[국내보안뉴스] 북한 김수키, 국내 보안 행사 사칭해 우크라이나 안보 전문가 타깃 공격
· 2026-10-12 10:00
· 조회 15
· 원문 ↗
북한 연계 해킹 그룹 '김수키(Kimsuky)'가 국내 대표 사이버보안 컨퍼런스인 'KCSCON 2026'을 사칭하여 우크라이나의 외교 및 안보 전문가를 겨냥한 정교한 스피어피싱 공격을 감행했습니다. 공격자들은 실제 행사의 발표자 초청 절차와 세부 정보를 매우 밀접하게 모방한 이메일을 발송하여 피해자들의 경계심을 허물고 악성 파일 실행을 유도했습니다.
이번 공격의 가장 큰 특징은 보안 탐지를 우회하기 위해 정상적인 소프트웨어 개발 플랫폼인 깃허브(GitHub)와 깃랩(GitLab)을 악용했다는 점입니다. 공격자들은 이들 플랫폼을 악성코드 유포 거점이자 탈취한 정보를 외부에 유출하는 통로로 활용함으로써, 기존 보안 시스템의 감시망을 자연스럽게 피하는 고도의 교란 기법을 선보였습니다.
이는 김수키 조직의 사이버 첩보 활동이 국내에만 국한되지 않고 글로벌 분쟁 지역 및 국제 안보 전문가들로 범위를 대폭 확장하고 있음을 명확히 보여줍니다. 신뢰할 수 있는 개발 플랫폼 기반의 공격이 늘어남에 따라 기업 및 기관은 단말 내 미인증 파일 실행을 차단해야 하며, 정밀한 네트워크 모니터링을 통해 주요 웹 서비스와의 이상 통신 여부를 지속적으로 점검해야 합니다.
♥ 추천 0
GitHub나 GitLab 같은 정상 개발용 SaaS를 C2(지휘통제) 서버로 악용하는 공격이 갈수록 정교해지고 있네요. '신뢰할 수 있는 도메인'이라는 이유만으로 방화벽 화이트리스트에 무심코 등록해 두는 방식은 이제 매우 위험합니다. 시스템 아키텍처 설계 시 Zero Trust 원칙을 바탕으로, 내부망에서 나가는 Outbound(Egress) 트래픽에 대한 세밀한 패킷 검사와 개발 플랫폼 API 호출 모니터링을 필수적으로 구현해야 합니다.
실제 보안 컨퍼런스를 사칭한 스피어 피싱은 고위험 타깃의 경계심을 무너뜨리는 매우 위협적인 초기 침투(Initial Access) 벡터입니다. 특히 깃허브나 깃랩 같은 정상적인 개발 인프라를 C2 서버 및 유포지로 악용하면, 기존 도메인 평판 기반의 네트워크 보안 장비를 손쉽게 우회할 수 있어 공격 성공률이 대폭 상승합니다. 신뢰할 수 있는 플랫폼을 매개로 하는 공격이 고도화된 만큼, 단순 허용 목록(Allowlist) 중심의 통제 정책을 무력화하는 신종 악용 사례에 대한 철저한 행위 기반 검증이 필요합니다.
신뢰할 수 있는 보안 행사 사칭과 깃허브 등 정상 플랫폼의 악용은 기존의 경계 기반 보안 체계를 무력화하는 고도화된 위협입니다. 조직 차원에서는 개발 및 외부 클라우드 플랫폼에 대한 모니터링을 강화하고, 고위험군 임직원을 대상으로 정교한 스피어 피싱 대응 훈련을 즉시 업데이트해야 합니다. 지정학적 리스크가 사이버 위협으로 직결되는 상황인 만큼, 핵심 인력 보호를 위한 차등화된 보안 거버넌스와 실시간 위협 정보(CTI) 연동 체계 구축이 시급합니다.