국정원·경찰청·KISA·금융보안원, 합동 사이버보안 권고문 발표

사회부 0 59 3시간전

“뉴스 사이트 접속만 해도 감염”…국가배후 해킹조직, 국민·기업 노린 공격 고도화

이력서·채용 제안 위장 피싱메일과 ‘워터링홀’ 공격 확산 경고

계정·고객정보·영업비밀 탈취 후 금전 요구와 협박으로 이어질 우려

[한국유통신문= 김도형 기자] 국가배후 해킹조직이 이력서와 채용 제안, 투자·기부 문의 등 일상적인 업무메일로 위장하거나 국민이 자주 이용하는 뉴스·병원 사이트를 해킹하는 방식으로 사이버 공격을 확대하고 있어 각별한 주의가 요구된다.

국가정보원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원은 안랩·에스투더블유·엔키화이트햇·플레인비트 등이 참여한 민·관 합동분석협의체와 함께 ‘국가배후 해킹조직의 우리 국민·기업 해킹 공격 주의 권고문’을 발표했다.

작성기관들은 최근 국가배후 해킹조직이 해킹메일과 워터링홀 공격을 통해 국내 국민과 기업을 지속해서 노리고 있다며 공격 방식과 예상 피해, 대응 방안을 공개했다. 특히 오래된 보안프로그램의 취약점과 결합할 경우 악성 링크를 누르거나 해킹된 웹사이트에 접속하는 것만으로도 악성코드에 감염될 수 있다고 경고했다.

“고연봉 채용 제안입니다”…신뢰를 파고드는 해킹메일

해킹조직이 가장 빈번하게 사용하는 수법은 수신자의 관심과 신뢰를 자극하는 사회공학적 해킹메일이다.

공격자는 기업의 채용공고를 보고 지원하는 것처럼 꾸민 뒤 이력서를 첨부파일이 아닌 외부 링크 형태로 전달한다. 링크는 해킹조직이 미리 개설한 블로그나 깃허브 페이지, 또는 공격자가 장악한 정상 웹사이트로 연결된다.

메일을 받은 사람은 실제 구직자의 지원메일이나 업무 제안으로 오인하기 쉽지만, 링크를 클릭하는 순간 오래된 보안프로그램의 취약점을 통해 악성코드가 설치될 수 있다. 외관상 정상적인 사이트로 연결되기 때문에 이용자가 위험을 알아차리기 어렵다는 점도 문제다.

‘고연봉 일자리 제안’이나 대기업 인사팀의 채용 제안으로 가장한 악성 첨부파일도 주요 공격 수법으로 지목됐다.

공격자는 실제 헤드헌터의 이메일 계정을 탈취해 메일을 발송하거나, 문서보안 프로그램과 뷰어가 포함된 채용제안서인 것처럼 압축파일을 첨부한다. 그러나 해당 파일에는 악성코드가 포함돼 있어 열람하는 즉시 감염될 수 있다.

평소 보던 뉴스 화면 그대로인데…접속만으로 악성코드 설치

더욱 위협적인 방식은 ‘워터링홀’ 공격이다.

워터링홀 공격은 공격 대상이 평소 자주 이용하는 뉴스·병원·기관 홈페이지 등을 먼저 해킹한 뒤, 해당 사이트 방문자를 감염시키는 수법이다. 사냥꾼이 먹잇감이 모이는 물가를 기다리는 방식과 유사하다는 데서 이름이 붙었다.

해킹조직은 방문자가 많은 정상 사이트의 소스코드를 변조하거나 악성코드를 은밀하게 삽입한다. 이후 이용자가 평소처럼 사이트에 접속하면 PC에 설치된 구형 전자서명·보안인증·키보드보안 프로그램 등의 취약점을 통해 악성코드가 자동으로 설치된다.

문제는 해킹된 사이트의 화면이 평소와 똑같고 별도의 설치 안내창도 나타나지 않는다는 점이다. 이용자는 감염 사실을 전혀 인지하지 못한 채 피해를 입을 수 있다.

권고문 4쪽에 수록된 공격 흐름도는 ‘뉴스·웹사이트 해킹→방문자의 사이트 접속→취약한 보안소프트웨어 탐지→접속만으로 감염’되는 과정을 단계적으로 보여준다. 최근에는 사이트 소스코드를 직접 변조하거나 악성코드를 숨기는 기술도 정교해져 기존 보안관제만으로 탐지하기가 더욱 어려워지고 있다.

