국내 금융권을 겨냥한 연쇄 해킹 공격의 배후로 중국 광둥성 거주 20대 인물이 지목된 가운데, 중국계 분산서비스거부(DDoS) 공격 대행 조직과의 연관성을 보여주는 추가 정황이 포착됐습니다.
미국 보안업체 크라우드스트라이크가 인공지능(AI) 활용 기록에서 공격자 신원 단서를 찾아낸 데 이어 국내 보안업체 로그프레소도 텔레그램과 깃허브 기록 등을 교차 분석해 조직 연계 가능성을 제기했습니다. 다만 지목된 인물은 명의 도용을 주장하며 혐의를 부인하고 있어 실제 공격 가담 여부는 수사를 통해 확인해야 합니다.
12일 보안업계에 따르면 로그프레소는 최근 분석 보고서에서 금융권 해킹 용의자와 관련된 텔레그램 계정 'YY520CN'이 중국계 DDoS 공격 대행 조직 '갓넷(GodNet)·비타스(VITAS)'의 커뮤니티 감독관으로 활동한 정황을 확인했다고 밝혔습니다. 텔레그램 회원 명단과 깃허브 코드 수정 기록, 악성코드로 유출된 인증정보 등을 대조해 연관성을 추적한 결과입니다. 다만 이 같은 흔적만으로 실제 공격자의 신원이나 금융권 해킹을 주도한 주체를 확정할 수는 없다는 설명입니다.
앞서 크라우드스트라이크는 국내 금융기관을 겨냥한 공격에 중국에서 개발된 AI 침투테스트 도구 '아르텍스(ARTEX)'와 생성형 AI 모델이 활용된 것으로 분석했습니다. 공격자는 AI 코딩 도구 '클로드 코드'를 통해 딥시크 등 중국계 AI 모델을 활용하고, 한국에서 탈취한 개인정보를 판매할 수 있는 경로나 관련 텔레그램 채널을 탐색한 정황도 드러났습니다. 단순한 시스템 침투를 넘어 개인정보를 이용한 금전적 이익을 노렸을 가능성이 제기되는 대목입니다.
공격자의 신원을 추정할 단서도 AI 대화 기록에서 나왔습니다. 보안 연구자 이력서 작성을 요청하는 과정에서 이름 이니셜과 텔레그램 계정, 나이 26세, 중국 광둥성 마오밍시 거주, 화남이공대 학력 등이 입력된 것입니다. 다만 최초 입력된 생년월일과 나이가 일치하지 않는 등 정보의 신빙성을 둘러싼 의문도 남아 있습니다.
공격 인프라 분석에서는 홍콩 소재 서버가 주요 명령제어(C2) 인프라로 활용되고, 별도 서버를 거쳐 국내 금융기관을 공격한 정황도 확인됐습니다. 공격자가 자신의 흔적을 감추기 위해 여러 서버와 경유지를 활용했을 가능성이 제기됩니다.
용의자로 지목된 인물은 텔레그램 계정과 연결된 전화번호가 자신의 것이라는 점은 인정하면서도, 사기범에게 명의를 도용당했을 뿐 해킹과는 무관하다는 입장을 밝힌 것으로 전해졌습니다. 해당 계정의 실제 운영자가 누구인지도 아직 명확히 확인되지 않았습니다.
한편 아르텍스 개발자는 도구가 실제 해킹에 악용됐다는 보도가 나온 뒤 공개 개발과 지원을 중단하고 비공개 방식으로 전환하겠다고 밝혔습니다. 금융권 해킹에 AI 도구가 활용된 정황이 드러나면서, 외부 업무지원 시스템의 접근 권한과 정보 조회 통제 등 금융회사들의 보안 관리 체계를 재점검해야 한다는 지적도 커지고 있습니다.
중국 정부와 연관돼 있,고, 전력 산업과 학계, 그리고 핵심 인프라를 대상으로 파괴적 사이버 작전을 수행한 것으로 추정되는 해커 그룹이 사용한 스캐닝 및 피싱 도구들을 미 연방수사국(FBI)이 압수했다. (사진=블리핑컴퓨터닷컴)
신수정 기자 newcrystal@etomato.com