김수키 사례를 보면, 북한 해킹조직 인공지능으로 한국 겨냥 피싱 문서 대량 제작 막는 법

김수키 사례를 보면, 북한 해킹조직 인공지능으로 한국 겨냥 피싱 문서 대량 제작 막는 법

지난 8월과 9월, 북한 해킹조직이 한국 이용자를 겨냥한 맞춤 피싱 문서가 대량으로 만들어졌습니다. 사람이 안전해진 게 아닙니다. 하나씩 손으로 고치던 방식이 아니라는 겁니다.

지난 8월과 9월, 맞춤 피싱 문서가 늘었습니다

마이크로소프트 위협 인텔리전스 발표를 보면, 오닉스 슬릿이 이 두 달 동안 한국 이용자 대상의 맞춤 유인 파일을 100개 넘게 만들었습니다. 파일마다 다릅니다.

대상별 정보가 들어 있었고요. 생성 시각이 수분 차이로 이어져 있었다는 점이 핵심입니다. 사람이 만들었으면 그런 빈도는 나오지 않습니다.

덧붙어 같은 발표는 북한 해킹조직 여덟 곳의 인공지능 도입 단계를 정리했습니다. 운영 정착이 세 곳, 가속이 네 곳, 확대가 한 곳이고 신흥 단계는 아직 없습니다.

대량 제작이 가능해진 원인, 과거와 지금을 겹쳐보면

예전에는 방식이 둘이었습니다. 불특정 다수에게 같은 문서를 뿌리는 방식, 특정인을 겨냥해 정교하게 만든 소수의 문서를 쓰는 방식. 하나를 고르려면 시간이 많이 들었죠.

지니언스 시큐리티 센터 분석을 보면 이쪽은 문제가 달라졌습니다. 북한 해킹조직 김수키가 외부 인공지능 서비스에 데이터를 넘기지 않고도 스스로 돌릴 수 있는 대규모언어모델 환경과 검색증강생성 환경을 직접 꾸긴 정황이 포착됐습니다. 실행 도구와 에이전트 개발 환경, 코드 편집기의 사용 기록이 함께 나타났습니다. 미끼 제작뿐 아니라 문서 분석과 공격 자동화까지 옮겨 갔다는 겁니다.

같은 분석에서 이들이 남긴 피싱 문서의 성격도 짚어 줍니다. 자연스러운 문체와 실제 업무 문서급 완성도로 신뢰를 끌어올린 뒤 악성 파일 실행을 유도했다고 합니다. 대상은 가상자산과 금융 쪽 문서에 특히 많았고요. 지갑 정보, 이메일 계정 정보, 가입 이력까지 무엇을 확인하려 들었는지가 드러났습니다.

왜 이렇게까지 밀어붙이냐면 결국 수익 쪽입니다. 보도에 따르면 세계 최대 가상자산 거래소에서 약 20분 만에 63억 6천만 달러가 유출됐고 북한 해킹조직이 배후로 지목됐습니다. 다만 이번 건에 인공지능이 쓰였는지는 확인되지 않았습니다.

받은 피싱 문서, 무엇을 먼저 봐야 할까

💡

완성도로는 못 막습니다. 발신 경로와 요구하는 행동, 그 두 가지를 따로 보는 걸 습관으로 만들면 됩니다.

확인할 자리를 먼저 정리했습니다.

확인할 자리	확인 포인트	중요한 이유
본문 내용	내 이름과 내 일이 담겼는지	대상별 정보가 있습니다
첨부파일	실행 파일을 숨겼는지	실행을 유도하는 수단
작성 정보	만든 도구와 만든 시각	짧은 시간 연속 생성
요구하는 행동	설치와 계좌와 인증서 요구	실행이 목적
발신 경로	문자, 메신저, 메일 중 어디서	확인할 사람이 곁에

이제 문서 종류를 나눕니다. 나눈 뒤 첫 확인을 바꿉니다.

