[위클리오늘] "줌 업데이트인 줄 알았는데"… 화상회의·면접 가장한 北...

미 연방수사국(FBI)은 지난해 2월 북한과 연계된 해커들이 아랍에미리트(UAE) 두바이에 본사를 둔 한 회사로부터 약 15억 달러(2조1642억원) 상당의 이더리움을 탈취했다고 비난했다. 이는 지금까지 공개적으로 알려진 암호화폐 절도 중 최대 규모 중 하나이다.

[위클리오늘=이종현 기자] 북한 해킹 조직이 가짜 화상회의와 위장 채용 절차를 통해 피해자의 디지털 업무 환경 전반을 장악하는 방식의 공격을 펼치고 있는 것으로 나타났다. 최근에는 생성형 인공지능(AI) 기법까지 결합되며 공격 성공률이 높아졌다는 분석이 나왔다.

17일 보안업계에 따르면 카스퍼스키는 북한 해킹 그룹 ‘블루노로프’가 가상자산 탈취 작전 ‘스내치크립토’와 연계해 진행한 ‘고스트콜(GhostCall)’·‘고스트하이어(GhostHire)’ 캠페인에 대한 분석 보고서를 공개했다.

보고서에 따르면 블루노로프는 가상자산 지갑 탈취를 넘어 이메일, 메신저, 클라우드, 인공지능 서비스 계정 등 디지털 업무 환경 전반으로 공격 범위를 확장했다. 주요 표적은 웹3·블록체인 분야 종사자들이다.

고스트콜 캠페인은 화상회의를 사칭한 방식이다. 공격자는 텔레그램 등을 통해 투자자나 기업가로 위장한 뒤 위조된 화상회의 링크를 전달한다. 접속 시 실제 과거 피해자의 녹화 영상이 재생되며 실시간 회의처럼 보이도록 구성돼 있다. 이후 ‘Zoom SDK 업데이트’와 유사한 안내 창을 띄워 악성코드 설치를 유도한다.

사용자가 이를 클릭하면 운영체제에 맞는 악성코드가 설치된다. 맥OS 환경에서는 개인정보 접근 통제 체계인 TCC를 우회해 카메라, 마이크, 문서 접근 권한까지 확보하는 것으로 확인됐다.

고스트하이어 캠페인은 채용 절차를 악용한 공격이다. 공격자는 글로벌 금융회사 채용 담당자로 위장해 개발자에게 접근한 뒤 코딩 테스트를 명목으로 악성 코드가 포함된 프로젝트 실행을 요구한다. ‘30분 내 제출’과 같은 시간 제한을 제시해 검증 없이 실행하도록 유도하는 방식이다.

이 공격에 노출되면 피해 범위는 가상자산 지갑에 그치지 않는다. 이메일, 텔레그램, 클라우드, 챗GPT 등 업무 전반의 계정 접근 권한이 탈취될 수 있다. 탈취된 정보는 암호화폐 직접 탈취뿐 아니라 피해자 계정을 이용한 추가 공격 확산에도 활용된다.

실제로 피해자의 화상회의 영상이 다른 표적을 속이는 데 재사용되거나, 개발 계정과 API 키를 통해 기업 내부 시스템 침투로 이어질 가능성도 제기됐다.

고스트콜 캠페인 피해자는 2023년 이후 일본, 이탈리아, 프랑스, 싱가포르, 터키, 스페인, 스웨덴, 인도, 홍콩 등에서 확인됐다. 고스트하이어 캠페인 피해자는 올해 일본과 호주에서 식별됐다. 피해자 다수는 싱가포르와 홍콩의 웹3·블록체인 분야 기술 기업과 벤처캐피털 임원들로 나타났다.

업계 전문가는 "텔레그램을 통한 갑작스러운 투자 제안이나 채용 제안, 짧은 시간 내 코드 실행을 요구하는 상황에 각별한 주의가 필요하다"고 당부했다.