北 해킹그룹 김수키, QR 코드 이용 신종 공격 ‘퀴싱’ 감행

대사관·싱크탱크 등 사칭해 보낸 이메일에 악성 QR코드 포함

[서울=뉴시스] 구자룡 기자 = 북한의 사이버 범죄 해킹그룹 ‘김수키(Kimsuky)’가 QR 코드를 이용한 신종 수법으로 미국 및 외국 정부 기관과 기타 단체를 대상으로 스피어 피싱 공격을 감행하고 있다고 미 연방수사국(FBI)가 경고했다.

김수키는 지난해 5월과 6월 비정부기구, 싱크탱크, 학계 및 외교 전문가들을 대상으로 피싱 이메일에 악성 QR 코드를 삽입하는 이른바 ‘퀴싱(QR 코드 피싱)’ 공격을 감행했다고 FBI는 8일 경고문에서 밝혔다.

김수키는 ‘퀴싱’ 기법으로 지난해 5월 한 싱크탱크 대표에게 이메일을 보내 한반도 정세에 대한 의견을 구하는 외국 자문가인 척 가장했다.

해당 피싱 이메일에는 설문지에 접근하기 위해 스캔해야 하는 악성 QR 코드가 포함되어 있었다.

같은 달 김수키는 대사관 직원을 사칭해 북한의 인권 관련 싱크탱크의 고위 연구원에게 보안 드라이브에 접근할 수 있는 QR 코드가 포함된 이메일을 보냈다.

또 다른 공격에서는 싱크탱크 직원을 사칭해 QR 코드가 포함된 이메일을 보냈고 이 코드를 클릭하면 사용자가 김수키가 통제하는 사이버 공격 인프라로 연결됐다.

한 전략자문 회사가 받은 컨퍼런스 초대 이메일에 포함된 QR 코드는 웹사이트의 등록 버튼으로 연결되고 사용자의 자격 증명을 빼내도록 설계된 가짜 구글 계정 로그인 페이지로 이동하도록 했다.

FBI의 이번 경고는 한국 사이버보안 업체 엔키 화이트햇(ENKI WhiteHat)이 김수키 그룹이 QR 코드와 알림 팝업을 이용해 피해자들이 모바일 기기에 DOCSWAP 정보 탈취 악성코드를 설치하고 실행하도록 유도했다고 보고 한 지 한 달 만 에 나온 것이라고 NK뉴스는 전했다.

[서울=뉴시스] 배훈식 기자 = 이준일(왼쪽) 외교부 북핵외교기획단장과 최현석 경찰청 국가수사본부 사이버수사국장이 2일 오전 서울 종로구 외교부에서 북한 해킹조직(김수키) 제재 및 권고문 관련 브리핑을 하고 있다. 2023.06.02. [email protected]

ENKI 연구원들은 지난해 9월 발생한 공격을 감지한 후 공격자들이 피싱 웹사이트를 통해 안드로이드폰을 대상으로 하는 악성 모바일 애플리케이션을 배포하는 QR 코드 캠페인을 발견했다.

최근 북한의 사이버 범죄 캠페인은 스마트폰 시대의 보안 취약점을 악용하기 위해 고안된 기법인 ‘퀴싱’의 사용이 증가하고 있음을 보여준다.

FBI의 권고에 따르면 이러한 접근 방식은 피해자들이 회사 네트워크에 연결된 기기에서 기존 이메일 보안 제어로 보호되지 않는 모바일 기기로 전환하도록 강요한다.

피해자가 코드를 스캔하면 공격자는 개인 정보를 수집하여 모바일 기기에 최적화된 자격 증명 탈취 페이지를 표시하고, 이를 통해 다단계 인증을 우회하고 클라우드 기반 계정을 감지되지 않게 탈취한다.

FBI는 피싱 공격으로부터 조직을 보호하기 위해 직원들에게 승인되지 않은 QR 코드를 스캔할 때의 위험성에 대해 교육하고 의심스러운 피싱 시도를 보고하는 명확한 프로토콜을 수립해야 한다고 권고했다.


◎공감언론 뉴시스 [email protected]