[디지털데일리 김보민기자] 북한 연계 해킹조직이 배후로 지목된 보안 사고가 이어지고 있다. 2025년 대형 암호화폐 거래소 바이비트에서 15억달러(약 2조원)를 탈취한 데 이어 올해도 일명 '돈줄'을 노린 공격이 계속되고 있다. 업계 관계자인 것처럼 위장해 내부 접근권을 얻은 뒤 자금을 탈취하는 '신뢰 악용' 공격도 거세지고 있다.
글로벌 사이버보안 기업 크라우드스트라이크는 이러한 북한 배후 공격이 잠잠해질 틈 없이 고도화될 것으로 전망하고 있다. 파비오 프라투첼로 크라우드스트라이크 필드CTO는 <디지털데일리>를 만나 "북한은 국가 차원의 정치적 목적을 달성하기 위해 공격을 수행한다"며 오징어릴게임 "글로벌 제재 대상임에도 불구하고 금전적인 동기로 공격을 가한다는 독특한 특징이 있다"고 밝혔다.
북한 연계 해킹조직을 국가 기반 공격자이자 사이버 범죄자인 '이크라임(e-crime)'으로 분류해야 한다는 취지다. 프라투첼로 필드CTO는 "실제 북한은 약 15억달러 규모 암호화폐를 탈취한 이력이 있고, 이는 역대 보고된 사건 중 가장 큰 백경게임 규모로 기록됐다"며 "북한은 체제를 유지하기 위해 금전적 목적으로 공격을 지속 수행할 것"이라고 예측했다.
이러한 위협은 올해도 계속되고 있다. 솔라나 기반 탈중앙화 거래소 드리프트는 최근 발생한 4000억원 규모 해킹 경위를 소개하며 사고 배후로 북한 정부 지원을 받는 해킹 조직 UNC4736을 지목했다. 드리프트에 따르면 이 조직은 바다신2다운로드 온·오프라인 행사에서 업계 관계자로 위장해 신뢰를 쌓았고 해킹에 성공했다.
프라투첼로 필드CTO는 "일반적인 국가 기반 공격자는 먼저 접근권한을 확보한 뒤 가능한 오랫동안 조직 내부에 잠복하며 정보를 수집한다"며 "반면 이크라임 공격자는 빠르게 침투하고, 경우에 따라 의도적으로 노이즈(noise)를 발생시켜 금전을 취득한다"고 말했다.
오션파라다이스예시 사고 대응에 대한 부담이 커진 이유다. 프라투첼로 필드CTO는 "사고(인시던트) 대응팀과 고객에게 '랜섬웨어 공격을 당했는지 어떻게 알 수 있냐'고 물으면 '공격자가 알려주기 때문에 알 수 있다'고 답하지만, 반대로 '국가 기반 공격을 당했는지 어떻게 알 수 있냐'고 물으면 '알기 어렵다'고 말한다"고 분위기를 전했다. 이어 "농담스러운 표 손오공게임 현일 수 있지만 실제 상황을 잘 대변하는 대목"이라고 강조했다.
프라투첼로 필드CTO는 북한뿐만 아니라 국가 기반 공격이 더욱 거세질 것으로 예측했다. 그는 "위협 행위자들의 공격 방식뿐만 아니라 회피 기법이 발전하고 있고, 속도 또한 빨라지는 추세"라며 "브레이크아웃 타임(Breakout Time)도 빨라지고 있다"고 진단했다.
브레이크아웃 타임은 공격자가 기업 내 첫 번째 호스트에 침투한 뒤, 두 번째 호스트로 횡적 이동하는 데 걸리는 시간을 뜻한다. 크라우드스트라이크 보고서에 따르면 브레이크아웃 타임은 지난해 평균 29분에 달했다.
가장 짧은 시간은 27초로 보고됐다. 프라투첼로 필드CTO는 "공격자가 초기에 접근을 시도한 뒤 몇 분 만에 데이터가 유출됐고, 클라우드와 구축형(온프레미스) 환경을 포함해 여러 도메인을 동시에 공격한 점도 확인됐다"며 "초기 접근 이후에는 피싱 등 사회공학적(소셜엔지니어링) 등을 활용하기도 했다"고 설명했다. 이어 "이 과정에서 정보기술(IT) 담당자가 사용하는 정상 도구를 악용하기도 했다"며 "우연적인 요소까지 결합되면서 매우 빠른 공격이 가능했던 것"이라고 부연했다.

