.jpg)
.jpg)
청와대 이어 국립외교원장 사칭 이메일 발견
국립외교원장 사칭 이메일 계정, 지난 10월에도 해킹 메일 유포
보안전문가, 공격수법·공격정황·언어학적 분석 등 북한 해커로 의심
[보안뉴스 김경애 기자] 청와대를 사칭한 악성메일에 이어 이번에는 국립외교원을 사칭한 악성메일도 발견됐다. 특히, 해당 악성메일 모두 공격 배후로 북한의 해커조직이 의심되고 있어 경찰과 국가정보원의 수사에도 초미의 관심이 모아지고 있다.
이번 사건은 청와대 국가안보실을 사칭한 악성메일이 외교전문가들에게 발송되고 가짜 문서가 청와대에서 발송된 문서로 오인돼 언론에 보도까지 된 게 발단이 됐다.
이번 청와대 사칭 메일에 대해 청와대 김의겸 대변인은 지난 26일 “청와대나 청와대 안보실에서 작성한 것이 아니다”라며 “청와대에서 어떤 형식이든 문서를 만들면 무단으로 복사·반출할 수 없고, ‘THE REPUBLIC OF KOREA’라고 해서 워터마크가 찍혀 있다. 마지막에 문서를 출력한 사람의 이름과 시간이 초 단위까지 나오도록 되어 있다. 이건 복사를 해도 이 워터마크는 그대로 찍힌다”라고 설명했다.
다음 날인 27일 청와대는 이번 청와대 사칭 사건과 관련해 경찰청 사이버수사과에 수사의뢰서를 안보실 사이버정보비서관 명의로 발송했다고 밝히며 “허위조작 정보가 생산·유포된 경위가 대단히 치밀한데다 담고 있는 내용 또한 한미동맹을 깨뜨리고 이간질하려는 반국가적 행태”라며 “끝까지 파헤쳐서 누가 왜 이런 일을 벌였는지 밝혀내겠다”고 밝혔다.
청와대를 사칭한 악성 메일은 육안상 보기에는 PDF 파일이 첨부된 것으로 보이지만 피싱 사이트로 연결되는 링크가 포함돼 있다. 즉, 메일 수신자가 FDF 파일을 읽어보기 위해 링크를 클릭하면 계정정보를 입력하는 피싱 창이 뜨면서 계정정보를 입력해 계정이 해킹됐을 가능성이 높다는 얘기다.
게다가 청와대 사칭 이메일에 이어 국립외교원장을 사칭한 이메일도 발견됐다. 해당 메일은 지난 11월 17일 아주대학교 중국정책연구소를 대상으로 뿌려졌으며, 해당 메일에는 ‘한반도 비핵화와 한중 협력의 의의(국립외료원-기조연설)’이란 제목의 첨부보기 링크가 포함돼 있다.
그런데 두 사건 공격 배후로 북한이 지목되고 있다. 이러한 의심은 북한의 해커 조직이 많이 사용하는 단골 공격 수법, 공격 방식, 메일 발신자, 언어학적 분석 결과, 해킹 메일 공격 경유지 사용 정황, 남겨진 흔적 등 여러 정황에서 북한 소행이 농후하다는 의견이 제기되고 있다.
익명을 요청한 한 보안전문가는 “북한 추정의 해커조직이 자주 사용하는 2가지 공격방법과 유사하다”며 “첫째, 정상 문서를 보냈다가 수신자가 열어보면 이를 확인하고 다시 메일을 보낼 때는 악성파일을 첨부해 보내는 수법이다. 둘째, 메일에 피싱 사이트로 연결되는 링크를 첨부해 계정을 탈취한 후 악성행위를 하는 방법이 있는데, 이번 청와대 사칭 메일 사건은 2번째 공격 방법에 해당되는 것으로 보인다”고 밝혔다.
또 다른 보안전문가 역시 북한 추정 해커조직이 자주 사용하는 피싱 이메일 공격이라는 점에 주목했다.
국립외교원장을 사칭한 메일 발신자는 ‘4*****@hanmail.net’ 계정으로 확인되고 있다. 이 계정은 앞서 지난 10월 국가·공공기관 공무원·직원을 사칭해 해킹 메일을 보낸 발신자 계정과 동일하다.
이와 관련해 한 특정 대학교는 지난 10월 8일 ‘민간자문위원 대상 해킹메일 유포’ 주의란 제목으로 보안 소식을 공지한 바 있다. 당시 ‘국가·공공기관에서 운영 중인 각종 자문위원회 소속의 민간위원 대상으로 자료절취 목적의 해킹메일이 유포 중’이라며 발신계정 ‘4*****@hanmail.net’ 메일에 대한 주의를 당부했다. 특히, 당시 이슈의 출처로 특정 대학교는 국가정보원 산하 국가사이버안전센터(NCSC)라고 밝혔다.
또한, 당시 해킹 경유지로 거론된 특정 사이트 역시 이번 국립외교원장 사칭 메일 공격에도 이용됐을 가능성이 높은 정황도 포착됐다.
