북한 해킹 조직, 생성형 AI로 한국 맞춤형 피싱 문서 수십 개씩 양산

생성형 AI 활용한 대규모 피싱 공격 정황 포착

북한의 해킹 세력이 생성형 AI 기술을 동원해 한국 이용자들을 노린 피싱 문서를 대량으로 제작한 정황이 드러났다. 개인정보를 빼내거나 악성코드를 심기 위한 목적으로 제작된 이 문서들은 생성형 AI를 활용해 공격 대상에 최적화된 형태로 만들어진 것으로 보인다. 지난 7월에는 한국의 군 관련 기관을 사칭해 생성 이미지가 포함된 악성 이메일을 뿌린 사례가 있었는데, 이번에는 AI를 통해 단 몇 분 만에 수십 개의 맞춤형 피싱 문서를 찍어내는 방식으로 진화했다. 다만 이번에 제작된 문서들이 실제로 발송되었는지, 혹은 이로 인한 구체적인 피해가 발생했는지는 아직 확인되지 않았다.

보안 전문 기업인 맨디언트(Mandiant)가 발표한 보고서에 따르면, 북한의 해킹 그룹인 '오닉스 슬릿(Onyx Slit, 국내명 안다리엘)'은 올해 8월부터 9월 사이에 한국인을 겨냥한 맞춤형 공격을 수행했다. 맨디언트 측은 파일의 생성 시점 등 메타데이터를 정밀 분석한 결과, 수 분 내에 수십 개의 문서가 생성된 흔적을 찾아냈으며 이를 토대로 이들이 생성형 AI 플랫폼을 사용했을 가능성이 매우 높다고 결론지었다. 다만 해당 공격자들이 어떤 경로를 통해 AI 관련 파일을 확보했는지에 대해서는 구체적인 정보가 공개되지 않았다.

북한 해킹 조직의 AI 도입 단계와 기술적 진화

맨디언트는 오닉스 슬릿뿐만 아니라 북한 소속 해킹 조직 8곳의 AI 활용 수준을 심층 분석했다. 조사 결과 제이드 슬릿, 코럴 슬릿, 재스퍼 슬릿 등 총 3개 조직은 AI를 일상적인 공격 업무에 완전히 통합한 '운영 정착' 단계에 진입한 것으로 나타났다. 나머지 4개 조직은 AI 활용이 급격히 늘어나는 '가속' 단계에 있으며, 1개 조직은 일부 업무에만 적용하는 '확대' 단계에 머물러 있는 것으로 분석됐다.

특히 북한 해킹 세력은 단순한 피싱 문서를 만드는 수준을 넘어 기업의 소프트웨어를 직접 타격하는 기술까지 확보한 것으로 보인다. 보고서에 따르면 '코럴 슬릿' 조직은 지난 4월부터 기업들의 비공개 깃허브(GitHub) 저장소 내 소스 코드에 악성 코드를 심는 공격 방식을 실전에 도입했다. 맨디언트는 이러한 기능이 매우 짧은 기간에 개발되어 광범위하게 쓰이고 있다는 점을 들어, AI 기반 개발 도구가 활용되었을 확률이 매우 높다고 평가했다. 공격을 받은 기업이나 피해 규모는 밝혀지지 않았다.

소프트웨어 개발자 겨냥한 정밀 공격 지속

또 다른 조직인 '사파이어 슬릿' 역시 지난 8월 소프트웨어 개발자들을 대상으로 한 공격 과정에서 AI를 이용해 악성코드의 기능을 고도화한 것으로 추정된다. 맨디언트는 북한 조직들이 AI를 통해 기존 공격의 속도와 효율성을 획기적으로 높이고 있다고 경고했다. 다만 이러한 기술적 진보에도 불구하고, 최종적인 공격 목표를 설정하거나 핵심적인 의사결정을 내리는 과정은 여전히 사람이 직접 주도하고 있는 것으로 분석되었다.