사진/ FBI 영상물 캡쳐

• ‘페이스스틸러’ 수법 공개 … 피해자 웹캠 영상 900개 이상 확보
• 줌·팀즈 가짜 회의실로 유인해 악성코드 설치 … 오픈소스 개발자까지 공격
• FBI와 법무부, 북한 해킹 조직의 클라우드 기반시설 차단

[텍사스N] 북한 해커들이 화상회의에서 몰래 녹화한 실제 인물의 영상을 이용해 지인을 사칭하고, 가상화폐를 탈취하는 새로운 형태의 사이버 공격을 벌여왔다고 미국 연방수사국(FBI)이 발표했다. FBI는 이 같은 공격으로 최근 18개월 동안 4억 달러 이상의 가상화폐가 탈취됐다며 관련 업계에 긴급 경고를 발령했다.

FBI는 12일(목) 발표한 사이버 보안 경보에서 북한 해킹 조직이 ‘페이스스틸러(FaceStealer)’로 명명된 사회공학적 해킹 수법을 활용해 가상화폐 및 웹3(Web3) 산업 종사자들을 공격하고 있다고 밝혔다.

FBI 로스앤젤레스 지부의 사이버·방첩 담당 특별수사관 제러미 로버트슨(Jeremy Robertson)도 관련 영상을 통해 공격 방식과 위험성을 설명했다. FBI에 따르면 북한 해커들은 줌(Zoom)과 마이크로소프트 팀즈(Microsoft Teams), 구글 미트(Google Meet) 등 널리 사용되는 화상회의 서비스를 정교하게 모방한 가짜 회의실을 만들어 피해자들을 유인했다.

특히 기존 피해자의 웹캠 영상을 몰래 녹화한 뒤 이를 다른 사람과의 화상회의에 재생하는 방식으로 상대방의 신뢰를 얻었다. FBI는 최근 미국 법무부와 함께 북한 해커들이 사용하던 클라우드 기반시설을 차단했으며, 공격에 이용된 피해자 웹캠 영상 900개 이상을 확보했다고 밝혔다.

실제 지인의 얼굴로 접근 … 가짜 화상회의가 공격 통로

페이스스틸러의 핵심은 이미 해킹당한 사람의 신원을 이용해 새로운 피해자를 속이는 데 있다. 공격은 먼저 해커들이 특정 인물의 컴퓨터나 메신저 계정을 장악하는 단계에서 시작된다.

해커들은 피해자의 텔레그램(Telegram), 링크트인(LinkedIn), 슬랙(Slack), 디스코드(Discord) 등 업무·소셜미디어 계정에 접근해 연락처와 대화 내용을 확보한다. 이후 해당 계정의 주인인 것처럼 지인들에게 연락해 사업 협력이나 투자 논의 등을 위한 화상회의를 제안한다. 메시지는 실제로 사용하던 계정에서 발송되기 때문에 상대방이 의심하기 어렵다.

해커들은 이전 대화 내용을 활용해 상대방의 관심사나 업무 관계에 맞춘 메시지를 작성하기도 한다. 회의 일정이 잡히면 줌이나 팀즈의 공식 주소와 비슷하게 만들어진 가짜 링크를 보낸다.

피해자가 링크를 클릭하면 정상적인 화상회의 서비스와 거의 구별하기 어려운 화면이 나타난다. 회의실에 입장하면 평소 알고 지내던 사람의 얼굴이 화면에 나타난다. 그러나 이는 실시간 영상이 아니라 해커들이 이전에 몰래 녹화한 웹캠 영상이다. 여러 명이 참석한 것처럼 보이도록 복수의 녹화 영상을 동시에 재생하는 경우도 확인됐다.

“소리가 들리지 않는다” … 문제 해결 가장해 악성코드 설치 유도

피해자가 화상회의를 정상적인 것으로 믿게 되면 해커들은 기술적인 문제가 발생한 것처럼 상황을 조작한다. 대표적인 수법은 상대방의 목소리가 들리지 않는다거나 회의 프로그램에 오류가 있다는 메시지를 보내는 것이다.

해커들은 문제를 해결하려면 프로그램을 업데이트하거나 특정 명령어를 실행해야 한다고 안내한다. 피해자가 안내에 따라 코드를 복사해 컴퓨터의 명령어 실행창에 입력하면 악성 프로그램이 설치된다.

이 악성코드는 브라우저에 저장된 인증정보를 수집하거나 키보드 입력을 기록하고, 화면을 캡처하며, 외부에서 컴퓨터에 접근할 수 있는 통로를 만들 수 있다. 해커들은 이를 통해 가상화폐 지갑과 복구 구문, 계정 접근권한 등을 탈취한다. 또한 새롭게 감염된 피해자의 메신저 계정과 웹캠 영상까지 확보해 다음 공격에 활용한다.

FBI는 이러한 공격이 반복되면서 피해자가 새로운 피해자를 유인하는 통로로 악용되는 구조라고 설명했다.

가상화폐 훔치기 위해 수개월 이상 기다리기도

북한 해커들의 공격은 컴퓨터를 감염시킨 직후 가상화폐를 빼돌리는 방식에만 국한되지 않았다. FBI에 따르면 일부 사례에서는 해커들이 가상화폐 지갑의 복구 구문을 확보한 뒤 수개월에서 1년 이상 기다린 것으로 나타났다.

