AI로 고도화된 北 해커⋯이번엔 韓 정부 공격 정황도

▲오픈AI 달리로 생성한 이미지 (오픈AI '달리'·이은주 기자 letswin@)

북한 해커들이 한국 정부기관과 주요 기업을 해킹한 정황이 확인됐다. 여기에 더해 해외 IT 기업에 위장 취업해 가상자산을 탈취하고 군사기술까지 빼내는 등 사이버 공격 수법을 전방위로 넓히고 있다.

12일(현지시간) IT 매체 테크크런치에 따르면, ‘세이버(Saber)’와 ‘사이보그(cyb0rg)’라는 닉네임의 해커 2명은 ‘김’(Kim)으로 불리는 조직원의 컴퓨터에 침투한 뒤 확보한 자료를 공개했다. 이들은 '김'은 북한 해킹조직 ‘김수키’ 소속이라고 특정했다.

해당 자료엔 한국 정부기관과 기업을 공격한 기록, 이메일 주소, 해킹 도구, 내부 매뉴얼, 비밀번호 등이 포함됐다. 구체적인 피해 대상은 공개되지 않았으나, 두 해커는 “김수키가 중국 정부 해커와 기술·도구를 공유하며 긴밀히 협력해 왔다”는 분석을 덧붙였다.

북한 해커들이 해외 IT 기업에 위장 취업해 정보를 빼내는 사례는 꾸준히 반복되고 있다. 지난달 미국 법무부는 김광진·강태복·정봉주·장남일 등 북한 국적 해커 4명을 기소했다. 이들은 본인 신분을 은폐하고 ‘재택 근무’ 조건으로 미국 IT기업에 고용된 뒤, 원격 접속 환경인 ‘노트북 농장’을 다수 운영하며 가상자산 탈취와 세탁에 관여한 혐의를 받고 있다.

수사 결과, 이들은 AI와 딥페이크 기술을 활용해 포춘 500대 기업과 방위산업체 등 100여개 기업의 채용 절차를 통과했으며, 이를 통해 최소 500만 달러(약 66억 원) 규모의 가상화폐를 북한으로 송금한 것으로 드러났다. 일부 기업에서는 국제무기거래규정(ITAR) 대상 군사기술 유출 정황도 확인됐다.

미국 수사당국은 애틀랜타를 포함한 16개 주 전역에서 총 29곳의 노트북 농장을 적발하고, 불법 자금 세탁에 쓰인 계좌 29개와 불법 웹사이트 21곳을 동결했다. 압수된 노트북만 200대에 달한다.

이에 대해 구글 클라우드 위협 인텔리전스 그룹의 존 헐트퀴스트 수석 애널리스트는 “북한 IT 인력은 신중한 채용 프로세스를 갖춘 조직에 의해 쉽게 발각되고 있어, 조직 또한 자사의 채용 프로세스를 면밀히 점검하는 것이 중요하다”고 말했다.

북한 해커들은 인공지능(AI)으로 사이버 공격 수법을 고도화하고 있다. 글로벌 보안기업 크라우드스트라이크의 ‘2025년 위협 헌팅 보고서’에 따르면, 북한 해커 그룹 ‘페이머스 천리마(FAMOUS CHOLLIMA)’는 생성형 AI(GenAI)를 활용해 침투 전략의 정교함을 높이고 있다.

이들은 생성형 AI로 실제보다 매력적인 이력서를 자동 작성하고, 화상 면접에서는 실시간 딥페이크 기술로 얼굴과 목소리를 조작했다. 내부에 잠입한 뒤에는 AI 코딩 툴을 이용해 실제 직원처럼 업무를 수행하는 등 은밀하게 기업 시스템을 장악했다.

이 같은 수법으로 페이머스 천리마는 지난 12개월간 320개 이상의 기업에 침투했으며, 이는 전년 대비 220% 늘어난 수치다. 크라우드스트라이크는 “이러한 공격은 기존 보안 체계로 탐지·차단이 어렵고, 전통적인 방어 모델에 근본적인 도전을 가한다”고 경고했다.

한 보안 업계 관계자는 “원래부터 북한, 중국 등 국가 배후의 사이버 공격은 계속 증가해왔다”며 “AI를 활용한 사이버 공격들도 늘어나 탐지나 대응이 어려워지고 있다”고 말했다.