북한 사이버 위협의 실태와 한국 국방 전략

북한 사이버 위협의 실태와 한국 국방 전략

2014년 11월, 소니 픽처스 서버가 통째로 털렸다. 직원 개인정보 수만 건, 미공개 영화 파일, 임원들의 내부 이메일이 인터넷에 뿌려졌고, 공격자들은 "평화수호자(GOP)"라는 이름을 내걸었다. 미 FBI가 북한 정찰총국을 배후로 지목하는 데는 한 달도 걸리지 않았다. 이 사건은 북한 사이버 작전이 단순한 해킹을 넘어 지정학적 도구로 격상됐음을 세계에 알린 전환점이었다.

라자루스 그룹과 그 형제들

북한의 사이버 작전 조직은 단일 집단이 아니다. 정찰총국 산하에 여러 하위 팀이 운용되며, 보안업계는 이들을 라자루스(Lazarus), 킴수키(Kimsuky), 안다리엘(Andariel), 블루노로프(BlueNoroff) 등으로 구분한다. 기능도 다르다. 킴수키는 주로 한국 정부·싱크탱크·대학 연구자를 겨냥한 스피어피싱 스파이 작전을 담당하고, 블루노로프는 금융기관 침투를 전문으로 한다. 라자루스는 그 상위에서 대형 작전을 총괄하는 브랜드에 가깝다.

인력 규모 추산은 기관마다 다르지만 미 국방부는 6,000명 이상의 사이버 요원이 복무 중이라고 2020년 보고서에서 밝혔다. 이들은 중국·동남아 등지에 위장 거점을 두고 활동하며, 적발될 경우 외화벌이 노동자로 위장하거나 흔적 없이 이탈한다.

돈이 목적이다 — 가상자산 탈취

북한 해킹의 특이점은 순수한 정치·군사 목적 외에 외화 획득이 핵심 동기라는 점이다. 유엔 안보리 산하 전문가패널은 2023년 보고서에서 북한이 2017~2023년 사이 사이버 공격으로 탈취한 암호화폐가 총 30억 달러(약 4조 원)에 달한다고 추산했다. 2022년 3월에 발생한 로닌 네트워크(Axie Infinity 사이드체인) 해킹 단건만으로도 6억 1,500만 달러가 빠져나갔다.

수법은 정교하다. 디파이 플랫폼 개발자에게 취업을 제안하는 척 악성코드가 심어진 PDF를 보내거나, 거래소 직원 계정의 세션 쿠키를 탈취해 승인 절차를 우회한다. 탈취한 자산은 믹서·토네이도캐시·체인호핑을 거쳐 세탁된 뒤 북한 외화 계좌로 흘러들어 간다.

한국을 향한 공격

한반도 안에서도 피해는 꾸준히 누적됐다. 2009년 7·7 DDoS 대란은 한국과 미국 정부 사이트 수십 곳을 동시에 마비시켰다. 2011년 농협 전산망 사고는 전산 시스템 일부를 17일간 마비시켜 수천만 건의 금융 거래를 중단시켰다. 2013년 3·20 사이버 테러는 방송사·금융사 서버를 동시에 파괴해 이른바 "사이버 폭탄" 개념을 한국 사회에 각인시켰다. 2022년에는 한국항공우주산업(KAI)·대우조선해양 등 방산업체 해킹 시도가 잇따라 적발됐으며, 국가정보원은 무기 설계 도면 탈취 시도가 포함됐다고 발표했다.

한국의 방어 전략

이런 흐름 속에서 한국은 수동적 방어에서 능동적 사이버 작전 체계로 전환 중이다.

국방부는 2019년 사이버작전사령부를 창설해 공격·방어·정보 기능을 통합했다. 인력은 공식 발표 기준 약 1,000명 수준이나 실제 규모는 비공개다. 국가정보원 산하 국가사이버안보센터(NCSC)는 공공기관·인프라를 총괄 모니터링하며, 민간 기업과 실시간 위협 정보를 공유하는 KCTI(한국 사이버위협 인텔리전스) 체계도 구축돼 있다.

미국과의 협력도 깊어지고 있다. 한미 양국은 2023년부터 사이버 위협 합동대응 훈련을 정례화했고, NSA·CISA와의 기술 교류를 통해 북한발 악성코드 시그니처를 공동 발표하는 체계를 갖췄다. 2024년 한미 공동 사이버보안 권고문은 킴수키의 스피어피싱 전술을 상세히 공개해 국내외 기관의 방어를 도왔다.

논쟁과 한계

그럼에도 구조적 한계는 있다. 첫째, 귀책(attribution)의 불확실성이다. 북한 해커들은 다단계 프록시와 다른 국가 인프라를 경유해 흔적을 지운다. 법적·외교적 대응의 전제가 되는 "확실한 증거"를 확보하기가 매우 어렵다.

둘째, 민간 영역의 취약성이다. 한국 사이버 방어 예산과 인력은 공공 부문에 집중돼 있는 반면, 실제 공격의 상당수는 중소 방산 협력업체·연구소·개인 연구자를 통해 이뤄진다. 2022년 KAI 해킹도 대기업이 아닌 협력업체 서버를 통한 측면 침투였다.

셋째, 사이버 공격에 대한 무력 대응 기준이 국제법적으로 아직 모호하다. 금전 탈취·정보 절취는 무력 충돌 개시 요건인 "무력 공격"으로 분류되기 어렵고, 보복 수단의 비례성 판단도 선례가 부족하다.

북한의 사이버 역량은 핵·미사일에 비해 비용이 적게 들고 귀책이 어려우며 국제 제재의 실효성도 낮다. 이 세 가지 이유가 맞물리는 한, 한반도 사이버 공간의 긴장은 좀처럼 낮아지지 않을 것이다.