1. 채용 제안과 면접 일정이라면, 회사 이름보다 채용 공고가 올라온 공식 채널을 먼저 봅니다.
2. 가상자산과 금융 자료라면, 지갑 정보나 계좌, 인증서를 요구하는지만 봅니다. 요구하면 그 자리에서 멈춥니다.
3. 거래와 계약 문서라면, 주소를 눌러 열지 말고 브라우저 주소창에 직접 입력합니다.
4. 첨부파일이 실행 파일일 때는, 열지 말고 아는 번호로 발신자에게 확인합니다.

이 주제에는 신청 창구가 없습니다. 그래서 저는 신고 절차 화면을 직접 확인하는 쪽으로 갔습니다.

경찰청 사이버범죄 신고시스템에서 신고하기를 누르면 민원서류를 먼저 작성하는 구조였고, 피해 내용 진술서를 여섯 항목인 가해자 정보와 피해 일시, 피해 장소, 피해 내역, 범죄 피해 과정, 신고 사유로 채우라는 안내가 붙어 있었습니다. 온라인 접수만으로 끝나지 않고 경찰서 방문이 필수라는 문구도 그대로였습니다. 같은 화면에 소액결제 피해 뒤 이동통신사 고객센터로 구제 신청해 확인서를 받아 신고에 붙이는 절차, 악성앱 감염 의심 시 공인인증서와 보안카드를 폐기하고 재발급받는 절차가 정리되어 있더군요. 한국인터넷진흥원 118 상담 주소는 제가 확인한 시점에 인증서 오류로 열리지 않았습니다. 남은 내용은 지역정보보호센터 안내 페이지와 피싱안심신고 사이트의 자주 묻는 질문에서 확인했고, 카카오톡에서 보호나라 채널을 추가한 뒤 개인 서비스에서 스미싱 확인 서비스를 눌러 의심 주소를 넣는 경로가 적혀 있었습니다.

앞으로 남은 위험, 그리고 꼭 피해야 할 것

규모가 커질수록 방어 쪽 부담이 커집니다. 2026년 10월 하순부터는 에이전틱 침투 테스트 도구를 작전에 쓴 정황이 보고됐고요. 합성 음성과 영상으로 신분을 유지한 사례도 확인됐습니다. 사람이 지휘한다는 평가는 아직 사람이 최종 승인한다는 뜻이죠. 그렇다고 안심할 수는 없습니다.

꼭 피해야 할 것 두 가지. 첫째, 문장이 자연스럽다는 이유로 첨부 파일을 여는 습관. 둘째, 사람이 다룬다니 서버나 회사에 맡기면 된다는 생각. 서버는 막아 주지만 개인 기기와 메신저로 들어온 문서까지 막아 주진 않습니다. 확인 순서를 정착시키는 건 결국 개인의 몫입니다.

마무리

정리하면 이렇습니다. 완성도가 아니라 생성 속도가 달라졌고, 그 속도를 만드는 조직이 늘어났습니다. 대응도 감이 아니라 순서로 가야 합니다. 발신 확인, 실행 금지, 신고와 격리, 이 세 단계를 기억하면 충분합니다.

오늘 바로 할 일은 하나입니다. 받은 문서 하나를 골라 이 순서를 소리 내어 한 번 읽어 보는 겁니다. 다섯 분이면 됩니다.

자주 묻는 질문

Q. 인공지능이 만든 문서도 한국어로 자연스럽게 나오나요? A. 문장 어색함을 찾는 방식으로는 어렵습니다. 발신 경로와 요구 행동을 따로 확인하세요.

Q. 아직 링크나 파일을 안 열었는데? A. 주소만 판별 서비스에 넣고, 실행을 요구한 문자는 화면을 보존한 뒤 신고합니다.

Q. 신고는 어디로 하나요? A. 보이스피싱과 스미싱 통합 신고는 피싱안심신고 사이트와 1394, 형사 접수는 사이버범죄 신고시스템으로 합니다.

오늘은 여기까지. 도움이 되셨으면 좋겠네요. 이 글이 조금이라도 도움이 됐다면 다음 글도 기대해 주세요. 끝까지 읽어주셔서 고맙습니다. 궁금한 점은 댓글로 알려주세요. 방문해 주셔서 감사합니다. 또 다른 주제로 찾아뵙겠습니다.

#북한해킹조직 #피싱문서 #사이버보안 #인공지능 #피싱대처