피해자의 지갑에 보관된 자산이 증가하면 확보해 둔 정보를 이용해 가상화폐를 탈취하는 방식이다. 이 때문에 감염 직후 별다른 피해가 발생하지 않았더라도 안전하다고 판단하기 어렵다.

FBI는 페이스스틸러 공격을 통해 최근 18개월 동안 4억 달러가 넘는 가상화폐가 탈취됐다고 밝혔다. 이번 공격은 FBI가 사파이어 슬리트(Sapphire Sleet), 블루노로프(BlueNoroff), APT38 등으로 알려진 북한 연계 해킹 조직의 활동으로 분류한 것이다.

이들 명칭은 민간 보안업계와 수사기관에서 사용하는 위협 행위자 분류로, 일부 명칭은 동일하거나 연관된 활동을 서로 다르게 추적한 결과다.

오픈소스 개발자도 표적 … 수백만 이용자에게 피해 확산 우려

FBI가 특히 우려하는 것은 공격 대상이 가상화폐 보유자에서 소프트웨어 개발자들로 확대되고 있다는 점이다. 북한 해커들은 최근 오픈소스 소프트웨어를 개발하거나 관리하는 담당자들의 계정과 컴퓨터를 장악하려는 시도를 강화하고 있다. 오픈소스는 누구나 소스코드를 확인하고 활용할 수 있는 소프트웨어로, 기업과 공공기관의 다양한 서비스에 널리 사용된다.

문제는 인기 있는 오픈소스 프로그램의 관리 계정이 탈취될 경우 악성코드가 정상적인 업데이트나 프로그램 배포 과정에 포함될 수 있다는 점이다. 이 경우 직접 공격받은 개발자 한 명의 피해가 해당 소프트웨어를 사용하는 수많은 기업과 개인에게 확산될 수 있다.

FBI는 올해 북한 해커들이 널리 사용되는 자바스크립트(JavaScript) 라이브러리의 관리자를 가짜 팀즈 화상회의로 유인한 사례도 공개했다. 해커들은 해당 개발자의 컴퓨터를 감염시킨 뒤 소프트웨어 배포 과정에 악성 요소를 포함하려 했다. 이 라이브러리는 매주 수천만 건의 다운로드가 발생하는 프로그램이었다. 다행히 공격이 신속하게 발견돼 대규모 피해로 이어지는 것은 막을 수 있었다고 FBI는 설명했다.

FBI는 자바스크립트 패키지 관리체계인 NPM과 러스트(Rust) 소프트웨어 저장소 등에서도 유사한 공격 시도가 확인됐다고 밝혔다.

딥페이크 영상까지 활용 … 사칭 공격 더욱 정교해져

북한 해커들은 실제 피해자의 녹화 영상뿐 아니라 인공지능을 활용한 딥페이크 영상도 공격에 사용하기 시작한 것으로 나타났다. FBI에 따르면 해커들은 가상화폐와 웹3 업계에서 영향력이 높은 인물들의 공개 사진과 영상을 활용해 가짜 화상회의 영상을 제작하고 있다.

이를 통해 실제로는 회의에 참석하지 않은 유명 인물이 화면에 등장한 것처럼 꾸미는 방식이다. 다만 FBI는 현재 페이스스틸러 공격의 대부분이 여전히 실제 피해자에게서 탈취한 웹캠 영상을 활용하고 있다고 설명했다. 이는 화상회의 화면에 익숙한 사람의 얼굴이 나타난다는 사실만으로 상대방의 신원을 확인하기 어렵다는 점을 보여준다.

FBI “화상회의 링크 직접 확인…업데이트 명령어 실행 금지”

FBI는 가상화폐와 웹3 산업 종사자, 오픈소스 개발자들에게 화상회의 초대와 소프트웨어 업데이트 요청에 각별히 주의할 것을 당부했다. 특히 평소 알고 지내는 사람에게서 회의 초대가 왔더라도 링크를 바로 클릭하기보다 공식 화상회의 애플리케이션을 실행한 뒤 회의 코드로 접속할 것을 권고했다. 오랜만에 연락한 지인이나 새로운 업무 관계자가 회의를 요청할 경우 전화나 문자메시지 등 별도의 수단으로 실제 초대 여부를 확인하는 것이 안전하다.

또한 화상회의에 입장한 직후에는 웹캠을 켜지 말고 상대방과 실제로 대화할 수 있는지 확인하도록 했다. 회의 중 오디오 오류나 프로그램 업데이트를 이유로 명령어를 복사해 실행하도록 요구하는 경우에는 응하지 말아야 한다.

메신저와 업무용 계정에는 다중인증(MFA)을 적용하고, 가상화폐 지갑의 복구 구문과 개인키를 인터넷에 연결된 컴퓨터에 저장하지 않는 것도 중요한 예방 조치다. 이미 감염이 의심된다면 안전한 다른 기기에서 새로운 가상화폐 지갑을 만들고 자산을 이전하는 등 신속한 대응이 필요하다.

동시에 계정 비밀번호를 변경하고 기존 로그인 세션을 종료해야 한다. 업무용 컴퓨터가 감염됐거나 개발자 계정이 탈취됐을 가능성이 있다면 소속 회사와 관련 담당자에게 즉시 알려 추가 피해를 막아야 한다.

FBI는 의심 사례를 인터넷범죄신고센터(IC3.gov)에 신고하면서 ‘FaceStealer’라는 용어를 기재해 달라고 요청했다.

안미향 기자 amiangs0210@gmail.com