3줄 요약
- 보안기업이 금융권 해킹 공격자를 광둥성 26세로 추정했다.
- 단서는 AI 코딩 도구에 이력서를 쓰게 하며 입력한 개인정보였다.
- 같은 텔레그램 계정이 다른 공격에서도 쓰였으나 신원은 단정되지 않았다.
글로벌 사이버보안 기업 크라우드스트라이크는 7일(현지시간) 공개한 분석 보고서에서 한국 금융권을 노린 해킹 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 밝혔다.
언론 보도에 따르면 이번 사태에서 공격자 신원과 관련한 단서가 포착된 것은 처음이다. 크라우드스트라이크는 정황에 따른 추정일 뿐 확정적 신원 특정은 아니라고 선을 그었다.
단서는 공격자가 생성형 인공지능(AI) 코딩 도구 ‘클로드 코드’를 쓰는 과정에서 나왔다. 보고서에 따르면 공격자는 자신의 침투테스트 성과를 담은 보안 연구자 이력서를 써 달라고 요청했고, 이 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보가 함께 입력됐다.
보고서는 해당 텔레그램 계정이 다른 사이버 공격 정황에서도 발견됐다고 전했다. 텔레그램 기반 대체불가토큰(NFT) 선물 마켓플레이스의 취약점을 조사한 세션과 중국의 한 결제 플랫폼을 겨냥한 공격 정황에서도 같은 계정명이 쓰였다는 것이다. 크라우드스트라이크는 이런 교차 정황을 근거로 동일 인물일 가능성을 제시하면서도, 현재까지 확보한 정보만으로는 신원을 단정할 수 없다고 덧붙였다.
이 공격자는 한국 금융 정보를 통상 어디서 판매하는지, 한국어 텔레그램 데이터 판매방을 어떻게 찾을 수 있는지도 클로드에 물은 것으로 전해졌다. 중국어 사용자로 추정되는 공격자가 금전적 동기에 따라 움직였을 가능성은 중간 수준의 신뢰도로 평가됐다.
크라우드스트라이크는 앞서 지난달 말부터 이달 초 사이 한국 금융기관을 겨냥한 공격이 이뤄졌다고 분석했다. 공격자는 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 ‘아르텍스'(ARTEX)와 대규모언어모델(LLM)을 함께 활용했다. 이번 보고서에서는 홍콩 소재 IP 주소를 주 통제 인프라로 삼고, 한국 공격에는 별도 IP 주소의 서버를 쓰는 두 단계 구조였으며 9개의 우회 경로(프록시) IP 주소를 추가로 활용한 것으로 파악됐다.
4일 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 해킹 사고에서 동일 공격자가 AI 도구를 활용한 정황이 발견됐다. 2일에는 KB국민은행에서 고객 정보 100여 건이 외부 침입으로 유출된 사실이 확인됐다는 보도도 나왔다.
8일 한 온라인 커뮤니티에는 ‘[속보] 한국 금융권 해킹범, 중국 광둥성 26세 추정…신원 단서 포착’이라는 제목으로 이 소식을 전한 기사 캡처가 올라왔다. 댓글창에는 해커가 쓴 도구의 서버가 열려 있어 클로드 코드 작업 세션이 그대로 노출돼 있었다는 취지의 설명이 달렸다. 다른 누리꾼은 “26살 짜리가 이게 가능하다고? 한두명으로 될 사업이 아닌거 같은데”라며 의문을 제기했다.
크라우드스트라이크는 2011년 설립된 미국 사이버보안 기업으로, 지난해 매출은 40억달러이며 나스닥에 상장돼 있다.
댓글0