공격 서버 내 AI 사용 기록 나와
해킹 대행 광고 관리자 계정 확인
“다른 사람에게 모함당했다” 해명
최근 한국 금융권을 연이어 해킹한 공격자의 신원을 추정할 수 있는 단서가 처음으로 나왔다. 한 사이버보안 기업이 이번 해킹 공격자가 중국 광둥성에 사는 26세 청년일 가능성이 있다고 주장했다. 공격자로 추정되는 텔레그램 계정 주인은 돈을 받고 특정 사이트를 마비시켜주는 ‘디도스(DDoS) 공격 대행’ 관련 커뮤니티의 운영진으로도 확인됐다.
글로벌 사이버보안 기업 크라우드스트라이크는 7일(현지시간) 공개한 분석 보고서에서 공격자가 통제하던 서버에서 이 같은 개인정보가 담긴 인공지능(AI) 사용 기록을 확인했다고 밝혔다. 다만 이는 정황에 따른 추정으로, 확정적 신원 특정은 아니라고 선을 그었다.
보고서에 따르면 단서는 공격자가 AI 코딩 도구 ‘클로드 코드’를 쓰는 과정에서 노출됐다. 공격자는 클로드 코드에 ‘보안 연구자 이력서’를 써달라고 요청하면서, 이번 한국 금융권 공격의 성과를 경력 항목으로 넣어달라고 했고 자신의 신상을 입력했다. 이름 이니셜 ‘YY’, 휴대전화 번호, 텔레그램 계정, 나이 26세, 화난이공대 학력, 광둥성 마오밍시 거주 등이다. 공격자는 처음엔 생년월일을 2007년 9월22일로 입력했는데, 이대로라면 19세다. 같은 텔레그램 계정명은 다른 해킹 정황에서도 나왔다. 텔레그램 기반 대체불가토큰(NFT) 선물 거래소의 취약점을 조사한 AI 사용 기록에 이 계정명이 등장했다.
공격자가 해킹으로 빼낸 정보를 팔려 한 정황도 포착됐다. 공격자는 AI에 해커들이 한국의 유출 정보를 주로 어디서 파는지 물었고, 한국 관련 텔레그램 데이터 판매방을 찾아달라고도 요청한 것으로 나타났다. 공격자는 아르텍스에 중국 AI 모델 ‘딥시크’를 연결해 썼다.
경향신문이 8일 공격자로 추정되는 텔레그램 계정을 추적한 결과, 해당 계정은 디도스 공격 대행을 광고하는 ‘상제’(上帝·신)와 ‘구둔’(狗盾·개 방패)이라는 채널의 관리자 명단에 올라 있었다. 상제라는 채널은 2024년 악성코드에 감염시켜 원격조종할 수 있게 된 기기 4만~7만대를 빌려준다고 광고하기도 했다. 구둔 또한 디도스 공격과 관련된 자동 프로그램을 운용하는 것으로 보인다.
해킹 공격자로 추정된 텔레그램 계정 사용자 YY는 이날 경향신문과 인터뷰하며 “다른 사람에게 모함을 당했다”고 주장했다. 자신과 갈등을 빚은 사람이 자신의 연락처를 일부러 남겨 누명을 씌웠다는 것이다. YY는 자신이 2000년생이라며 “지금 26세인 것은 맞지만 (광둥성이 아닌) 허난성 정저우시에 오랫동안 살고 있다”며 실제 공격자로 “예전에 내가 욕을 한 사기꾼”을 지목하기도 했다. YY는 “경찰에 바로 신고할 생각”이라며 “한국 측의 조사를 기다리겠다”고 말했다.
한편 마오닝 중국 외교부 대변인은 이날 정례 브리핑에서 한국 금융권을 겨냥한 해킹 공격에 중국산 AI 도구가 활용됐다는 분석과 관련해 “구체적인 사항은 잘 알지 못한다”고 말했다.
댓글
0