최근 일부 언론에서는 대통령 해외 순방과 관련하여 북한에 기밀 유출이 발생하였을지도 모른다는 이야기가 나오고 있습니다. 성남공항에서 순방 출발 당일 발생한 1시간가량 일정 지연의 원인 중 하나가 해킹으로 인한 일정 유출이라는 내용입니다. 문제는 이런 종류의 기밀 정보 유출 사례가 이미 이전에도 있었다는 점입니다. 

​개인 메일 사용의 허점을 파고든 해킹 공격

실제 2023년 11월 영국 국빈 방문을 앞두고 대통령실 직원이 외부 이메일을 사용하면서 현지 일정 같은 보안 사항이 북한 추정 세력에 해킹당한 사례가 있었습니다. 보안 규정상 대통령실 공식 이메일을 사용해야 하는데, 행정관급 직원이 개인 이메일을 함께 사용하다가 해킹당한 겁니다. 

대통령실 이메일은 외부에서 첨부 파일에 접근할 수 없는 것으로 알려져 있는데요. 당시 대통령실 관계자는 관련 정부 부처와 자료를 공유하기 위해 개인 이메일을 사용한 것으로 보인다고 설명했습니다.

그래도 많이 이상합니다. 문화체육관광부가 관리하고 있는 공직자 통합메일 서비스가 있는데 정부 부처와 자료를 공유하기 위해 사용했다면 당연히 통합메일을 사용하는 편이 안전하기 때문입니다. 

공직자 통합메일은 계정만으로는 로그인 할 수 없고, 행정전자인증서가 있어야만 접속할 수 있는 서비스입니다. 2008년 10월 이후 공무원은 사무실에서 공직자 통합메일 이외의 메일을 사용할 수 없고, 사무실에서 민간 사용 포털의 2차 인증으로 공직자 통합메일 계정을 사용하더라도 행정인증서 기반으로만 접속할 수 있는 공직자 통합메일의 보안을 뚫을 수는 없습니다.

북한 해커 조직의 스피어피싱에 걸려든 타겟 

이후 밝혀진 진상에 따르면 당시 행정관은 산업통상자원부에서 대통령실로 파견 나온 공무원으로, 정부 시스템에 접근해 대통령 순방 일정 등을 체크한 뒤 네이버 메일을 사용해서 관련 자료를 공유했는데, 평소 정부 인사를 호시탐탐 노리던 북한 해커가 행정관의 아이디와 패스워드 등 계정정보를 탈취하면서 대통령실 자료가 외부로 유출된 것으로 국가정보원의 역추적에 의해 확인되었습니다. 

당시 국가정보원은 "주로 활동하는 북한 해커조직을 모니터링하던 중 대통령 순방 일정 등 정보가 포착돼 역추적한 결과 네이버 메일을 통해 유출됐고, 당시 순방에 동행했던 행정관 메일로 확인된 것으로 알고 있다"고 해당 사건에 대해 언급했습니다.

실제 북한의 사이버 공격 트렌드를 살펴보면 스피어피싱이 가장 많습니다. 그리고 웹사이트를 노린 워터링홀 공격, 공급망 공격이 주로 감행되는데요. 최근에는 스피어피싱에 사회공학적 기법이 더해지는 등 더욱 고도화되고 있습니다. 

피싱과 유출된 개인 정보를 활용한 사회공학적 해킹 

특히 주요 타깃인 외교, 안보, 국방, 통일 분야 인사들에겐 집중적 공격이 이어지고 있죠. 지난 5월 중순에는 이신화 북한인권국제협력대사를 사칭한 SNS 계정이 발견되기도 했습니다. 언뜻 보기엔 이 대사의 공식 SNS 같지만, 북한 정찰총국 산하 해킹조직 '김수키'가 만든 사칭 계정으로, 국내 대북 전문가들에게 접근을 시도하여 비공개 문건 등의 자료를 공유하는 척 악성코드 유포 시도를 하기도 했습니다. 

미 국방부 핵 미사일 차관보의 이름으로도 SNS 계정을 생성, 악성코드를 배포하기도 했는데요. 이 악성코드는 세계 60개 백신 프로그램도 탐지하지 못한 새로운 악성코드였다고 알려져 있습니다. 또한 2022년 1월에는 외교부가 해킹 공격을 받아 스팸메일 차단 시스템에 저장된 파일 약 4GB 분량이 유출된 것으로 확인되기도 했습니다.

지속적인 해킹 피해 발생에 대해 보안업계에서는 피싱 메일로 일단 계정이 유출되거나 다크웹에 유출되어 있는 계정정보를 입수하는 등 정보가 잠재적 공격자의 손에 들어가게 되면 언제나 스피어피싱이 발생할 가능성이 있는 것이나 다름없다고 합니다. 또한 이런 사이버 공격은 계속 일어나고 있다고 볼 수 있는데요. 

최근에는 좀 더 정밀한 공격을 위해 지인, 인맥관계, 활동 범위 등 사전에 정보를 입수하고, 주변인물 등 공격 대상자를 물색해 점점 좁혀가는 방식으로 목표를 정하기도 합니다. 신원이 공개되어 있는 사람일수록 사회공학적 해킹의 목표가 되기에 더욱 좋은 것이죠.

사용자 로그 분석부터 보안관리까지, 해킹 방지를 위한 준비

망분리 시스템은 이러한 공격을 원천적으로 방어할 수 있지만, 보통 이렇게 되면 사용자가 업무에 불편함을 느끼는 측면이 있고, 이러다 보면 통제를 우회하려는 시도가 발생하게 된다는 문제가 있습니다. 대부분의 경우 보안과 업무 편의성은 반비례한다고 알려져 있으니까요. 

그런 의미에서 사용자의 행동 로그, 즉 중요 문서 생성이나, DRM 해제 및 외부 반출기록, 프로그램 실행 기록 등 사용자 PC에서 발생하는 다양한 로그 정보를 모니터링해 사용자 행동을 패턴화, 이상징후를 정교하게 탐지하는 방법이 통제를 강화하는 것보다 더 효과적일 수 있다는 점에서 착안한 감사 로그 분석 도구도 점점 대두되고 있습니다.

한편 조직 내부에서의 보안 관리 역시 매우 중요합니다. 보안 사항으로 취급되는 대통령의 대외비 일정이 팬클럽이나 지지자들 사이에서 공유된 사례가 보도되기도 했는데요. 한 언론에서는 2024년 2월 늘봄학교 현장간담회 일정이 사전에 유출되었다며 해당 문자 메시지를 공개하기도 했습니다. 이런 유출 사고가 한두번이 아니라 자주 발생하고 있다는 점에서 더욱 우려가 되지 않을 수 없습니다. 

해킹을 방지하고 보안사고를 예방하기 위해서는 무엇보다 조직 내 인원의 보안의식 제고가 가장 중요하며, 업무 편의성을 높이면서도 보안 취약점이 발생하지 않을 시스템과 워크플로우의 구축, 그리고 사용자 행동 감사가 가능한 로그 수집 및 분석 기능이 모두 필요하다 할 수 있겠습니다. 

인텔렉추얼데이터는 주기적인 보안 교육과 훈련, 업무 시스템의 구축, 그리고 엄격한 시스템 활동과 업무망 분리를 통해 보안 사고 예방과 안전한 전자증거개시 지원에 최선을 다하고 있습니다.