북한 연계 해킹 조직이 AI를 활용해 벌인 사이버 작전에서 한국 금융권도 예외가 아니었던 것으로 나타났다. 구글은 국내 금융서비스 부문이 북한발 위협 활동으로 직접적인 영향을 받았다고 공식 확인했다. 북한 해커들은 AI로 가짜 신원을 만들고 악성코드를 개발하는 등 공격 전 과정에 AI를 접목하며 가상자산 탈취 역량을 끌어올리고 있다.

구글 위협정보그룹(GTIG)은 10일 본지 질의에 “올해 2분기 ‘미드나이트 넵튠(MIDNIGHT NEPTUNE)’을 포함한 복수의 북한 위협 행위자가 작전에 AI를 사용한 사실을 관찰했다”며 “이러한 활동은 아시아·북미·유럽·중동의 금융서비스 및 가상자산 관련 조직에 영향을 미쳤고 한국도 포함됐다”고 밝혔다.

특히 GTIG는 “한국 금융서비스 부문은 GTIG가 관찰하고 북한 위협 행위자의 소행으로 판단한 위협 활동으로 직접적인 영향을 받았다”면서 “한국 기관에 영향을 미친 위협 활동에서 북한 행위자들이 AI를 사용해 무단 접근과 내부 확산을 돕는 스크립트를 작성하는 것을 관찰했다”고 설명했다.

GTIG가 전날 공개한 AI 위협 추적 보고서에는 북한 연계 해킹 조직의 구체적인 AI 활용 수법이 담겼지만 이러한 활동의 영향권에 한국이 포함됐다는 내용은 명시되지 않았다. 다만 GTIG는 보고서에 열거된 각각의 수법이 한국 금융기관을 상대로 사용됐는지는 밝히지 않았다.

미드나이트 넵튠은 금전적 이익을 목적으로 활동하는 북한 연계 해킹 조직으로, 과거 ‘UNC1069’라는 이름으로 추적됐다. 주요 목표는 가상자산 탈취다. 이 조직은 상용 대규모언어모델(LLM)과 공개 AI 모델을 이용해 가짜 인물과 기술지원으로 위장한 미끼를 만들었다. 딥시크 코더 등으로 여러 운영체제(OS)에서 작동하며 감염된 컴퓨터를 원격 조종하는 악성코드도 개발했다. 또 AI로 내부망 내 다른 시스템으로 접근하기 위한 배시 스크립트를 작성하고 개발 도구의 설정을 바꿔 개발자가 작업하는 과정에서 백도어가 자동으로 설치되도록 했다.

다른 북한 연계 조직들은 AI로 항공우주·방산 분야 표적을 분석하거나 가짜 이력서와 채용 담당자 프로필을 제작했다. 북한 IT 인력 연계 조직 최소한 한 곳은 탈취 계정으로 LLM 응용프로그램인터페이스(API)를 대량 등록했다.

한편 북한은 해킹뿐 아니라 IT 인력의 위장 취업을 통해서도 한국 기업에 접근을 시도한 정황이 포착됐다. 글로벌 사이버보안업체 레코디드퓨처는 본지에 북한 IT 인력 연계 활동군 퍼플델타 소속 행위자들이 전자·엔터테인먼트·IT 서비스·유틸리티 분야 한국 기업 최소 네 곳의 해외 자회사에 지원했다고 주장한 사실을 확인했다고 밝혔다. <본지 8월 27일 자 [단독] 北 IT인력, 韓 전자·IT기업 해외법인 위장취업 노렸다 기사 참조> 다만 이들의 지원이 실제 채용으로 이어졌거나 한국 기업 내부 시스템에 접근했는지는 확인되지 않았다.