이와 관련 한 보안전문가는 “북한 추정 해커는 국내를 타깃으로 여전히 활동 중”이라며 “이번 사건 역시 공격수법과 해킹 경유지 정황, 그리고 추적된 발신자 이메일 주소 등 여러 정황과 흔적들로 볼 때 북한 추정 사이버공격일 가능성이 농후하다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]
국립외교원장 사칭 이메일 계정, 지난 10월에도 해킹 메일 유포
보안전문가, 공격수법·공격정황·언어학적 분석 등 북한 해커로 의심
[보안뉴스 김경애 기자] 청와대를 사칭한 악성메일에 이어 이번에는 국립외교원을 사칭한 악성메일도 발견됐다. 특히, 해당 악성메일 모두 공격 배후로 북한의 해커조직이 의심되고 있어 경찰과 국가정보원의 수사에도 초미의 관심이 모아지고 있다.
[이미지=iclickart]
이번 사건은 청와대 국가안보실을 사칭한 악성메일이 외교전문가들에게 발송되고 가짜 문서가 청와대에서 발송된 문서로 오인돼 언론에 보도까지 된 게 발단이 됐다.
이번 청와대 사칭 메일에 대해 청와대 김의겸 대변인은 지난 26일 “청와대나 청와대 안보실에서 작성한 것이 아니다”라며 “청와대에서 어떤 형식이든 문서를 만들면 무단으로 복사·반출할 수 없고, ‘THE REPUBLIC OF KOREA’라고 해서 워터마크가 찍혀 있다. 마지막에 문서를 출력한 사람의 이름과 시간이 초 단위까지 나오도록 되어 있다. 이건 복사를 해도 이 워터마크는 그대로 찍힌다”라고 설명했다.
다음 날인 27일 청와대는 이번 청와대 사칭 사건과 관련해 경찰청 사이버수사과에 수사의뢰서를 안보실 사이버정보비서관 명의로 발송했다고 밝히며 “허위조작 정보가 생산·유포된 경위가 대단히 치밀한데다 담고 있는 내용 또한 한미동맹을 깨뜨리고 이간질하려는 반국가적 행태”라며 “끝까지 파헤쳐서 누가 왜 이런 일을 벌였는지 밝혀내겠다”고 밝혔다.
청와대를 사칭한 악성 메일은 육안상 보기에는 PDF 파일이 첨부된 것으로 보이지만 피싱 사이트로 연결되는 링크가 포함돼 있다. 즉, 메일 수신자가 FDF 파일을 읽어보기 위해 링크를 클릭하면 계정정보를 입력하는 피싱 창이 뜨면서 계정정보를 입력해 계정이 해킹됐을 가능성이 높다는 얘기다.
▲국립외교원장 사칭한 메일 발신자와 동일한 발신자 주의 경고 화면[이미지=XX대학교]
게다가 청와대 사칭 이메일에 이어 국립외교원장을 사칭한 이메일도 발견됐다. 해당 메일은 지난 11월 17일 아주대학교 중국정책연구소를 대상으로 뿌려졌으며, 해당 메일에는 ‘한반도 비핵화와 한중 협력의 의의(국립외료원-기조연설)’이란 제목의 첨부보기 링크가 포함돼 있다.
그런데 두 사건 공격 배후로 북한이 지목되고 있다. 이러한 의심은 북한의 해커 조직이 많이 사용하는 단골 공격 수법, 공격 방식, 메일 발신자, 언어학적 분석 결과, 해킹 메일 공격 경유지 사용 정황, 남겨진 흔적 등 여러 정황에서 북한 소행이 농후하다는 의견이 제기되고 있다.
익명을 요청한 한 보안전문가는 “북한 추정의 해커조직이 자주 사용하는 2가지 공격방법과 유사하다”며 “첫째, 정상 문서를 보냈다가 수신자가 열어보면 이를 확인하고 다시 메일을 보낼 때는 악성파일을 첨부해 보내는 수법이다. 둘째, 메일에 피싱 사이트로 연결되는 링크를 첨부해 계정을 탈취한 후 악성행위를 하는 방법이 있는데, 이번 청와대 사칭 메일 사건은 2번째 공격 방법에 해당되는 것으로 보인다”고 밝혔다.
또 다른 보안전문가 역시 북한 추정 해커조직이 자주 사용하는 피싱 이메일 공격이라는 점에 주목했다.
국립외교원장을 사칭한 메일 발신자는 ‘4*****@hanmail.net’ 계정으로 확인되고 있다. 이 계정은 앞서 지난 10월 국가·공공기관 공무원·직원을 사칭해 해킹 메일을 보낸 발신자 계정과 동일하다.
이와 관련해 한 특정 대학교는 지난 10월 8일 ‘민간자문위원 대상 해킹메일 유포’ 주의란 제목으로 보안 소식을 공지한 바 있다. 당시 ‘국가·공공기관에서 운영 중인 각종 자문위원회 소속의 민간위원 대상으로 자료절취 목적의 해킹메일이 유포 중’이라며 발신계정 ‘4*****@hanmail.net’ 메일에 대한 주의를 당부했다. 특히, 당시 이슈의 출처로 특정 대학교는 국가정보원 산하 국가사이버안전센터(NCSC)라고 밝혔다.
또한, 당시 해킹 경유지로 거론된 특정 사이트 역시 이번 국립외교원장 사칭 메일 공격에도 이용됐을 가능성이 높은 정황도 포착됐다.
이와 관련 한 보안전문가는 “북한 추정 해커는 국내를 타깃으로 여전히 활동 중”이라며 “이번 사건 역시 공격수법과 해킹 경유지 정황, 그리고 추적된 발신자 이메일 주소 등 여러 정황과 흔적들로 볼 때 북한 추정 사이버공격일 가능성이 농후하다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-25] 
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