비밀번호부터 고객정보·영업비밀까지 탈취

악성코드에 감염되면 피해는 단순한 PC 장애에 그치지 않는다.

먼저 크롬이나 엣지 등 웹브라우저에 저장해 둔 아이디와 비밀번호가 유출될 수 있다. 사용자가 직접 입력한 계정정보와 카드번호 등도 공격자에게 넘어갈 가능성이 있다.

PC 안에 저장된 문서와 사진, 연락처뿐만 아니라 사내 공용폴더와 내부 클라우드 자료도 유출될 수 있다. 화면 캡처나 메신저 감시 기능을 통해 사용자의 대화 내용과 업무 활동까지 실시간으로 들여다볼 수 있다.

감염된 PC가 같은 사무실이나 가정의 인터넷 공유기, 공용폴더와 연결돼 있다면 주변 PC로 악성코드가 연쇄 확산될 가능성도 있다.

기업의 경우 소스코드와 고객·인사정보, 내부 문서, 영업비밀과 계정정보가 탈취된 뒤 “돈을 주지 않으면 자료를 공개하거나 유포하겠다”는 협박으로 이어질 수 있다.

소프트웨어 최신화하고 브라우저 비밀번호 저장 자제해야

관계기관들은 개인 이용자에게 운영체제와 인터넷브라우저, 전자서명·보안인증 프로그램을 포함한 모든 소프트웨어를 최신 버전으로 유지할 것을 당부했다. 사용하지 않는 오래된 프로그램은 삭제하는 것이 안전하다.

중요 계정에는 일회용 비밀번호나 인증 앱을 활용한 2단계 인증을 적용하고, 웹브라우저에 비밀번호를 저장하는 습관도 자제해야 한다.

백신 프로그램의 실시간 감시 기능을 활성화하고 출처가 불분명한 메일의 첨부파일이나 링크를 열지 않는 것도 기본적인 예방수칙이다. 업무와 관련된 메일이라도 발신자가 제시한 연락처가 아닌 해당 기업의 공식 홈페이지나 대표전화로 사실 여부를 재확인해야 한다.

기업과 기관의 보안담당자는 조직 내 소프트웨어와 보안프로그램을 일괄 점검하고, 자산·패치 관리와 네트워크 분리, 접근통제 체계를 강화해야 한다.

중요 서버와 업무용 PC는 외부 인터넷과 물리적·논리적으로 분리하거나 인터넷 직접 접속을 제한하고, 시스템마다 서로 다른 비밀번호와 다중인증 방식을 적용할 필요가 있다. 워터링홀과 헤드헌팅 위장메일 사례를 중심으로 정기적인 보안교육과 모의훈련도 실시해야 한다.

홈페이지 운영자에게는 불필요한 포트와 서비스를 차단하고 관리자 페이지 접근을 통제하는 한편, 웹셸이나 미사용 관리자 계정, 임시파일을 정기적으로 찾아 제거하도록 권고했다. 홈페이지 변조와 악성 스크립트 삽입 여부를 상시 점검하고 웹 방화벽 운영과 접근기록 보관도 강화해야 한다.

소프트웨어 개발사 역시 신속한 보안패치 개발·배포 체계를 마련하고, 설계부터 구현·배포까지 개발 단계별 취약점 점검을 실시해야 한다. 오픈소스를 사용할 때는 알려진 취약점을 사전에 확인하고 소프트웨어 구성명세서(SBOM) 등 공급망 보안관리도 병행해야 한다.

“신뢰하던 사이트도 안전지대 아니다”

이번 권고문이 던지는 핵심 경고는 명확하다. 과거에는 수상한 첨부파일을 열지 않는 것만으로 상당수 공격을 피할 수 있었지만, 이제는 평소 신뢰하던 뉴스나 병원 홈페이지에 접속하는 행위조차 감염 경로가 될 수 있다는 것이다.

특히 보안관리가 상대적으로 취약한 소규모 홈페이지가 공격의 중간 발판으로 악용될 수 있어 이용자뿐 아니라 홈페이지 운영자와 소프트웨어 개발사의 공동 대응이 필요하다.

관계기관은 국가배후 해킹사고가 의심되거나 유사 사례를 발견하면 국가정보원, 경찰청 안보수사국, 한국인터넷진흥원 인터넷침해대응센터, 금융보안원 등 관계기관에 즉시 신고해 달라고 당부했다. 국가정보원 국가사이버안보센터는 가치 있는 사이버위협 신고에 대해 포상금도 지급하고 있다.