北 해킹조직, 가짜 구인공고로 57개국 1640곳 침투 정황...기업·기업 보안 경종

IT 전문 매체 와이어드닷컴(Wired.com)은 8월 6일(현지시간) 북한 연계 해킹 조직이 가짜 구인공고와 코딩 테스트를 활용해 전 세계 57개국 1640개 기업·기관에 영향을 미친 것으로 조사됐다고 보도했다. 개발자 채용 과정을 기업 내부 시스템으로 들어가는 통로로 악용하면서 개인 컴퓨터의 자격증명부터 클라우드 접근권한까지 노리는 새로운 사이버 공격 방식이 드러났다.

IT 전문 매체 와이어드닷컴(Wired.com)은 6일(현지시각) 그리스 보안업체 관계자의 말을 인용해 이같이 보도했다/

그리스 보안업체 쿠미오(Kumio)의 최고기술책임자(CTO) 반젤리스 스티카스는 약 22개월 동안 북한 연계 해킹 인프라를 추적한 결과 57개국 1640개 기업·기관이 영향을 받은 것으로 파악했다고 밝혔다.

이 가운데 700~800곳에서는 ‘심각한 침해’를 확인했다고 주장했다.
일부 침해 사례에서는 공격자가 서버의 루트(root) 권한과 아마존웹서비스(AWS) 접근권한을 확보한 것으로 조사됐다.

가상자산 관련 기업에서는 암호 키와 블록체인 시스템에 접근할 수 있는 권한까지 확보한 사례도 확인됐다고 스티카스는 설명했다. 한 개발자가 최대 30개 기업의 시스템에 접근할 수 있는 권한을 보유한 사례도 있었다고 밝혔다.


다만 1640곳이라는 전체 규모와 침해 수준은 추가 검증이 필요하다. 이번 조사는 사실상 스티카스의 분석에 기반하고 있으며, 그가 확인했다고 밝힌 약 5테라바이트(TB)의 데이터 전체가 공개된 것은 아니다.
일부 사례는 외부 기관이나 해당 기업을 통해 확인됐다. 벨기에 플랑드르 정부는 스티카스의 제보를 받은 뒤 영향을 받은 것으로 파악된 워크스테이션을 격리하고 관련 자격증명과 접근권한을 교체했다고 밝혔다.

일본의 컴퓨터긴급대응센터(CERT)도 관련 사례를 확인하고 기업의 대응을 지원한 것으로 알려졌다.

반면 기업들의 입장은 일치하지 않는다. 스티카스가 사례로 지목한 코인베이스는 관련 계약자를 조사했지만 북한 또는 북한 정부와 연계됐다는 증거를 찾지 못했다고 밝혔다.

보안상 우려를 확인해 계약을 종료했으며 고객 데이터나 민감정보가 노출되지 않았다는 입장이다.
보스턴 아동병원 역시 관련 사례가 병원 시스템이 아니라 전직 독립계약자의 개인 기기와 관련된 것이며 병원 시스템에 대한 무단 접근 증거는 확인하지 못했다고 밝혔다.

따라서 이번 조사의 1640곳을 모두 ‘해킹 피해 기업’으로 규정하기보다는 북한 연계 공격의 영향을 받았거나 침투가 확인된 사례를 포괄하는 수치로 볼 필요가 있다는 분석이다.


이번 사례가 주목받는 이유는 북한의 사이버 공격이 기업 네트워크뿐 아니라 인사·채용 프로세스까지 공격면을 넓히고 있다는 점이다.

공격자가 개발자 개인 PC를 장악한 뒤 기업 계정과 클라우드로 이동하면 기존의 네트워크 중심 보안만으로는 차단하기 어려울 수 있다.

마이크로소프트(MS)도 지난 3월 북한 연계 공격자가 가짜 개발자 채용과 기술면접을 이용해 악성코드를 유포하는 ‘컨테이저스 인터뷰(Contagious Interview)’ 공격을 경고했다.

MS는 코딩 테스트 등을 기업 내부망과 분리된 격리 환경에서 실행하고, 클라우드와 소스코드 저장소 등 주요 개발환경에는 다중인증(MFA)을 적용할 것을 권고했다.

한국 기업 역시 개발자와 프리랜서, 외부 협력업체에 소스코드와 클라우드 접근권한을 부여하는 만큼 채용과 외주 과정의 보안 검증을 강화할 필요가 있다.

특히 한 개발자 계정이 여러 기업의 시스템에 연결돼 있다면 개인 기기 하나의 침해가 복수 기업으로 확산될 가능성도 있다는 지적이 나온다.

이번 사례는 기업의 보안 경계가 방화벽과 서버를 넘어 ‘사람을 채용하는 과정’까지 확대되고 있음을 보여준다.


심완섭 글로벌이코노믹 기자 ciberwld@g-enews.com