北 ‘래저러스’ 소행 해킹 사례와 일부 코드 일치

“랜섬웨어 공격 北배후 정황”

래저러스, 방글라데시銀 해킹
8100만달러 빼돌려 유명해져

미래부 “단정할 상황 아니다”
국방부, 인포콘 3단계로 격상

전 세계적으로 파문을 몰고 온 랜섬웨어 ‘워너크라이(WannaCry)’가 북한과 연계됐을 가능성이 제기되는 핵심에는 ‘래저러스(Lazarus)’라는 해킹 그룹이 자리하고 있다. 과거 방글라데시 중앙은행 계좌를 턴 것으로 알려진 래저러스는 북한 연계설이 끊임없이 제기되고 있는 해킹 집단으로, 워너크라이에 사용된 코드와 래저러스가 사용하는 코드가 매우 유사하다는 것이다.

16일 외신과 국내 보안업체 등에 따르면 래저러스는 2016년 2월 뉴욕 연방준비은행에 개설된 방글라데시 중앙은행 계좌를 해킹해 8100만 달러를 부정 인출한 것으로 추정된 해커 그룹이다. 러시아 사이버 보안업체인 ‘카스퍼스키’는 지난 4월 열린 안보 콘퍼런스에서 북한의 컴퓨터와 래저러스가 연결된 실마리를 찾았다고 발표하면서 래저러스와 북한의 연계 의혹을 제기했다. 래저러스 해커들이 해킹에 사용한 서버에 남은 사용 내역을 삭제하지 않았는데, 해당 서버가 북한 내 컴퓨터와 연결된 기록이 남아 있었다는 것이다.

보안업체 시만텍은 래저러스가 방글라데시 중앙은행 해킹 때 사용한 악성코드가 김정은 북한 노동당 위원장 암살을 다룬 영화 ‘더 인터뷰’ 제작사인 소니픽처스를 해킹했을 때 사용한 것과 같다는 분석을 내놓기도 했다. 특히 래저러스는 지난 2009~2013년 한국 정부기관과 방송사 등에 대한 해킹 사건 배후로 지목되기도 했다.

카스퍼스키는 이번 워너크라이에서 발견된 코드가 래저러스가 사용하는 코드와 유사한 만큼, 워너크라이 확산 사태에 북한이 깊게 연관돼 있을 가능성이 있다고 주장하고 있다.

국내 민간 사이버 보안업체들은 신중한 입장을 보였다. 보안업체 이스트소프트 김진욱 팀장은 “사람마다 독특한 억양이나 말투가 있듯 코드에도 패턴이 있다”면서 “패턴 유사성이나 해킹 행위의 유사성, 특정 서버 위치 등을 토대로 랜섬웨어 제작자를 추정할 수는 있다”면서도 “하지만 특정 집단 소행이라고 단정할 만한 직접적인 증거를 찾기는 매우 어렵다”고 설명했다.

하지만 사이버테러에 대한 경계감은 극도로 높아진 상황이다. 이날 군당국은 정보작전방호태세인 ‘인포콘’을 한 단계 격상시켰다. 국방부 관계자는 “랜섬웨어 확산에 편승한 적대 세력의 군 사이버망 공격에 대비해 지난 14일 합동참모본부의 인포콘을 ‘준비태세’ 단계인 4에서 ‘향상된 준비태세’ 단계인 3으로 격상했다”고 밝혔다. 인포콘 단계가 높아질수록 군의 사이버침해대응팀(CERT) 요원이 증강 배치된다.

국내 워너크라이 피해 증가세는 주춤했다. 한국인터넷진흥원 등에 따르면 이날 오전 9시까지 워너크라이 피해 의심 신고는 13건으로, 이 가운데 10건은 피해 신고를 정식으로 접수하고 기술 지원을 받고 있다.

장석범 기자 bum@munhwa.com