찰은 해당 메일이 발송된 서버 15개를 추적한 결과, 기존 북한발 해킹 사건에서 파악된 서버를 재사용한 점, 범행 근원지 IP 주소가 북중 접경지에 할당된 점, 인터넷 검색 기록과 코딩 주석 등에서 '포구'(포트), '페지'(페이지), '기동'(동작), '현시'(디스플레이에 출력) 등 북한식 어휘가 확인된 점 등을 근거로 북한 소행임을 확인했다고 밝혔습니다.

다만, '라자루스'나 '김수키' 등 기존에 알려진 북한 해킹 조직과의 연관성은 찾지 못했다고 덧붙였습니다.

경찰은 그간 북한 해킹 조직이 주로 외교, 안보, 통일 분야 전문가 등을 겨냥해 맞춤형 피싱 메일을 보냈던 것과는 달리, 이번에는 외교 안보 전문가를 포함해 불특정 다수에게 광고성 메일을 대량으로 보낸 것이 특이한 점이라고 설명했습니다. 메일을 발송하기 위한 '자동화 프로그램'도 고도화됐다고 경찰은 덧붙였습니다.

이번 수사를 총괄한 김영운 경찰청 사이버테러수사대장은 "메일을 확인할 때는 한 번 더 의심하고 주소를 확인하고, 발신자에게 확인해 보는 절차를 거치기를 권유한다"고 당부했습니다. 특히, "대부분 포털 사이트에서 제공하는 '2단계 인증'을 사용하면 로그인 시에 휴대전화를 입력하는 등의 추가 절차를 거치게 돼 있어 피해 예방에 도움이 된다"고 설명했습니다.

[사진 출처 : 연합뉴스 / 경찰청 제공]