맞춤형 피싱 문서 수분 만에 수십 개…공격 생산성 변화

로컬 LLM·AI 코딩 도구까지 동원…공격 자동화 시도 확산

[강민지 제작] 일러스트

(서울=연합뉴스) 권하영 기자 = 북한 해킹 조직이 인공지능(AI)을 활용해 사이버 공격의 속도와 규모를 키우면서 기존 해킹의 생산 방식 자체가 달라지고 있다는 분석이 나온다.

과거 상당한 시간과 인력이 필요했던 맞춤형 피싱 문서 제작과 악성코드 개발 등의 업무에 AI가 투입되면서, 제한된 자원으로도 대규모 공격을 시도할 수 있는 환경이 조성되고 있다는 것이다.

◇ 맞춤 피싱 대량생산…북한 해킹조직 3곳 AI 활용 최고 단계

30일 보안 업계에 따르면 마이크로소프트(MS) 위협 인텔리전스가 최근 공개한 북한 해킹 조직의 AI 활용 실태는 이러한 변화를 보여주는 사례로 평가된다.

MS는 북한 해킹 조직 8곳의 AI 도입 수준을 분석한 결과, 3곳이 AI를 일상적인 공격 업무에 통합한 '운영 정착' 단계에 도달했다고 밝혔다. 이는 총 4단계 중 최고 단계 수준이다. 나머지 4곳은 AI 활용이 빠르게 확산하는 '가속', 1곳은 일부 업무에 AI를 도입한 '확대' 단계로 분류됐다.

특히 북한 해킹 조직 1곳은 올해 8~9월 한국 이용자를 겨냥한 맞춤형 PDF 유인 문서를 100개 이상 생성했다. 이 가운데 수분 만에 수십 개의 문서를 제작한 정황도 확인됐다.

과거에는 불특정 다수에게 동일한 내용의 피싱 메시지를 대량 발송하거나, 특정 인물을 겨냥해 별도의 미끼 문서를 정교하게 설계하는 '스피어피싱' 방식이 주로 활용됐지만, AI를 활용하면 공격 대상별 직업과 관심사, 업무 환경 등을 반영한 문서를 상대적으로 짧은 시간에 만들어낼 수 있다.

◇ 로컬 LLM부터 악성코드 개발까지…공격 전반에 AI 접목

북한 해킹 조직의 AI 활용은 단순한 문서 제작에 그치지 않고 있다. 공격에 필요한 정보를 분석하거나 악성코드를 개발하는 등 공격 업무 전반으로 적용 범위를 넓히려는 움직임도 포착된다.

앞서 국내 보안기업 지니언스[263860]는 지난 8월 북한 해킹 조직 김수키가 외부 AI 서비스에 의존하지 않고 자체적으로 운용할 수 있는 로컬 대규모언어모델(LLM)과 검색증강생성(RAG) 환경을 구축한 정황을 공개했다.

구체적으로 로컬 LLM 실행·관리 도구와 AI 에이전트 개발 환경을 구축한 흔적이 발견됐으며, AI 기반 코드 편집기 '커서(Cursor)'의 설치·사용 기록도 다수 확인됐다.

지니언스 시큐리티 센터는 이를 "탈취 문서 분석과 정보 추출, 공격 업무 자동화를 위한 시도"라며 "기존의 피싱 미끼 제작을 넘어 AI를 실제 공격 체계에 접목하기 위한 연구와 기술 검증이 이뤄지고 있다"고 분석했다.

MS의 이번 보고서에서도 비슷한 흐름이 확인된다. 북한 해킹 조직들이 커서 등 AI 코딩 도구를 활용해 코드 생성과 오류 수정, 탐지 회피 기술 개발 등을 지원받았을 가능성이 제기됐다. 공격에 에이전틱 AI 기반 침투 테스트 도구 '아르텍(ARTEX)'을 작전에 활용한 정황도 있었다.

이처럼 공격 준비부터 개발·실행에 이르는 전 과정에 AI가 투입되면 해커들이 반복 작업에 들이는 시간을 줄이고, 더 많은 공격을 시도할 여력이 생긴다. 특히 AI 코딩 도구는 코드 작성과 오류 수정에 필요한 부담을 덜고 공격자의 기술 역량을 보완하는 수단으로 활용될 수 있다.

[바이낸스 홈페이지 캡처. 재판매 및 DB 금지]

북한 해킹 조직의 위협은 실제 대규모 가상자산 탈취 사건에서도 드러났다.

미국 보안업체 TRM랩스는 30일 세계 최대 가상자산 거래소 바이낸스의 10개 블록체인 지갑에서 자금이 유출돼 역대 최대 규모로 꼽히는 약 63억6천만달러(약 8조5천억원)가 약 20분 만에 탈취됐으며, 북한 해킹 조직 '트레이더트레이터'가 배후라고 분석했다.

TRM랩스는 고객 출금 등을 처리하는 인터넷 연결 지갑인 핫월렛의 거래 서명 시스템 해킹 가능성을 제기했으며, 바이낸스는 개발·운영 담당 엔지니어의 노트북이 침해돼 공격자가 내부 환경에 접근했을 가능성을 제시했다. 다만 이번 공격에 AI가 활용됐는지는 아직 확인되지 않았다.

◇ 공격 효율 높아질수록 방어 부담 가중…행위 중심 탐지 중요

이처럼 공격의 생산성과 파급력이 높아질수록 가장 큰 문제는 방어 측의 부담도 커질 수 있다는 점이다. 공격자가 짧은 시간에 다양한 형태의 피싱 문서를 생성하면 기존의 문구나 형식에 의존하는 탐지 방식만으로는 대응에 한계가 있을 수 있다.

다만 AI 도입이 실제 공격 성공률을 얼마나 높였는지, 공격에 필요한 인력과 비용을 어느 정도 절감했는지는 아직 확인되지 않았다. MS 역시 북한 해킹 조직들이 완전한 자율 공격 단계에는 이르지 않았다고 평가했다.

보안업계에서는 AI로 정교해진 사회공학 공격에 대응하려면 문서의 외형뿐 아니라 악성 파일 실행과 비정상적인 시스템 동작 등 실제 행위를 중심으로 위협을 탐지하는 체계가 중요하다고 강조한다.

kwonhy@yna.co.kr

Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.