트렌드AI 자료
트렌드AI 리서치가 발표한 ‘2025 APT 연례 보고서’는 올해 국가 배후 해킹 조직들의 움직임을 정리한 자료이지만, 한국 독자에게는 단순한 해외 동향 보고서로 읽히지 않는다.
보고서는 2025년 한 해와 2026년 1분기까지의 공격 흐름을 종합하면서, 북한 계열 조직들이 한국 정부 기관과 금융·가상화폐 기업, 정보기술 서비스 기업을 주요 표적으로 삼고 있다고 짚었다. 동시에 중국 연계 조직들은 방산·통신·첨단기술 분야를 중심으로 장기 침투를 이어가고 있다고 분석했다.
여기에 인공지능까지 공격 과정에 본격적으로 들어오면서, 기존 보안 체계가 따라가기 어려운 속도로 위협이 진화하고 있다는 점도 핵심 변화로 제시했다.
북한 계열 APT 조직
이번 보고서에서 가장 직접적으로 한국과 연결되는 축은 북한 계열 APT 조직이다. 보고서는 김수키, 코니, APT37 계열 조직들이 정부와 외교·안보 분야는 물론 금융, 가상화폐, 정보기술 영역까지 폭넓게 겨냥했다고 설명했다.
과거처럼 국가 기밀 수집에만 머물지 않고, 실제 자금 확보와 장기 잠복형 침투를 함께 노리는 방식으로 공격이 다변화됐다는 것이다. 이는 북한의 사이버 공격이 더 이상 보조적 수단이 아니라 정권 유지와 전략 목표 수행에 필요한 실질적 도구로 자리 잡았다는 의미로 읽힌다.
김수키와 연계된 ‘어스 구미호’는 한국, 미국, 일본의 정부 관계자와 외교·안보 분야 전문가들을 노린 대표 사례로 제시됐다.
이 조직은 압축파일 안에 바로가기 파일을 숨겨 보내거나 파워셸 스크립트를 실행시키는 방식으로 공격을 전개했고, 이후 드롭박스와 깃허브 같은 정상 서비스를 악용해 정보를 빼내거나 추가 악성 기능을 내려보냈다. 겉으로 보면 일반적인 클라우드 사용처럼 보이기 때문에 초기에 공격 여부를 판단하기 쉽지 않다.
공격자는 바로 그 점을 파고들었다. 정상 서비스 뒤에 숨어 들어오고, 사용자의 평범한 클릭을 침투의 출발점으로 삼는 방식이다.
코니 계열로 분류된 ‘어스 임프’도 한국과 직접 맞닿아 있다. 이 조직은 한국과 러시아를 주요 표적으로 삼았고, 한국 내 피해자의 개인 정보와 금융 정보를 노린 것으로 보고서에 정리됐다. 세금 문서나 금융 문서처럼 보이는 한국어 파일명을 이용해 사용자를 속이고, 문서를 여는 순간 악성코드 실행과 정보 탈취가 이어지는 구조다.
공공기관이나 기업, 일반 사용자 모두에게 익숙한 문서 업무 환경이 오히려 공격의 통로가 되고 있다는 점에서 위협의 현실감은 더 크다.
APT37과 연계된 ‘어스 맨티코어’는 한국 정부와 군 기관, 탈북민 커뮤니티를 주요 공격 대상으로 삼았다. 2025년에는 악성 한글 문서를 이용한 로크랫 계열 공격이 다시 확인됐다고 보고서는 적었다. 한글 문서 파일은 국내 환경에서 여전히 강력한 미끼다.
공격자는 이 익숙한 업무 도구를 악용해 사용자가 파일을 열도록 만들고, 그 틈에 백도어를 심어 장기 접근 권한을 확보한다. 오래된 수법처럼 보일 수 있지만, 국내 환경에서는 여전히 통하는 방식이라는 점이 더 큰 문제다.
특히 보고서는 북한 APT의 공격 목적을 주요한 이슈로 다뤘다. 2025년 국내 가상화폐 거래소에서 발생한 대규모 자산 탈취 사건이 직접 언급됐는데, 이는 북한 연계 공격이 한국 금융 부문에 실질적인 경영 리스크를 만들고 있다는 근거로 제시됐다. 가상화폐와 관련 개발자, 거래 시스템, 정보기술 서비스 기업이 동시에 위험 구간에 놓여 있다는 뜻이기도 하다.
결국 공격자는 돈이 직접 모이는 곳만 노리는 것이 아니라, 그 돈에 접근할 수 있는 기술 인력과 서비스 환경까지 함께 노리고 있다.
중국 연계 APT 조직
중국 연계 APT 흐름도 한국 산업계에는 가볍지 않다. 보고서는 중국 연계 조직들이 2025년 들어 공격 범위와 정교함을 함께 끌어올렸다고 분석했다. 이 가운데 ‘어스 나가’와 ‘어스 에스트리스’가 대표적으로 거론됐다. 어스 나가는 2021년부터 정부, 통신, 언론, 학계, 국방, 첨단기술 기업 등 전략적으로 가치 있는 조직을 체계적으로 공략해 온 그룹으로 설명됐고, 어스 에스트리스는 통신과 정부 기관을 주요 표적으로 삼으며 활동 범위를 넓혀왔다.
