[이데일리 김주환 기자] 북한 배후로 의심되는 해킹 조직이 국민과 기업을 공격하고 있어 정부와 민간 보안업계가 주의를 당부했다. 채용·기부를 가장한 메일뿐만 아니라 일상적인 뉴스·병원 웹사이트 접속까지 악성코드 유포에 악용될 수 있다는 지적이다.

30일 국가정보원·경찰청·한국인터넷진흥원(KISA)·금융보안원은 안랩·에스투더블유·엔키화이트햇·플레인비트 등 민간 보안기업과 함께 ‘합동 사이버보안 권고문’을 배포했다.

보안업계에서는 올 상반기 수차례 발생한 이번 공격이 북한 배후 해킹 조직인 ‘라자루스’의 소행일 가능성에 무게를 두고 있다. 이번에 확인된 해킹 수법은 사회공학적 기법을 활용한 피싱 메일과 ‘워터링홀’ 공격이 병행된 점이 특징이다.

해킹 조직은 실제 헤드헌터 계정을 탈취한 뒤 고연봉 일자리 제안이나 입사지원서, 기부 제안 등으로 위장해 수신자의 클릭을 유도했다.

특히 이들은 이력서를 첨부파일 대신 본문 내 링크(블로그·깃허브 등)로 삽입하거나 악성 첨부파일을 직접 심어 배포하는 방식을 혼용했다.

또 다른 주된 수법인 워터링홀은 방문자가 많은 뉴스 사이트나 특정 사용자가 자주 접속하는 병원 홈페이지를 미리 해킹해 악성코드를 심어두는 방식이다.

이용자가 평소처럼 해당 웹사이트에 접속만 해도 PC에 설치된 구버전 보안프로그램(전자서명·보안인증·키보드보안 등)의 취약점을 타고 악성코드가 자동 유입·설치됐다. 특히 최근 워터링홀 수법은 웹사이트 소스코드를 직접 변조하거나 악성코드를 은닉해 보안 관제를 통한 탐지가 더욱 어려워졌다.

악성코드에 감염될 경우 피해는 전방위로 확산된다. 브라우저에 저장된 계정·비밀번호·신용카드 정보는 물론 PC 내 문서·사진·연락처·메신저 대화 내용까지 즉각 유출된다.

감염된 PC를 발판 삼아 동일 네트워크에 연결된 주변 PC로 연쇄 감염이 일어날 수도 있다. 기업의 경우 △소스코드 △내부 문서 △고객 정보 △영업비밀이 유출된 뒤 이를 빌미로 금전을 요구받는 협박 피해까지 이어질 수 있어 각별한 주의가 요구된다.

이번 권고문은 개인 사용자에게 모든 소프트웨어와 운영체제를 최신 버전으로 업데이트하고 주요 계정 2단계 인증 활성화 및 출처 불명의 메일 링크·첨부파일 차단을 당부하고 있다.

아울러 기업 보안 담당자에게는 △소프트웨어 일괄 점검 △네트워크 분리 △다중인증(MFA) 도입 △정기적인 임직원 보안 교육 등을 주문했다.