지니언스 “북한의 AI 활용 사이버 위협 정황 포착”

“단순 피싱용 미끼 제작 넘어 로컬 AI 환경 직접 구축, 기밀정보 추출 및 공격 자동화 시도”

구글 검색 선호 출처로 추가

강동식 기자

lavita@datanews.co.kr | 2026.08.10 11:55:49

사이버 보안 기업 지니언스는 북한 정찰정보총국 산하 해킹조직으로 알려진 김수키(Kimsuky)의 최근 공격 활동을 분석한 결과, 생성형 AI를 공격에 활용하기 위한 기술 확보에 나선 정황을 확인했다고 10일 밝혔다.

북한 해킹 조직은 그동안 외교·안보 분야 종사자나 전문가를 대상으로 공격 대상과 관련된 인물로 위장한 이메일을 보내 악성코드를 유포하는 스피어피싱을 주요 공격 수단으로 사용해왔다. 이메일에는 ZIP 형태의 압축파일을 첨부하고, 내부에 정상 문서처럼 보이는 악성 LNK 파일을 넣어 사용자가 실행하도록 유도하는 방식이다. LNK 파일이 실행되면 사용자에게 드러나지 않는 상태에서 파워셸(PowerShell) 스크립트가 구동된다.

최근에는 AI의 활용 범위가 공격 준비 단계에서 공격 수행 영역으로 확대되고 있는 것으로 나타났다. 과거 북한 해킹조직이 생성형 AI를 이용해 이미지나 음성을 조작하거나 피싱에 사용할 문구와 자료를 만드는 데 집중했다면, 이번에 확인된 활동에서는 공격자가 자체적인 AI 활용 환경을 마련한 흔적이 발견됐다.

지니언스 분석에서 Ollama, GPT4All, Msty 등 로컬 LLM을 실행·관리할 수 있는 도구를 비롯해 RAG 환경과 AI 에이전트 개발 프레임워크, 음성인식(STT) 관련 도구 등이 확인됐다. 인터넷을 통해 외부 AI 서비스에 데이터를 넘기지 않고 자체 환경에서 LLM을 구동할 수 있는 기반을 갖추려 한 것으로 풀이된다.

특히 AI 기반 개발 도구인 Cursor의 설치 및 사용 흔적도 다수 발견됐다. 공격에 사용된 문서를 Cursor를 통해 수정하고 AI가 생성한 결과물을 확인한 것으로 추정되는 기록도 확인됐다. 지니언스는 이를 근거로 김수키가 AI를 악성코드 제작이나 공격 과정의 자동화에 활용하기 위한 기술을 시험하고 검증해온 것으로 판단했다.

피싱 공격에 사용되는 미끼의 수준도 높아졌다. 과거에는 공격 과정에서 확보한 정상 문서를 다시 활용하는 경우가 많았지만, 최근에는 생성형 AI로 제작한 것으로 추정되는 금융 및 가상자산 관련 문서가 공격에 사용되고 있다. 실제 업무에서 사용하는 자료처럼 자연스러운 문장과 구성으로 작성해 수신자의 의심을 줄이고 악성 파일을 열도록 유도하는 방식이다.

공격 대상이 가상자산 분야에 집중되고 있는 점도 특징이다. 투자 전략이나 금융 정보를 담은 보고서를 가장한 악성 문서가 반복적으로 유포됐으며, 공격 과정에서 가상자산 지갑 정보와 지메일 계정, 웹사이트 가입 내역 등 개인정보가 노출됐는지를 확인하려는 움직임도 포착됐다.

지니언스는 국가 배후 해킹조직의 AI 활용이 확대되면서 기존의 보안 대응 방식에도 변화가 필요하다고 강조했다.

이번 분석 보고서 전문은 지니언스 홈페이지를 통해 확인할 수 있다.

강동식 기자 lavita@datanews.co.kr