한국에 집중된 글로벌 해킹 공격… 더 집요, 더 정교해진다

안랩 '2025년 사이버 위협 동향 & 2026년 보안 전망' 보고서

북한 해킹조직 '라자루스' ,'김수키' 중심

"내년 한국 겨냥 사이버위협 더욱 정교해질 것"

정부, 업비트 445억 해킹 배후에 '北 라자루스' 지목 [사진=게티이미지뱅크]

과학기술정보통신부와 개인정보보호위원회가 쿠팡에서 발생한 개인정보 유출 규모가 당초 알려진 수준을 크게 넘어선 것으로 확인한 가운데 보안업계는 북한을 비롯한 글로벌 해킹조직의 공격이 올해 한국에 집중되며 대형 보안 사고가 잇따르고 있다고 밝혔다. 

30일 안랩의 '2025년 사이버 위협 동향 & 2026년 보안 전망' 보고서에 따르면 분석 기간 동안 식별된 북한계 지능형 지속 위협(APT) 활동은 총 86건이었다. 이 중 라자루스(31건)와 김수키(27건)가 중심을 이룬 것으로 나타났다. 

안랩은 북한 연계 APT 그룹들이 정치, 외교, 금융, 암호화폐 등 다양한 산업을 대상으로 금전적 이익과 정보 수집이라는 두 가지 목표를 갖고 있다고 분석했다. 특정 운영체제(OS)에 국한되지 않고 공격 대상을 확대하는 '멀티 플랫폼' 전략을 채택하며 방어 난도를 높이고 있다는 점도 지적됐다.

라자루스는 금융, 암호화폐 거래소, 정보기술(IT) 기업 등을 표적으로 삼아 약 2조원 규모의 가상자산 탈취를 시도한 것으로 추정된다. 이들은 맥OS와 리눅스까지 지원하는 고도화된 악성코드를 개발해 공격 표면을 극대화했다. 이는 클라우드 환경에서 리눅스 서버 비중이 높은 현황을 노린 전략으로, 내부망에 침투해 장기 거점을 마련했다.

김수키는 주로 한국 정부 기관과 언론 등 고가치 표적을 대상으로 정치·군사적 첩보 수집에 집중했다. 주요 침투 수단은 강연 요청 등을 위장한 '스피어피싱'으로 국제표준화기구(ISO) 파일, LNK(바로가기) 파일 등 일반 포맷에 악성코드를 숨겨 유포했다. 최근에는 인공지능(AI)을 활용한 위조 신분증을 공격에 동원하며 신뢰도를 높이고 다단계 공격 체인을 통해 장기 잠복하는 수법을 사용하고 있다.

안다리엘은 주로 미국과 한국을 대상으로 금전적 목적의 공격을 지속하며 최근에는 플레이 랜섬웨어 인프라를 통해 공격을 확대하는 등 사이버 범죄 조직과 협력을 강화하는 양상을 보였다.

안랩은 내년 한국을 겨냥한 사이버 위협이 더욱 정교해질 것으로 전망했다. 클라우드 환경에서 리눅스 기반 서버 비중이 높은 점을 노린 공격이 늘어나고 있는데 전문가들은 이러한 공격이 클라우드 시스템 전체를 마비시킬 수 있다고 경고한다.

AI 기술을 활용한 맞춤형 공격도 증가할 것으로 보인다. 안랩은 AI가 악성코드 제작과 딥페이크 피싱, 제로데이 취약점 발견 등 공격 전반에 활용되면서 표적 맞춤형 공격의 정교함을 높이고 있다고 강조했다. 

개발 환경의 근간인 오픈소스 생태계도 공격 대상이 되고 있다. 공급망 공격이 늘면서 패키지 레지스트리 탈취, 계정 탈취, 타이포스쿼팅 등 복합적 수법이 기업의 핵심 시스템까지 위협할 가능성이 커지고 있다.

특히 국가 기반 APT 그룹과 랜섬웨어 조직 간 협력이 심화되면서 공격 주체를 특정하거나 추적하는 일이 더욱 어려워지고 있다. 이른바 '랜섬웨어 카르텔'이 정착되면 중소기업 피해도 급증할 것으로 전문가들은 내다보고 있다.