AI 시대, 진화하는 국가 배후 해커들
구글 ‘파인드 허브’ 통한 원격 초기화 사례 발견
메신저 피싱과 계정 탈취, AI 사회공학 결합한 공격 증가
국가 배후 해커들의 ‘지능형 지속공격(APT)’이 기술 침투를 넘어 신뢰를 교란하는 방식으로 진화하고 있다. 이들은 더 이상 시스템의 기술적 취약점만 노리지 않는다. 시스템을 운용하는 사람의 관계, 신뢰, 그리고 플랫폼의 구조를 이용해 사이버 공격의 효율을 극대화하고 있다.
지난 10일 ‘지니언스 시큐리티센터(GSC)’가 발표한 ‘국가 배후 위협 조직의 안드로이드 디바이스 대상 원격 초기화 전술’ 보고서에 따르면, 최근 북한 연계 조직 ‘코니(Konni)’로 추정되는 국가 배후 해커가 피싱 메시지와 구글의 ‘파인드 허브’ 기능을 악용해 한국 이용자의 안드로이드 기기를 원격 초기화한 정황이 포착됐다.
지니언스는 이번 공격을 ▲사회공학적 기법 ▲계정 탈취 ▲기기 무력화가 결합된 첫 실전형 파괴 공격이라고 분석했다. 특히 정상적인 보안 기능이 공격자의 도구로 악용됐다는 점에서 파급력이 클 것으로 내다봤다.
구글 보안 기능을 ‘무기’로 악용, 여러 공격 결합해 침투
지니언스에 따르면, 코니는 카카오톡 메신저에서 ‘스트레스 해소 프로그램’으로 위장한 MSI 설치 파일을 지인처럼 가장해 전파했다. 피해자가 해당 파일을 실행하면 내부에 포함된 ‘AutoIt’ 스크립트가 자동 작동해 ‘원격제어(RAT)’ 기능을 설치하고 피해자의 구글 계정 자격증명을 탈취했다.
이후 공격자는 탈취한 계정으로 구글의 ‘내 기기 허브(Find Hub)’에 접속해 원격 초기화 명령을 수행했다. ‘파인드 허브’는 원래 분실 기기를 보호하기 위한 기능이지만, 이번에는 공격자의 손에서 데이터 파괴 도구로 변했다.
공격자는 탈취한 피해자의 스마트폰과 태블릿에서 저장 데이터를 모두 삭제했고, 일부는 3회 이상 연속 초기화돼 장시간 사용이 불가능했다.
지니언스는 “공격자가 플랫폼의 정상 기능을 악용해 합법적인 절차로 데이터를 파괴한 것은 전례가 없다”며 “기술적 취약점이 아니라 계정 권한을 탈취해 서비스 자체를 무력화한 첫 사례”라고 설명했다.
AI로 정교해진 사회공학적 공격, 교묘하게 속인 후 침투
최근 국가 배후 해커들은 인공지능(AI)을 도구로 적극 활용하면서 사회공학 공격 등 여러 방식과 결합하면서 해킹 기법을 더욱 정교하게 다듬고 있다.
지난 9월 지니언스가 발간한 ‘AI 딥페이크 기반 군 공무원증 위조 김수키 APT 캠페인’ 보고서에 따르면, 북한 해커 조직 김수키로 추정되는 국가 배후 해커는 생성형 AI로 위조한 군 공무원증·공문 이미지 등을 정교하게 제작해 공격을 시도했다. 이들은 표적에게 공무원증을 전송한 뒤 수신자가 이를 ‘정상 문서’로 의심 없이 열도록 유도했다
공격자는 표적의 소속·직무·관계망을 사전에 파악하고, 생성형 AI를 이용해 신분증·공문 이미지를 위조해 이메일에 첨부했다. 수신자가 파일을 실행하면 정상 설치 화면을 흉내 낸 MSI 패키지가 작동하고, 내부 스크립트가 순차적으로 실행돼 악성 원격제어툴을 설치했다. 이후 키로깅, 자격증명 탈취, 웹캠·파일 접근 등 추가 모듈이 활성화되며 탈취된 정보는 추가 표적화와 계정 탈취에 활용됐다.
지니언스는 이 캠페인이 생성형 AI를 딥페이크 제작에 악용하고, 전통적 악성 스크립트와 결합한 점에서 새로운 공격 양상을 드러냈다고 분석했다.