프라투첼로 필드CTO는 신뢰를 악용한 공격까지 등장하고 있어 기업과 기관 차원에서 유의가 필요하다고 당부했다. 그는 "시스템을 강제로 침입하지 않고 탈취한 계정과 자격증명을 활용해 정상 로그인에 성공하기도 한다"며 "이 경우 노이즈가 거의 발생하지 않아 방어 측면에서 훨씬 어려운 상황이 된다"고 말했다. 그러면서 "신원(아이덴티티) 관리 중요성이 커졌고 크로스 도메인 공격에 대응하기 위해 단일 플랫폼 기반 방어가 필요하다"고 제언했다.




크라우드스트라이크는 클라우드 네이티브 플랫폼으로 기업 엔드포인트, 클라우드 워크로드, 아이덴티티, 데이터를 보호하는 기업이다. 그 일환으로 통합 보안 플랫폼 '크라우드스트라이크 팔콘(Falcon)'을 내세우고 있다. 팔콘 플랫폼은 실시간 공격 지표, 위협인텔리전스(TI), 전술 및 원격 측정으로 탐지, 보호, 복구, 위협헌팅 서비스를 제공한다.
인공지능(AI) 기반 보안도 고도화하고 있다. 프라투첼로 필드CTO는 "공격자와 방어자 모두 AI를 활용할 수 있지만, 공격자는 AI 도입에 제약이 없다는 차별점이 있다"며 "규제와 컴플라이언스 요구사항이 없기 때문에 이미 정찰, 공격 확장, 속도 향상, 소셜엔지니어링 등 전 단계에 AI를 활용하는 중"이라고 말했다. 이어 "방어자도 AI를 활용할 수 있다는 점은 긍정적"이라면서 "중요한 질문은 '누가 더 유리한가'가 아닌 '누가 더 빠르게 AI를 도입하는가'일 것"이라고 강조했다.
크라우드스트라이크가 제공하는 인공지능탐지및대응(AIDR)이 대안이 될 수 있다고도 소개했다. 프라투첼로 필드CTO는 "AIDR은 단일 기능이 아닌 여러 보안 기능의 집합"이라며 "데이터 유출 방지, 비인가 정보 접근 차단, 프롬프트 인젝션 방지뿐만 아니라 AI 개발 전 과정, 모델 생성, 커스터마이징, 운영 등 보안을 제공한다"고 말했다. 이어 "컴퓨팅 워크로드 자체도 보호 대상에 포함된다"고 덧붙였다.
크라우드스트라이크는 한국 시장을 본격 공략할 방침이다. 현재 국내에서 금융, 은행, 가스, 정유, 제조, 법률, 유통 등 다양한 산업 분야에서 고객사를 확보했고 올해 고객 행사 등을 통해 본격 범위를 확장할 계획이다.
프라투첼로 필드CTO는 "한국은 지정학적으로 다양한 공격과 유행이 존재하는 시장"이라며 "국가 기반 공격, 이크라임, 핵티비스트 등 다양한 위협이 존재하는 만큼 각 조직 성숙도에 맞는 보안 전략이 필요할 것"이라고 밝혔다. 그러면서 "올해 주요 트렌드는 통합"이라며 "한국 고객들은 여러 보안 솔루션을 사용하고 있고 추가적으로 어떤 도메인을 확장할지 관심이 높은 만큼 AIDR이 중요한 전략이 될 수 있다"고 자신했다.
◆ 파비오 프라투첼로 크라우드스트라이크 필드CTO는 누구?=프라투첼로 필드CTO는 25년 이상 경력을 보유한 기술 및 보안 전문가다. 그는 민간 기업부터 다국적 기업에 이르기까지 리더십, 기술, 자문을 아우르는 경험을 쌓았다. 현재 글로벌 기술 전략가 팀을 이끌며 전략 수립과 실행, 기술 혁신 및 파트너십 구축을 통해 고객의 보안 역량 강화를 지원하고 있다. 합류 전에는 HP엔터프라이즈, 웨스트팩은행, UBS그룹 등에서 주요 직책을 맡았다. 정보기술경영학 석사 학위와 함께 정보시스템보안 전문가(CISSP), 비즈니스보안아키텍처(SABSA), 위험정보시스템통제(CRISC), 개인정보솔루션엔지니어(CPDSE) 등 보안 자격증을 보유하고 있다.