금융권을 겨냥한 해킹 공격이 확산되는 가운데, 북한 당국이 조직적으로 개입했을 가능성이 커지고 있다. 29일 파악된 바에 따르면, 북한의 사이버 공격은 대외 정보 수집과 공작을 총괄하는 '정찰정보총국' 산하 기관들이 주도하고 있다. 북한은 국가 차원에서 사이버 전문 인력을 양성해 가상자산 탈취와 기밀 탈취, 해외 기업에 대한 위장 취업 등에 적극적으로 투입하는 실정이다.

금융당국이 지난 21일 금융기관들에 전달한 공문에 따르면, 북한의 인터넷주소(IP) 대역을 통한 보안 취약점 탐색인 '스캔성 접근'이 약 440만 건에 달하는 것으로 나타났다. 다만 IP 대역만으로는 공격 주체의 국적을 확정하기 어렵기 때문에, 이번 금융권 해킹 사태의 배후가 북한이라고 단정하기는 아직 이르다는 설명이다.

정찰정보총국 중심의 사이버 테러 체계

북한 해킹 조직의 컨트롤 타워 역할을 수행하는 곳은 정찰정보총국이다. 이 조직은 과거 천안함 폭침과 연평도 포격 사건을 주도했던 '정찰총국'을 확대 개편하여 탄생했다. 김정은 노동당 총비서는 지난 7월 당 중앙군사위원회 확대회의를 통해 정찰정보총국의 임무를 다각화하고, 군사 정찰 및 정보·첩보 역량을 강화하라고 지시한 바 있다. 통일연구원은 이 총국이 기술 절취와 외화벌이, 정보 수집을 병행하는 사이버 테러 및 해외 정보망 확충에 나설 것으로 내다봤다.

다국적제재모니터링팀(MSMT) 역시 지난해 10월 보고서를 통해 정찰정보총국이 북한의 핵심 사이버 조직들을 지휘하고 있다고 밝혔다. 총국 산하에는 '110호 연구소'와 '63 연구센터' 등이 존재하며, 해킹과 IT 외주 업무를 병행하는 '722 연락소'도 파악된다. 군 당국은 북한이 정찰총국을 중심으로 약 8,400명에 달하는 해킹 인력을 운용하고 있을 것으로 추정한다.

이러한 IT 인력들은 당과 군의 다양한 기관에서 활용된다. 미국 FBI는 지난 13일 경보를 통해 무기 개발과 생산을 담당하는 노동당 군수공업부에서 가장 많은 IT 인력이 운용될 것으로 분석했다. 일본 경찰청과 FBI의 지난달 공동 경보에 따르면, 해킹 조직 '워터플럼'과 일부 인력은 군수공업부 산하 '313 총국'에서 활동 중인 것으로 확인됐다.

12명씩 팀 꾸려 해외 기업 위장 취업

FBI 분석 결과, 북한 IT 인력들은 약 12명 단위로 팀을 구성하며 팀장이 소속 기관의 상위 관리자에게 보고하는 체계를 갖추고 있다. 이들은 도용된 신분이나 위조된 서류를 이용해 해외 기업의 원격 근무 자리를 확보한 뒤 본격적인 활동을 시작한다. 활동 거점은 중국, 러시아, 동남아시아 등이며, MSMT는 중국과 러시아를 포함해 라오스, 캄보디아 등 최소 8개국에 이들이 파견된 사실을 확인했다.

이들은 위장 회사를 설립하거나 기존 기업에 취업하는 방식을 사용하며, 때로는 업무를 외부에 맡기기도 한다. FBI는 파키스탄, 인도, 나이지리아의 프리랜서들에게 급여를 지급하며 업무를 재하청하거나, 입사 지원 및 면접 과정을 대행시킨 사례를 포착했다. 또한 해외 조력자의 거점에 업무용 노트북을 다수 설치해 원격 접속하는 '노트북 농장' 방식도 활용한다. 최근에는 적발을 피하기 위해 거점의 수는 늘리되, 거점당 설치된 노트북 수는 줄이는 변화를 보이는 것으로 나타났다.

라자루스·김수키·안다리엘의 표적

북한의 대표적 해킹 조직으로는 라자루스, 김수키, 안다리엘이 꼽힌다. 라자루스는 2014년 소니픽처스 해킹과 2017년 워너크라이 랜섬웨어 공격의 배후로 지목되었다. 당시 소니픽처스는 영화 '인터뷰'와 관련해 기밀 유출 및 수천 대의 컴퓨터 손상이라는 막대한 피해를 입었다. 김수키는 주로 외교·안보 정보 수집에 집중하며, 정부 관계자나 언론인을 사칭한 이메일로 악성 파일을 유포해 계정과 자료를 탈취한다.

안다리엘은 정찰총국 제3국 소속으로, 방산 및 항공우주, 핵 기술 정보를 노리는 것으로 확인됐다. 미 법무부는 이들이 미국 의료기관을 랜섬웨어로 공격해 얻은 자금을 정보 탈취 활동비로 사용했다고 밝혔다. 이러한 인력 양성은 초등학교 시절부터 시작된다. DTEX에 따르면 북한은 수학과 과학에 능한 영재를 선발해 전문학교와 대학에서 교육하며, 이들은 군 장교로 임관해 정찰정보총국이나 군수공업부 IT 조직으로 배치된다.

외교부가 제재 대상으로 지정한 '금성학원'과 '지휘자동화대학'은 이러한 사이버 인력 양성의 핵심 기관이다. 선발된 학생과 가족은 평양 이주 등 혜택을 받지만, 현장에 배치된 후에는 수익 목표를 달성해야 하는 강한 실적 압박을 받는다. 탈취한 자금은 북한 정권의 통치와 무기 개발에 쓰이며, FBI는 IT 인력이 벌어들인 수익의 85~90%를 당국이 수취하는 것으로 보고 있다. MSMT에 따르면 북한이 2024년부터 지난해 9월까지 탈취한 가상자산 규모는 약 28억 4,000만 달러(약 3조 7,991억 원)에 이른다.