그리스 출신 사이버보안 연구원 반겔리스 스티카스(Vangelis Stykas)가 22개월에 걸쳐 북한 국가 연계 해커 조직의 시스템에 직접 잠입한 끝에, 이들이 57개국에서 1,640개 기업을 침해했다는 사실을 밝혀냈다. 그가 발견한 것은 다름 아닌 해커들 스스로가 자신들이 만든 악성코드에 감염돼 있었다는 점이었다.
이 자기 감염 덕분에 스티카스는 해커들의 업무용 컴퓨터와 슬랙(Slack), 디스코드(Discord) 대화 내역, 그리고 약 5테라바이트에 달하는 탈취 데이터에 접근할 수 있었고, 이를 바탕으로 캠페인의 전체 규모를 파악했다. 그는 라스베이거스에서 열린 블랙햇(Black Hat) 보안 콘퍼런스에서 이번 조사 결과를 발표하며, 기존에 알려진 것보다 훨씬 방대한 침해 작전이라고 설명했다.
확인된 피해 기업 중에는 크립토 기업도
스티카스는 피해 조직 중 코인베이스(Coinbase)와 유니스왑 랩스(Uniswap Labs)를 확인했으며, 보스턴 아동병원과 중국 스마트폰 제조사 오포(OPPO)도 명단에 포함됐다고 밝혔다. 피해를 본 1,640개 기업 가운데 700~800곳은 스티카스가 "정말 치명적"이라고 표현한 수준의 침해를 당했다. 공격자들은 "서버에 대한 루트 권한, AWS에 대한 루트 권한"을 얻는 등 회사 전체에 대한 접근 권한을 확보했다고 그는 설명했다.
같이 보면 좋은 기사: 북한 해커 조직 잠입한 연구원, 코인베이스·유니스왑 등 1,640곳 피해 확인
가짜 채용 면접이라는 수법
공격자들의 주된 침투 경로는 가짜 소프트웨어 개발자 채용 면접이었다. 민감한 인프라에 접근 권한을 가진 엔지니어를 표적으로 삼아, 기술 평가나 코딩 툴로 위장한 악성코드를 설치하도록 유도하는 방식이다. 이는 북한이 크립토·기술 기업을 노릴 때 즐겨 쓰는 대표적인 수법 중 하나로 자리 잡았다. 이런 기업의 엔지니어 채용자는 일반적인 기업 침해로는 좀처럼 닿기 힘든 핫월렛, 프라이빗 키, 프로덕션 시스템에 직접 접근할 수 있는 경우가 많기 때문이다.
이번 폭로는 크립토 보안업계가 수년간 경고해왔지만 구체적으로 수치화하기 어려웠던 위협에 대해 보기 드문 내부 시각을 제공한다. 북한 공작원들이 고가치 침해 이후 흔적을 지우는 데 워낙 치밀하기 때문에, 그동안 이 정도 규모를 파악하기는 쉽지 않았다.
