‘금융보안인증 SW 취약’ 노린 해킹 공격…“‘北 배후’ 라자루스 소행”

국수본, 작년 말 사이버공격 北 해킹조직 '라자루스' 확인
"프로그램 취약점 및 언론사 사이트 해킹 '워터링홀' 공격 기법"
추가 피해 예방 위해 보안 업데이트 등 당부

사건 개요도/국수본

지난해 말부터 이어진 국내 금융보안인증 소프트웨어 취약점을 이용한 '해킹 공격'은 북한 정찰총국이 배후로 알려진 이른바 '라자루스' 해킹 조직의 소행인 것으로 드러났다.

18일 경찰청 국가수사본부(안보수사국)는 라자루스 해킹 조직의 국내 해킹 공격을 공식 확인했다고 밝혔다.

라자루스는 정부가 지난 2월 10일 사이버 분야 대북 독자제재 대상으로 지정한 해킹조직으로, △2014년 미국 소니픽처스 해킹사건 △2016년 방글라데시 중앙은행 해킹사건△ 2017년 워너크라이 랜섬웨어사건 등에 연루된 것으로 알려졌다.

국수본은 라자루스 해킹조직이 인터넷뱅킹 등 전자금융서비스 이용에 필수 설치되는 소프트웨어의 취약점을 악용했다고 설명했다.

또 국민 상당수가 접속하는 언론사 사이트를 악성코드 유포 매개체로 활용해 피해 규모가 확산될 위험성이 컸던 사건이었다고 부연했다.

앞서 국정원과 경찰청, 한국인터넷진흥원(KISA), 국가보안기술연구소는 지난해 말 북한이 금융보안인증 소프트웨어의 취약점을 악용해 국가·공공기관 및 방산·바이오업체 등 국내외 주요기관 60여 곳의 PC 210여 대를 해킹한 사실을 확인했다.

이에 정부 관계기관은 지난 3월 30일 관련 보안 취약점을 공개하고, 서비스를 제공 중인 기업·기관을 대상으로 보안 패치를 적용할 것을 당부했다.

국가수사본부/연합

국수본 수사 결과, 북한은 2021년 4월 국내 유명 금융보안인증 업체를 해킹 한 뒤 소프트웨어의 취약점을 찾아 공격에 활용할 웹 서버, 명령·제어 경유지 등 공격 인프라를 장기간 치밀하게 준비한 것으로 확인됐다.

특히 해킹 취약 버전에 금융보안인증 소프트웨어가 설치된 컴퓨터가 특정 언론사 사이트에 접속할 경우 자동으로 악성코드가 설치되는 '워터링홀' 수법으로 국내 61개 기관이 해킹된 것으로 조사됐다.

워터링홀은 방문 가능성이 크거나 많이 사용하는 사이트를 감염시킨 후 피해자가 해당 사이트에 접속 시 컴퓨터에 악성코드를 추가 설치하는 공격 방식이다.

국수본은 이번 관계기관과의 합동분석 결과, 이번 사건을 북한 해킹조직인 '라자루스' 소행으로 결론내렸다.

국수본 관계자는 "이번 사건에서 확인된 해외 공격·피해지에 대한 국제 공조수사를 진행하는 한편, 추가 피해 사례 및 유사 해킹 시도 가능성에 대한 수사를 계속 이어나갈 계획"이라고 말했다.