북한 해커, 감염된 지인의 계정과 웹캠 영상으로 다음 피해자 노린다…FBI 긴급 경보

FBI가 북한 연계 해커들이 쓰는 사회공학(사람의 신뢰를 악용해 속이는 해킹) 수법 ‘페이스스틸러(FaceStealer)’의 작동 방식을 상세히 공개했다. 이미 감염된 피해자의 메신저 계정과 웹캠 영상을 재활용해 그 지인을 다음 피해자로 끌어들이는 순환 구조다. FBI는 11월 12일(현지시각) 긴급 경보(FLASH)를 내고 암호화폐 보유자뿐 아니라 오픈소스 소프트웨어 개발자와 관리자도 표적이라고 경고했다.

아는 사람의 계정으로 와서, 아는 사람의 얼굴로 속인다

공격은 이미 감염된 사람 한 명에서 시작한다. 크라우드펀드 인사이더(Crowdfund Insider)에 따르면 운영자들은 기기에서 지갑 데이터 등 민감 정보를 훑은 뒤 텔레그램·링크드인·슬랙·디스코드 같은 메신저 계정을 장악한다. 이어 그 계정으로 피해자의 지인에게 연락해 가벼운 대화나 협업, 투자 논의를 하자며 약속을 잡는다.

크립토슬레이트(CryptoSlate)는 FBI 경보를 인용해 공격자가 기존 대화 기록을 열람할 수 있어 과거 대화 맥락에 맞춰 초대를 꾸밀 수 있다고 전했다. 회의 링크는 약속 시간 직전에 도착한다. 링크는 줌이나 마이크로소프트 팀즈를 그대로 베낀 공격자 통제 사이트로 연결된다. LA타임스(Los Angeles Times)는 구글 미트도 사칭 대상에 포함된다고 보도했다.

새 표적이 가짜 회의실에 입장하면 앞선 피해자의 녹화 영상이 재생된다. 해커들은 가상의 참석자를 더해 여러 명이 참여한 통화처럼 보이게 하기도 한다. 화면 속 낯익은 얼굴이 실제 접속자가 아니라 이전 피해자의 녹화본일 수 있다는 뜻이다.

표적의 웹캠도 이 과정에서 공격 재료가 된다. 크립토슬레이트에 따르면 FBI는 가짜 회의 링크를 처음 클릭하는 순간부터 녹화가 시작된다고 밝혔다. 이렇게 확보한 영상은 다음 사칭에 쓰인다. 미국 법무부와 FBI는 조치에서 전 세계 크립토·웹3 종사자 900여 건의 웹캠 영상을 압수했다. FBI는 이 캠페인으로 18개월 동안 4억 달러 이상의 암호화폐가 도난당했다고 밝혔다.

‘오디오가 안 들린다’는 연출과 수개월의 침묵

통화가 시작되면 공격자는 일부러 문제를 만든다. 대개 새로 들어온 표적에게만 소리가 들리지 않는다고 말한다. 지인을 사칭한 공격자는 업데이트 링크를 누르거나 스크립트를 실행하고 터미널(명령어 입력 창)에 코드를 붙여넣으라고 안내한다.

이 지시를 따르면 악성코드가 설치된다. FBI가 밝힌 기능은 브라우저 쿠키 수집, 키 입력 기록, 화면 캡처, 기기에 대한 지속적 원격 접근이다. 쿠키와 계정 정보는 곧바로 다른 서비스 접근에 악용될 수 있다.

피해가 즉시 드러나지 않는다는 점이 더 까다롭다. 해커스레드(Hackread)에 따르면 FBI는 북한 해커가 몇 달, 때로는 1년 넘게 기다렸다가 암호화폐를 빼낸 사례를 확인했다. 그동안 피해자의 지갑 잔액을 지켜본 것으로 전해진다. 크립토슬레이트도 계정 탈취와 암호화폐 도난이 최초 감염 후 수개월에서 1년 넘게 지난 뒤 발생한 사례가 있다고 전했다. 의심스러운 회의 이후 별일이 없다고 해서 기기가 안전하다고 단정할 수 없다는 의미다.

공격 방식은 지금도 진화하고 있다. FBI는 암호화폐 업계 유명 인사의 공개 이미지를 토대로 만든 AI 생성 영상, 즉 딥페이크도 가짜 회의에 투입되고 있다고 경고했다. 다만 실제 피해자의 녹화 영상이 여전히 주된 수단이라고 설명했다.

