[한국미래일보=황지유 대학생 기자]

해킹에 활용된 AI 활용 딥페이크 이미지

    해커조직 김수키(Kimsuky)가 생성형 인공지능(AI)으로 가짜 군무원증을 만들어 우리 군 관련 기관을 해킹하려 한 정황이 공개되었다. 해커조직 김수키는 북한이 배후로 추정되며, AI 딥페이크 가짜 신분증으로 사이버 공격을 시도한 것으로 알려졌다. 

     이달 15일 보안 전문기업 지니언스 시큐리티 센터(GSC)에 따르면, 이번 해킹은 AI로 조작한 이미지를 활용한 스피어 피싱으로 이루어졌다. 스피어 피싱이란 특정 개인, 조직을 표적화한 사이버공격을 말한다. 공격자는 ‘신분증 초안 검토 요청’ 등을 제목으로 한 메일을 통해, AI로 만든 가짜 군무원증 이미지와 악성실행파일을 전송했다. 사용자가 첨부파일을 열어 숨겨진 명령어가 실행되면서 해커의 서버와 연결되게 되고, 추가 악성코드가 컴퓨터에 설치된다. 이 악성코드로 공격자는 수신자의 기기에서 데이터를 탈취할 수 있다. 또한 도메인 주소 역시 공식 주소인 ‘mil.kr’과 유사한 ‘mli.kr’을 사용했고, 해킹 과정을 숨기도록 명령어를 복잡하게 섞고 가려놓는 방식(난독화)를 활용하는 등 치밀함을 보였다. 

    본래 오픈 AI에서 공식적인 신분증을 제작해주는 것은 위법 행위이므로 불가하나, 이들은 질문을 우회하는 방식으로 보안 규정을 통과해 신분증을 조작했다. 합법적인 목적의 시안 작성, 또는 샘플 용도의 디자인 제작을 요구해 딥페이크 이미지를 획득할 수 있었던 것이다. 

     해당 그룹은 지난 6월, 연구원, 언론사 기자 등에게 AI가 메일을 대신 관리해주는 신기능을 소개하는 메일을 보내기도 했다. 이 역시 이번 해킹과 유사하게 악성코드가 담긴 피싱메일을 전송한 방식이다. 지니언스의 보고서에 따르면 최근 해킹공격들을 김수키 그룹의 방식과 유사하게 이루어지고 있다. 

     북측 해커들의 AI 활용 해킹은 갈수록 증가하는 추세를 보인다. 미국의 생성형 AI 모델 클로드 제작사 앤트로픽 역시 지난 8월 보안보고서를 통해 북한 사이버 공격자들의 AI 악용 사례를 공개했다. 북한 해커들이 AI로 이력 증명서를 위조하거나, 취업 과정에서 코딩하는 데 AI를 이용하는 등 포춘 500 기술 기업에 원격으로 위장 취업했다는 내용이다. AI를 활용해 가상 신원을 정교하게 조작하거나 해외 IT 업계 구직 과정에서 AI로 기술 평가를 수행하고, 채용 이후 AI로 실제 업무까지 처리하는 등 AI를 활용한 해커들의 움직임은 점점 광범위해지고 있다. 

     이외에도 김수키, 천리마, 라자루스 등 북한 배후 주요 해커 조직들은 한국 정부 부처, 기업, 언론사 등을 대상으로 사이버 공격을 한 바 있고, 활동범위는 미국, 유럽 등 글로벌 시장으로 확대되었다. 또한 개발자 플랫폼을 겨냥해 지속적으로 악성 코드를 유포하는 정황도 포착되었다. 김수키는 개발자 플랫폼 ‘깃허브’의 저장소를 통해 악성코드를 지속적으로 유포했다. 이러한 사이버 공격은 국제 제재 회피와 북한 정권의 외화 획득을 목적으로 설계된 것이라고 분석되었다. 실제로 핵무기 개발에 필요한 자금 마련에 도움이 되는 주요 코인 거래소도 표적이 된 바 있다. 

    오픈 AI 역시 북한과 연계된 것으로 의심되는 계정들이 ChatGPT를 통해 허위 이력서, 자기 소개서, SNS 계정 및 게시물을 제작 시도했다는 이유로 해당 계정들을 차단했다고 밝혔다. 

     미국 국토안보부는 최근 화제가 된 ‘김수키’를 북한 정권으로부터 전 세계 정보 수집 임무를 부여받은 단체라고 규정했다. 사이버 공격과 가상자산 탈취, IT 외주 인력, 위장취업, 해외 조력자와의 협력 등으로 정부 기관, 군 기관, 기업 등에 침투해 정보 수집과 자금 확보를 시도하고, 이를 통해 외화 수익을 올려 국제제재 회피와 핵무기 개발에 이용하려 한다는 것이다. 이러한 해킹은 다양한 방법으로 북미, 유럽, 동아시아 등 전세계적으로 빈번하게 시도되고 있다. 

    따라서 AI 등 신기술을 활용한 신종 사이버 공격이 국가 안보를 위협하고 있는 사태에 대비해 보안 체계를 강화하고, 고도화된 대응체계 마련이 시급하다는 경고의 목소리가 커지고 있다.