사례 설명은 대만과 다른 지역을 중심으로 이뤄졌지만, 공격 대상 산업군을 보면 한국의 방산, 통신, 첨단 제조업이 결코 예외가 아니라는 점을 쉽게 읽을 수 있다.
중국 연계 공격의 가장 큰 특징은 눈에 띄지 않게 오래 머문다는 점이다. 한 번 크게 흔들고 빠지는 방식보다, 조용히 들어와 내부 구조를 파악하고 필요한 정보를 장기간 수집하는 데 더 집중한다.
이런 유형의 공격은 피해가 즉시 드러나지 않고, 어느 범위까지 침투했는지 뒤늦게 확인되는 경우가 많다. 기업 입장에서는 단순한 해킹 사고보다 더 까다롭다. 기술 자료와 설계 정보, 협력사 연결 구조, 외부 접속 환경이 오랜 시간 노출될 수 있기 때문이다.
공격 조직 간 협업
이번 보고서가 흥미롭게 짚은 또 다른 변화는 공격 조직 간 협업이다. 보고서는 이를 ‘프리미어 패스 서비스’ 모델로 설명했다. 한 조직이 먼저 특정 기업이나 기관 내부로 들어가 접근 권한을 확보하면, 다른 조직이 그 권한을 넘겨받아 후속 침투나 정보 탈취를 이어가는 구조다.
한 공격자가 문을 열어두면, 다른 공격자가 그 문을 통해 곧바로 핵심 자산 쪽으로 움직이는 방식이다. 방어하는 쪽에서는 침입 경로를 한 줄로 추적하기 어렵고, 공격 주체를 특정하는 일도 훨씬 복잡해진다. 공격 속도는 빨라지고, 탐지와 차단은 더 어려워진다.
협력사, 외주 개발 환경, 유지보수 체계, 클라우드 접점까지 모두 위협 표면
공급망과 외부 접속 구간, 이른바 엣지 인프라를 노리는 흐름도 강해지고 있다. 공격자는 더 이상 핵심 표적만 정면으로 두드리지 않는다. 대신 연결된 서비스 업체나 소프트웨어 공급망, 원격 접속 장비, 개발 환경을 먼저 장악한 뒤 그 통로를 타고 더 큰 조직으로 들어가려 한다.
보안 투자가 큰 기관만 잘 지킨다고 해결될 문제가 아니라는 뜻이다. 협력사, 외주 개발 환경, 유지보수 체계, 클라우드 접점까지 모두 위협 표면이 되는 구조다. 한국처럼 대기업과 전문 협력업체가 복잡하게 연결된 산업 구조에서는 이 위협이 더 현실적일 수밖에 없다.
인공지능 기술을 장착한 공격 그룹들
이 모든 변화 위에 놓인 공통 분모가 바로 인공지능이다. 보고서는 2025년을 기점으로 인공지능이 더 이상 보조 수단이 아니라 실제 공격 과정 안에 들어오기 시작했다고 분석했다. 공격자는 인공지능을 이용해 표적 정찰을 자동화하고, 피싱 문구를 더 자연스럽게 만들고, 취약점을 빠르게 찾고, 공격 경로를 효율적으로 정리한다.
일부 사례에서는 악성코드가 실행 과정에서 필요한 명령을 동적으로 생성하는 수준까지 나아간 것으로 평가됐다. 공격 준비와 실행, 회피 과정이 기계 속도로 빨라지고 있다는 뜻이다.
이런 변화를 “방어자에게 허용되는 대응 시간 창이 계속 좁아지고 있다”고 보고서는 말한다. 예전처럼 이상 징후를 발견하고, 내부 보고를 거쳐, 대응 범위를 판단한 뒤 차단 조치를 내리는 방식만으로는 버티기 어려워졌다는 뜻이다. 공격자는 이미 정찰과 미끼 작성, 내부 이동 준비를 자동화하고 있고, 정상 서비스와 섞여 움직이며 흔적을 흐리고 있다. 사람이 일일이 확인하는 속도만으로는 쫓아가기 힘든 단계가 됐다는 지적이다.
이런 이유로 보안의 목표 자체를 다시 설정해야 한다고 강조한다. 핵심은 완벽한 차단이 아니다. 국가 배후 공격자는 충분한 시간과 자원, 인력, 우회 경로를 갖고 있기 때문에 초기 접근을 영원히 막아내는 것은 현실적 목표가 아니라는 것이다.
대신 더 빨리 보고, 더 빨리 가두고, 더 빨리 복구하는 능력이 중요해졌다. 즉 예방 중심 보안에서 회복력 중심 보안으로 옮겨가야 한다는 얘기다. 인공지능 기반 탐지 체계, 공급망과 핵심 자산의 분리, 침해를 전제로 한 사고 대응 훈련, 정부와 민간의 정보 공유 체계가 그 대안으로 제시됐다.
한국 입장에서 북한은 자금 확보와 정보 수집을 위해 한국의 정부, 금융, 가상화폐, 정보기술 생태계를 계속 노리고 있고, 중국 연계 조직은 방산·통신·첨단기술 분야를 겨냥한 조용한 장기 침투를 이어갈 가능성이 높다.
그리고 그 모든 공격은 인공지능을 만나 더 빨라지고, 더 교묘해지고, 더 오래 숨게 됐다. 이제 사이버 공격은 일부 기관의 기술 문제가 아니라 산업 경쟁력과 국가 안보, 기업 경영을 함께 흔드는 위험이 됐다.
댓글
0