"협력업체까지…방산업체 10여 곳 털렸다" 北 기술 탈취 해킹주의보

[이데일리 손의연 기자] 라자루스·안다리엘·김수키 등 북한 해킹 조직이 국내 방산업체 10여 곳에 침투해 정보를 빼내간 것으로 확인됐다. 경찰은 국가사이버위기관리단과 공조해 북한 해킹 조직들이 국내 방산기술을 탈취하기 위해 전방위적으로 공격하고 있는 것을 파악하고 보안 조치를 취했다.

안다리엘 해킹조직의 수법 (사진=경찰청)

경찰청 국가수사본부는 22일 서대문구 미근동 경찰청에서 백브리핑을 열고 지난 2022년 10월부터 2023년 7월까지 북한 해킹조직이 국내 방산업체에 여러 루트로 침투해 정보를 빼간 것을 확인했다고 밝혔다.

경찰은 △IP주소 △경유지 구축 방법 △공격에 사용한 악성코드 등 북한의 해킹 수법을 포착해 북한의 소행으로 판단했다.

경찰은 라자루스 경우 내외부망이 분리된 피해 업체의 관리 소홀을 틈타 해킹 조직이 내부망에 침입했다고 설명했다. 라자루스는 2022년 11월부터 A 방산업체의 외부망 서버를 해킹해 악성코드에 감염시킨 후 테스트 목적으로 열려 있는 망 연계 시스템의 포트를 통해 내부망까지 닿았다. 라자루스는 개발팀 직원 컴퓨터 등 내부망의 중요자료를 수집해 국외 클라우드 서버로 자료를 빼돌린 것으로 드러났다.

피해 업체와 국외 클라우드 서버 등을 분석해 총 6대의 내부망 컴퓨터에서 자료가 유출된 것으로 확인됐다.

안다리엘 경우엔 B 방산 협력업체를 대상으로 삼았다. 안다리엘은 2022년 10월부터 방산 협력업체의 서버를 유지 보수하는 업체 직원의 계정을 탈취해 악성코드를 감염시켜 자료를 빼돌렸다. 이는 보수 업체 직원의 이메일 계정정보를 해킹해 가능했다. 일부 직원들이 상용 이메일 계정과 사내 업무시스템 계정을 같이 사용하는 허점을 노렸다.

김수키 역시 사내에서 사용하는 그룹웨어 전자우편서버의 취약점을 악용했다. 김수키는 2023년 4~7월 C 방산 협력업체의 전자우편 서버를 통해 기술자료를 탈취했다. 외부에서 전자우편으로 송수신한 대용량 파일을 로그인 없이 다운로드할 수 있는 점을 이용했다.

경찰은 이번에 파악한 사건들을 통해 북한 해킹조직이 ‘방산기출 탈취’라는 공동 목표를 설정해 해킹 총력전을 벌이고 있는 것으로 보고 있다. 특히 방산업체뿐만 아니라 협력업체들로 범행 대상의 폭이 넓어지고 있는 추세다.

경찰 관계자는 “해당 업체들은 경찰이 찾아갈 때까지도 해킹당한 사실을 모르고 있었다”며 “향후 협력업체들도 보안 조치를 강화할 필요성이 떠올랐다”고 설명했다.

경찰은 업체들이 입은 정확한 피해 규모를 파악하고 있다. 경찰은 방산기술을 빼돌리려는 북한의 해킹 시도가 계속될 것으로 보고 대응할 방침이다.

경찰청 관계자는 “방산업체 뿐만 아니라 협력업체에 대해서도 내외부망 분리, 전자우편 비밀번호의 주기적인 변경과 2단계 인증 등 계정 인증 설정, 인가되지 않은 아이피(IP) 및 불필요한 해외 아이피(IP) 접속 차단 등의 보안 조치를 강화해 달라”며 “추적 수사를 하는 한편 사이버 공격 동향과 대응 사례를 방위사업청, 국가사이버위기관리단 등 관계기관과 적극적으로 공유해 국가안보의 위협에 선제적으로 대응할 예정”이라고 밝혔다.