오픈소스 관리자까지 노린 공급망 공격

표적은 코인 보유자에 그치지 않는다. FBI는 해커들이 오픈소스 소프트웨어 개발자와 관리자(메인테이너)에게 점점 더 많이 접근하고 있다고 밝혔다. 목적은 이들의 컴퓨터와 코드 저장소 계정이다. 한 사례에서는 내려받기 횟수가 주당 수천만 건에 이르는 자바스크립트 라이브러리 관리자가 침해당했다. 공격자는 악성 의존성(프로그램이 불러 쓰는 외부 코드)을 끼워 넣으려 했으나 대규모 배포 전에 탐지됐다. 다른 패키지 저장소의 관리자들을 노린 시도도 있었다.

FBI는 서면 성명에서 이렇게 말했다. “이들의 목표는 소프트웨어 공급망 침해다. 신뢰받는 개발자와 관리자의 계정에 침투하면 널리 쓰이는 소프트웨어를 통해 악성 코드를 배포해 수백만 하위 사용자에게 영향을 줄 수 있다.” 해커스레드는 앞서 UNC1069가 가짜 링크드인·슬랙 프로필로 Node.js 관리자를 노린 사실을 보도한 바 있고, 이번 경보가 그 접근이 소프트웨어 프로젝트로 이어지는 경로를 더 구체적으로 보여 준다고 전했다.

FBI는 이 활동을 민간에서 사파이어 슬릿, UNC1069, 스타더스트 천리마, APT38, 블루노로프로 부르는 북한 해킹 조직의 소행으로 지목했다. FBI 사이버 지부 작전 국장 브렛 레더먼은 북한 정권이 대규모 암호화폐 탈취 수익으로 불법 무기 프로그램을 충당한다고 말했다. 로스앤젤레스 지역 연방검사장 빌 에실리는 “암호화폐는 안타깝게도 북한이 피해자를 속이고 악의적 활동에 자금을 대는 비옥한 토양이 됐다”고 밝혔다.

링크 대신 초대 코드, 터미널 명령은 거절

FBI의 예방 수칙은 구체적이다. 특히 자주 연락하지 않는 사람의 회의는 웹 링크가 아니라 공식 애플리케이션과 초대 코드로 입장하라고 권고했다. 초대한 사람의 신원과 음성을 확인하기 전에는 웹캠을 켜지 말라는 조언도 포함됐다. 회의 중 업데이트를 이유로 스크립트나 터미널 명령 실행을 요구하면 거부하고, 회의 정보는 다른 연락 수단으로 다시 확인해야 한다.

계정 방어 수칙도 있다. 메신저 앱에 다중 인증과 로그인 알림을 켜고, 브라우저 기반 지갑에는 암호화폐를 적게 두라는 내용이다. 큰 금액은 오프라인이나 거래소에 보관하고, 복구 문구(시드 문구)는 인터넷에 연결된 기기에 저장하지 말아야 한다.

이미 당했을 수 있다고 의심되면 대응 순서도 있다. 크립토슬레이트에 따르면 FBI는 감염되지 않은 기기에서 새 지갑을 만들어 자산을 옮기고, 메신저·개발자 계정을 보호하며, 지인과 소속 회사에 알리라고 안내했다. 신고는 FBI 인터넷범죄신고센터에 ‘FaceStealer’라는 키워드를 넣어 접수한다. 지인에게 알리면 탈취된 계정과 녹화 영상을 이용한 추가 접근을 끊을 수 있다.

페이스스틸러와 별개로 연방 당국은 북한군 소속 ‘트레이더트레이터’가 10월 29일 바이낸스에서 60억 달러 이상을 훔쳤다고 밝혔다. 프로토스는 가짜 면접으로 바이낸스 직원에게 악성코드를 심은 수법에 페이스스틸러와 비슷한 기법이 쓰였을 가능성이 있다고 전했다. 프로토스에 따르면 북한은 해당 해킹에 대한 개입을 부인했다. 김정은 위원장의 여동생 김여정은 미국이 세계 각지의 모든 사이버 범죄를 북한의 소행인 것처럼 몰아간다며 이를 “중대한 정치적 도발”이라고 주장했다.