구글 “북한 연계 해커, 로그인 정보 탈취 시도”

북한과 연계된 해커들이 개인 로그인 정보를 훔치기 위해 ‘데이터 통로’ 소프트웨어를 공격했다고 구글이 31일 밝혔다.

구글에 따르면 해커들은 전날 앱과 웹 서비스를 연결하는 오픈소스 프로그램인 ‘악시오스’ 업데이트에 악성 코드를 심었다.

악시오스는 웹 브라우저나 앱이 서버와 정보를 주고받을 수 있게 연결해주는 일종의 ‘데이터 통로’ 역할을 하는 소프트웨어다.

전문가들은 이 악성 코드가 컴퓨터의 데이터 접근 권한을 장악할 경우, 로그인 자격 증명 탈취나 추가적인 데이터 도난 등 심각한 피해로 이어질 수 있다고 분석했다.

악성 코드는 이후 하루 만에 발각돼 제거됐지만 악성 코드가 포함된 프로그램이 몇 번이나 다운로드 됐는지는 명확히 밝혀지지 않았다.

사이버 보안 전문기업 일래스틱 시큐리티는 분석 보고서에서 “해커들은 맥·윈도·리눅스 운영체제별로 악성 소프트웨어를 제작했으며, 이는 공격자가 수백만개의 시스템에 침투할 수 있는 전달 메커니즘을 확보했음을 의미한다”고 밝혔다.

구글은 이번 해킹을 ‘UNC1069’라는 북한 연계 해킹 그룹의 소행으로 판단했다.

UNC1069는 암호화폐와 금융 분야를 타깃으로 하는 해킹 그룹으로, 최소 2018년부터 활동을 시작한 것으로 추정되고 있다.

구글은 지난 2월 발표한 보고서에서도 이미 UNC1069의 활동을 경고한 바 있다.

구글 위협 인텔리전스 부문 수석 분석가인 존 헐트퀴스트는 이날 성명에서 “북한 해커들은 소프트웨어 공격에 대한 경험이 풍부하며, 그들은 이를 주로 암호화폐를 훔치는 데 사용한다”고 했다.

북한이 무기 자금을 확보하고 국제사회의 제재를 회피하기 위해 해킹으로 암호화폐를 훔쳐내고 있다는 것이다.

특히 악시오스는 오픈소스 소프트웨어로, 누구나 소스 코드를 확인하고 자유롭게 수정할 수 있는 구조다.

사이버 보안 기업 센티넬원의 톰 헤겔 선임연구원은 “웹사이트 접속, 은행 잔고 확인, 스마트폰 앱 확인 등 일상적인 모든 동작의 이면에는 악시오스가 작동하고 있을 가능성이 크다”며 “사용자가 무언가 잘못 클릭하거나 실수를 저지르지 않더라도, 모르는 사이 악시오스가 공격을 수행할 수 있다”고 지적했다.

유엔 주재 북한 대표부는 로이터통신의 관련 논평 요청에 답변하지 않았다.

정시내 기자 jung.sinae@joongang.co.kr