글로벌 사이버보안 기업 크라우드스트라이크가 국내 금융기관을 겨냥한 해킹 공격에 쓰인 인프라와 공격자의 신원으로 볼 수 있는 단서를 현지시각 7일 공개했다. 공격은 지난달 말부터 이달 초 사이에 이뤄졌고, 그 배후에는 중국 광둥성에 사는 26세 인물이 있을 가능성이 제기됐다.

이력서에 남은 개인정보

단서는 공격자가 인공지능 도구와 나눈 대화에서 나왔다. 공격자는 앤트로픽의 인공지능 모델 ‘클로드 코드’에 보안 연구자 이력서를 써 달라고 부탁하면서, 이름 이니셜과 나이, 학력, 거주지, 텔레그램 계정을 함께 적어 넣었다. 다만 처음 입력한 생년월일은 2007년 9월 22일이어서, 나이로 적은 26세와는 맞지 않는다. 회사는 이 정보가 실제 공격자의 것인지, 일부러 꾸민 것인지는 더 확인해야 한다고 선을 그었다.

대화는 이력서에서 끝나지 않았다. 공격자는 ‘아텍스’라는 도구로 거둔 활동 성과를 구체적으로 적어 달라고 했고, 한국에서 유출된 정보가 보통 어디에서 거래되는지, 한국어로 된 텔레그램 정보 판매방은 어떻게 찾는지도 물었다. 크라우드스트라이크는 공격자가 남긴 텔레그램 계정이 텔레그램 기반 대체불가토큰(NFT) 선물 거래 플랫폼의 취약점을 파악할 때와, 중국 결제 플랫폼으로 추정되는 서비스를 노릴 때도 같은 이름으로 쓰였다고 밝혔다.

도구와 서버 구조

아텍스는 거대언어모델을 바탕으로 스스로 침투 테스트를 진행하는 자율형 도구다. 지난 8월 중국 바이두 보안대응센터가 연 사이버보안 경진대회에서 우승한 오픈소스 프로젝트이기도 해서, 소스코드가 공개돼 있다는 점이 특징이죠.

크라우드스트라이크는 공격자가 홍콩에 있는 서버를 주요 거점으로 삼고, 별도 서버에 아텍스를 설치해 국내 금융기관을 노린 것으로 봤다. 아텍스는 중국 딥시크의 ‘딥시크 V4.1-플래시’ 모델을 주력으로 구동됐고, 클로드 코드를 이용한 추가 작업에는 중국 즈푸AI의 GLM-5.3과 엑스에이아이(xAI)의 그록 4.6도 쓰였다. 공격 과정에서는 우회 경로로 쓰이는 프록시 IP 주소 9개가 확인됐다.

그렇다면 이 공격을 누가 벌였는지가 가장 궁금해지는데요, 회사는 중국산 도구를 쓴 점과 중국어로 된 명령문을 근거로 공격자가 중국어 사용자이고 금전적 동기를 가졌을 가능성을 ‘중간 수준의 확신’ 정도라고 평가했다. 다만 특정 해킹 조직을 이번 공격의 주체로 지목하지는 않았다.

공개 폴더에서 찾은 기록

그럼 이 신원 단서는 어떻게 얻었을까요? 크라우드스트라이크는 금융권 공격과 연관된 서버를 분석하던 중, 외부에 공개된 문서에서 홍콩 소재 공격자 서버 주소를 발견했다. 이어 해당 서버의 공개 폴더에서 클로드 코드 대화 기록과 아텍스 설정 파일 등을 찾아냈고, 이를 토대로 공격 수법과 신원 단서를 정리했다고 설명했다.

이 사건은 앞선 흐름과도 이어진다. 이재명 대통령은 지난 4일 금융기관 개인정보 유출 사고에 대해 철저한 조사와 대책 마련을 지시한 바 있다. 크라우드스트라이크는 이번 사건을 자율형 인공지능 도구와 기존 공격 기술이 함께 쓰인 사례로 보고, 사이버 공격자들의 전술과 기법이 계속 진화하고 있다고 평가했다.

관심은 공격자의 신원이 확정될 수 있을지에 쏠려 있다. 회사도 현재 확보한 정보만으로는 신원을 확정하기 어렵다고 덧붙였기 때문이죠.