이처럼 AI를 활용한 정교한 공격 기법은 앞으로 더욱 확산될 전망이다. 구글 클라우드는 최근 발표한 ‘2026 사이버위협 전망 보고서’에서 “2026년은 공격자와 방어자 모두가 AI를 활용하는 전환점이 될 것”이라며, 멀티모달 딥페이크(음성·영상 포함)와 승인되지 않은 자율형 AI 도구(섀도우 에이전트)가 새로운 위협 축으로 떠오를 것이라고 경고했다.
구글 클라우드는 보고서를 통해 “내부에서 무단으로 확산되는 AI가 통제 불능의 데이터 파이프라인을 만들고, 오히려 보안의 사각지대를 키울 수 있다”고 지적했다.
보안업계에서도 비슷한 전망이 나왔다. 트렌드마이크로는 대규모언어모델(LLM)이 개인의 문체·행동 패턴을 모사하는 ‘디지털 트윈’을 악용해 고도화된 사기, ‘비즈니스 이메일 침해(BEC)’, 보이스피싱이 급증할 것이라고 전망하며 딥페이크와 AI 사회공학이 2026년의 주요 위협이 될 것이라고 분석한 바 있다.
전문가들 “AI 속도전, 기술과 사람 모두 대응 시급”
전문가들은 국가 배후 해커들의 AI 기반 공격이 본격화된 만큼, 기술과 사람 모두의 ‘속도전 대응’이 시급하다고 입을 모은다.
정수환 숭실대 전자전기공학부 AI보안연구센터장은 “LLM 등 AI 도구는 취약점 탐색과 악성코드 제작 속도를 기하급수적으로 높인다”며 “공격 속도는 급격히 빨라졌지만, 현재 방어 체계는 여전히 수동·정책 중심에 머물러 있어 격차가 크다”고 지적했다.
그는 이어 “방어도 보안에 특화된 ‘버티컬 AI’와 에이전트형 자동 점검·패치 체계로 전환해야만 공격자와의 속도 경쟁에서 밀리지 않을 것”이라고 설명했다. 아울러 “최근 정부가 범정부 정보보호 대책에서 에이전트 기술 기반의 AI 보안 플랫폼 기업을 육성하겠다고 했는데, 더욱 적극적으로 추진될 필요가 있다”고 덧붙였다.
고도화된 AI 공격에 대한 방어는 사이버안보 측면에서도 중요하다. 국가 배후 해커들은 AI를 통해 더 빠르고 쉽게 일반 시민들이나 사회 시스템을 공략할 수 있기 때문이다.
이진 사이버안보연구소장은 “보안의 가장 큰 구멍은 기술이 아니라 사람”이라며 “시스템 취약점을 이용한 직접 침투보다, 사람의 부주의와 심리를 노린 사회공학적 공격이 훨씬 효율적이라는 점을 국가 배후 해커들도 잘 알고 있다. 게다가 AI까지 사용하면 더욱 빠르게 많은 이들을 공격할 수 있다”고 지적했다.
그는 “링크를 누르거나 설치를 허용하는 단 한 번의 허용이 공격의 출발점이 된다”며 “논리적으로 한 번만 더 생각하는 습관, 즉 ‘이 앱이 왜 내 파일 접근 권한을 요구하는가’ 같은 기본 의심이 사이버안보의 시작”이라고 강조했다.
한편, 지니언스는 최근 사례들과 같은 모바일·계정기반 공격에 대응하기 위해 사용자가 실천할 수 있는 기본 보안 수칙을 제시했다. PC나 스마트폰을 사용하지 않을 때는 전원을 완전히 끄고, 브라우저의 비밀번호 자동저장 기능을 해제하며, 비밀번호를 주기적으로 변경하고 2단계 인증(2FA)을 활성화해야 한다.
또한 이메일이나 메신저로 전달받은 파일이나 링크는 실행 전 반드시 발신자를 확인하고, 카메라를 통한 사생활 침해를 막기 위해 웹캠 렌즈를 물리적으로 가리거나 LED 표시등이 있는 모델을 사용하는 것도 권장된다.
지니언스 관계자는 “국가 배후 해커는 불특정 다수를 노린다. 우리가 누리는 시스템의 편리함이 곧 위험이 될 수 있다”며 “자동 로그인 기능을 끄고 매번 직접 로그인하는 습관이 중요하다”고 말했다. 이어 “이번 공격처럼 원격 초기화가 악용되는 사례에 대비하려면, 스마트폰 내 주요 자료를 주기적으로 백업해두는 것이 가장 효과적인 예방책”이라고 강조했다.
글. 바이라인네트워크
<곽중희 기자> god8889@byline.network
