마이크로소프트(MS) 위협 인텔리전스(Microsoft Threat Intelligence)가 지난 29일(현지시간) 공개한 ‘북한 위협 행위자의 해킹 기법에 AI 도입 추적(Tracking AI adoption in North Korean threat actor tradecraft)’ 보고서에 따르면 북한 해킹 조직들은 정찰, 사회공학적 공격, 신분 위장, 악성코드 개발, 침해 이후 분석 등 사이버 작전 전반에서 AI 활용을 확대하고 있다.
MS는 북한 해킹 조직의 AI 활용 수준을 초기, 확장, 가속화, 실전 배치 등 4단계로 분류했다. 일부 주요 조직은 AI를 일상적인 작전 과정에 통합한 최고 단계인 실전 배치 단계로 평가됐다. 다른 조직들도 AI 활용을 빠르게 확대하는 가속화 단계에 진입한 것으로 분석됐다.
한국 사용자를 겨냥한 피싱 공격에서 AI 활용 정황이 구체적으로 드러났다. MS는 북한 해킹 조직이 지난 8~9월 한국 사용자를 표적으로 삼아 개인별 정보를 담은 PDF 유인 문서 100개 이상을 제작한 사실을 확인했다.
파일 메타데이터를 분석한 결과, 공격자는 불과 몇 분 사이 수십 개의 미끼 문서를 연속으로 만들었다. MS는 이러한 제작 패턴을 근거로 AI 플랫폼을 활용했을 가능성이 매우 높다고 평가했다.
가짜 이력서와 채용 담당자, 기업을 앞세운 신분 위장에도 AI가 동원됐다. 한 북한 해킹 조직은 지난 6월 8일부터 12일까지 닷새 동안 AI 기반 블록체인 기업 등을 포함한 위장 회사 3곳과 채용 담당자 프로필을 만들어 보안·AI·블록체인 업계 종사자들에게 접근했다.
해외 기업에 원격 근무자로 위장 취업해 외화를 벌어들이는 북한 IT 인력도 생성형 AI와 에이전트형 AI를 이력서 작성과 가상 신분 구축에 활용하고 있다. 여러 위장 취업자 계정의 업무 성과와 의사소통을 일관되게 유지하는 데도 AI를 이용하는 것으로 파악됐다.
또 다른 북한 해킹 조직은 기존 사회공학적 공격을 보완하기 위해 AI로 만든 음성과 영상 등 합성 미디어를 활용하려는 정황도 보였다.
악성코드 개발과 소프트웨어 공급망 공격에도 상용 AI 기술이 활용되고 있다. MS는 여러 북한 해킹 조직이 AI 코딩 도구인 ‘커서(Cursor)’ 등을 이용해 코드 생성과 변환, 디버깅, 리팩토링, 난독화 작업을 지원받은 정황을 확인했다.
지난 8월 러스트(Rust) 개발자를 겨냥한 소프트웨어 공급망 공격에서도 AI 활용 정황이 드러났다. 공격자는 악성코드를 개발하고 수정하는 과정에서 AI를 활용했으며, 동적 닷넷(.NET) 컴파일 기법 등을 적용해 보안 탐지를 회피하려 했다.
또 다른 공격 조직은 지난 4월부터 비공개 깃허브(GitHub) 저장소를 악성코드 유포 경로로 활용하는 작업도 진행했다. 기존 악성코드 실행 과정에 악성 코드를 심은 저장소를 연결하는 새로운 공격 절차를 구축하는 데 AI 개발 플랫폼을 활용한 것으로 MS는 분석했다.
에이전트형 AI를 활용한 공격도 확인됐다. MS에 따르면 북한 해킹 조직들은 오픈소스 에이전트 기반 AI 모의 침투 테스트 프레임워크인 아르텍스(ARTEX)를 실제 공격 작전에 활용했다. 침해 이후에는 탈취한 대량의 정보를 AI로 요약하고 분석해 후속 공격을 판단하는 방식도 나타났다.
◇MS “AI가 독자적으로 해킹하는 단계는 아냐…기업 채용 검증 강화해야”
MS는 북한 해킹 조직들이 AI를 활용한다고 해서 AI가 독자적으로 공격을 수행하는 단계에 도달한 것은 아니라고 강조했다. AI 활용은 북한의 기존 목표인 정권 수익 창출과 전략 정보 수집을 뒷받침하기 위한 수단이라는 설명이다.
MS는 AI 기반 사이버 작전도 여전히 인간 운영자의 지휘와 개입 아래 이뤄지고 있다고 분석했다. 해커가 공격 목표와 방향을 정하면 AI가 문서 제작과 코드 개발, 정보 분석 등을 지원해 공격 속도와 규모를 키우는 구조라는 것이다.
기업의 대응 방안으로는 조직 내 AI 자산과 에이전트의 활동을 파악하고 위험을 통제하는 AI 거버넌스 체계 구축을 제시했다. 북한 IT 인력의 위장 취업을 막기 위한 채용 검증 강화도 권고했다. 지원자의 실제 거주지와 고유 연락처를 확인하고, 여러 차례 카메라를 켠 화상 면접을 진행하는 등 신원 확인 절차를 강화해야 한다는 것이다.
