[머니투데이 박계현 기자] [특정 타깃 겨녕한 '스피어피싱' 공격 당했을 가능성…北 해커 금성121, 국내 인사 광범위한 해킹 시도]

/사진=임종철 디자인 기자

<이미지를 클릭하시면 크게 보실 수 있습니다>

북한 해커 조직이 태영호 전 영국 주재 북한 공사의 스마트폰 정보를 모두 수집한 사실을 알려지면서 해킹 수법에 관심이 높아지고 있다.

17일 이스트시큐리티에 따르면 북한 해커 조직인 금성121은 특정 개인이나 기업 등을 표적 삼아 PC나 스마트폰에 악성 코드를 심는 '스피어피싱'(Spear Phishing) 공격 수법을 시도해왔다. 이 조직은 같은 수법으로 태영호 공사뿐 아니라 정치인, 보좌관, 통일·외교 관련 언론인 등 다수의 PC나 스마트폰을 대상으로 해킹 시도를 했다.

스마트폰은 언제 어디서나 인터넷에 연결할 수 있는 '작은 컴퓨터'다. 때문에 스마트폰도 PC처럼 언제든 해킹될 수 있다. 문제는 그 피해가 컴퓨터보다 심각하다는 점이다. 연락처·문자·카톡 메시지는 물론 스마트폰으로 촬영한 사진·동영상 등 민감한 사생활 정보들이기 때문이다.

스마트폰을 해킹하는 방법은 주로 악성코드를 심는 것이다. 최근 유행하는 '스미싱'(문자메시지+피싱)공격이 대표적이다. 택배 조회나 제조사·금융기관 공식 사이트 화면을 위장해 사용자 계정 정보 등을 빼낸다.

북한 해커도 같은 방법으로 지난해 하반기 한 언론사의 통일·외교 취재 담당 기자에게 접근했다. 당시 해커는 카카오톡을 통해 해당 기자에게 '대북 정보' 제공을 미끼로 악성 코드가 담긴 링크를 보내 해킹을 시도했다.

피해자가 방심한 사이 문자 메시지의 URL(인터넷주소)을 누른다면 자신도 모르는 사이 악성코드 앱이 받아진다. 이를 설치하고 실행하면 스마트폰 안에 있는 문자·연락처·동영상·사진 등 모든 사생활 정보가 빠져나가거나 소액결제 피해를 볼 수 있다.

스미싱 공격은 불특정 다수를 상대로 이뤄지지만, 특정인 전화번호만 알면 얼마든지 타깃 공격을 시도할 수 있다. 북한 해커 뿐 아니라 주진모 스마트폰 해킹이나 유사한 사례의 유명인 스마트폰 해킹에도 같은 수법이 동원됐다.

━
북한 '해커'만 쓰는 방식?…해외서도 잇단 해킹 피해
━
스마트폰에 악성 코드와 해킹 프로그램을 심는 방식은 국내뿐 아니라 해외에서도 활발하게 쓰이는 수법이다.

캐나다에 망명 중인 사우디아라비아 반체제 인사 오마르 압둘아지즈는 지난 2018년 '주문한 물건이 도착했다'는 택배업체 문자메시지를 클릭했다가 악성 코드인 '페가수스'가 침투해 그의 신상 정보를 모조리 털었다. 얼마 뒤 그와 연락하던 사우디아라비아 국내 인사들이 당국에 끌려갔다.

코드 페가수스는 이스라엘 'NSO그룹'이 세계 각국 정부의 주문을 받고 제작한 악성 코드로 해킹 프로그램과 함께 판매된다.

아마존 창업자이자 CEO인 제프 베이조스 역시 같은 수법에 당했다.

베이조스는 지난 2018년 5월 빈 살만 사우디아라비아 왕세자로부터 모바일 채팅앱 '왓츠앱' 메시지를 받은 직후, 사생활이 담긴 문자 내역을 포함한 방대한 정보가 유출됐다고 주장했다. 당시 빈 살만 왕세자가 보낸 메시지는 사우디 통신 시장을 홍보하는 아랍어 동영상인 것으로 알려졌다.

유엔 측은 카슈끄지 사건을 조사한 이후 "사우디 왕실이 베이조스 아이폰에서 카슈끄지 위치와 연락처 같은 정보를 빼냈을 수도 있다"고 분석했다.

2014년엔 할리우드 인기 배우 제니퍼 로렌스의 아이클라우드 계정을 해킹해 누드 사진을 유포한 남성이 경찰에 붙잡히기도 했다. 이 남성은 제니퍼 로렌스뿐 아니라 모델 겸 배우 케이트 업튼 등 약 240개의 아이클라우드 계정을 해킹한 다음 개인정보를 유포했다.

/사진=임종철 디자인 기자

<이미지를 클릭하시면 크게 보실 수 있습니다>

━
내 스마트폰은 안전할까…해킹 예방법은
━
스마트폰 해킹 피해를 예방하려면 출처가 확인되지 않은 문자메시지의 URL을 누르지 않는 것이 최선이다. 지인에게서 온 문자라도 인터넷 주소가 포함됐다면 확인후 이용할 필요가 있다.

스마트폰용 백신프로그램을 설치하고 주기적으로 업데이트하는 것도 중요하다. 보안 앱을 위장한 악성코드 앱이 있을 수도 있다. 앱에서 보안 강화나 업데이트 명목으로 금융정보를 요구한다면 절대 입력하지 말아야 한다.

앱은 공식 앱스토어를 통해서만 내려받는 것도 중요하다. 인터넷 사이트에서 URL을 통해 앱을 다운 받다가 악성코드를 함께 내려 받을 가능성도 있기 때문이다. 또 만일을 대비해 통신사 고객센터에서 소액결제 금액 한도를 낮춰두는 것도 큰 피해를 예방하는 방법이다.

스미싱 의심 문자를 수신했거나 악성코드감염 등이 의심되는 경우 불법 스팸대응센터(국번없이 118·한국인터넷진흥원)에 신고하면 다른 사람에게 유사한 내용의 스미싱을 발송하는 등의 2차 피해를 예방할 수 있다. 또 악성코드 제거 방법 등을 24시간 무료로 상담받을 수 있다.

보안업계 관계자는 "출처가 불분명한 문자나 SNS 메시지를 수신할 경우 열람을 되도록 지양하는 것이 바람직하다"고 당부했다.

박계현 기자 unmblue@

<저작권자 ⓒ '돈이 보이는 리얼타임 뉴스' 머니투데이, 무단전재 및 재배포 금지>