AI로 진화하는 북한의 사이버 공격 방식
북한 해킹 조직이 인공지능(AI) 기술을 사이버 공격에 적극적으로 도입하면서, 공격의 규모와 속도가 급격히 빨라지는 등 기존의 해킹 패러다임이 근본적으로 변화하고 있다는 분석이 제기되었습니다. 과거에는 맞춤형 피싱 문서를 제작하거나 악성코드를 개발하기 위해 상당한 인력과 시간이 소요되었으나, 이제는 AI가 이러한 업무를 대체하면서 제한된 자원만으로도 대규모 공격을 수행할 수 있는 환경이 조성되었습니다.
30일 보안 업계에 따르면, 마이크로소프트(MS) 위협 인텔리전스가 최근 발표한 북한 해킹 조직의 AI 활용 실태 보고서에서 이러한 변화가 명확히 드러났습니다. MS는 북한의 해킹 조직 8곳을 대상으로 AI 도입 수준을 분석했으며, 그 결과 3곳은 AI를 일상적인 공격 업무에 완전히 통합한 '운영 정착' 단계에 진입한 것으로 나타났습니다. 이는 전체 4단계 중 가장 높은 수준입니다. 나머지 4개 조직은 AI 활용이 빠르게 확산 중인 '가속' 단계로 분류되었으며, 1개 조직은 일부 업무에만 AI를 사용하는 '확대' 단계에 머물러 있었습니다.
로컬 LLM과 AI 코딩 도구의 결합
특히 한 해킹 조직은 올해 8월에서 9월 사이 한국 이용자들을 노린 맞춤형 PDF 유인 문서를 100개 넘게 만들어냈는데, 이 과정에서 단 몇 분 만에 수십 개의 문서를 생성한 정황이 포착되었습니다. 기존에는 불특정 다수에게 같은 메시지를 뿌리는 방식이나 특정인을 겨냥한 정교한 '스피어피싱' 중 하나를 선택했다면, 이제는 AI를 통해 대상의 직업이나 관심사, 업무 환경까지 반영한 문서를 매우 짧은 시간 안에 제작할 수 있게 된 것입니다.
이러한 움직임은 단순한 문서 제작을 넘어 공격 전반으로 확대되고 있습니다. 국내 보안기업 지니언스는 지난 8월, 북한 해킹 조직인 '김수키'가 외부 서비스에 의존하지 않고 자체적으로 운용 가능한 로컬 대규모언어모델(LLM)과 검색증강생성(RAG) 환경을 구축했음을 밝혀냈습니다. 이들은 로컬 LLM 관리 도구와 AI 에이전트 개발 환경을 갖춘 흔적을 남겼으며, AI 기반 코드 편집기인 '커서(Cursor)'를 사용한 기록도 다수 확인되었습니다. 지니언스 시큐리티 센터는 이를 탈취한 문서 분석과 공격 자동화를 위한 기술 검증 단계로 분석했습니다.
MS 보고서 역시 유사한 흐름을 뒷받침합니다. 북한 조직들이 '커서'와 같은 AI 코딩 도구를 이용해 코드를 생성하거나 오류를 수정하고, 탐지를 피하는 기술을 개발했을 가능성이 제기되었습니다. 또한 에이전틱 AI 기반 침투 테스트 도구인 '아르텍(ARTEX)'을 작전에 활용한 정황도 발견되었습니다. 이처럼 AI가 준비부터 실행까지 전 과정에 투입되면 해커들의 반복 작업 시간이 줄어들어 더 많은 공격을 시도할 여력이 생기며, 특히 코딩 도구는 공격자의 기술적 한계를 보완하는 수단이 됩니다.
가상자산 탈취와 방어 체계의 과제
북한의 위협은 대규모 가상자산 탈취 사건에서도 실체를 드러냈습니다. 미국 보안업체 TRM랩스는 30일, 세계 최대 거래소인 바이낸스의 10개 블록체인 지갑에서 약 63억 6천만 달러(한화 약 8조 5천억 원)라는 역대급 자금이 단 20분 만에 유출되었으며, 그 배후로 북한 해킹 조직 '트레이더트레이터'를 지목했습니다. TRM랩스는 인터넷 연결 지갑인 핫월렛의 서명 시스템 해킹 가능성을 언급했으며, 바이낸스 측은 엔지니어의 노트북 침해를 통한 내부 접근 가능성을 제기했습니다. 다만 이번 사건에 AI가 직접 쓰였는지는 아직 밝혀지지 않았습니다.
공격의 생산성이 높아질수록 방어 측의 부담은 가중됩니다. 공격자가 짧은 시간 내에 다양한 피싱 문서를 만들어내면 기존의 문구나 형식 기반 탐지 방식은 한계에 부딪힐 수밖에 없습니다. 비록 AI 도입이 실제 성공률이나 비용 절감에 미친 영향은 아직 불분명하며, MS 역시 북한 조직이 완전한 자율 공격 단계에 도달했다고 보지는 않았으나, 보안업계는 문서의 외형이 아닌 악성 파일 실행 및 시스템의 비정상적 동작 등 실제 행위를 감지하는 체계 구축이 시급하다고 강조하고 있습니다.