"악성코드 개발·해킹 자동화까지"…北 김수키 AI 해킹 시뮬레이션 정황 포착

등록 2026/08/10 09:50:49

지니언스 "해킹조직 김수키, 온디바이스 AI·RAG 환경 구축 정황 포착"

탈취 데이터 자동 분류에 AI 에이전트·커서 도입…가상자산 금융 표적 정밀 피싱

가상자산 관련 분야 주요 표적…"EDR 활용 위협 탐지 중요"

[서울=뉴시스] 북한 해킹. (사진=뉴시스 DB) 2026.01.16. photo@newsis.com — [서울=뉴시스] 북한 해킹. (사진=뉴시스 DB) 2026.01.16. [email protected]

[서울=뉴시스]박은비 기자 = 북한 해커조직이 생성형 인공지능(AI)을 실제 해킹 과정에 활용하기 위한 기술 연구에 착수한 정황이 포착됐다. 단순 피싱 문구를 작성하는 수준을 넘어 악성코드 개발과 탈취 정보 자동 분석은 물론 공격 프로세스 전반의 자율화로 AI 활용 범위를 대폭 확대하려는 움직임을 보이고 있다는 설명이다.

10일 사이버 보안 전문기업 지니언스 시큐리티 센터(GSC)의 최신 위협 분석 보고서에 따르면, 북한 정찰정보총국 산하 해킹조직으로 추정되는 '김수키(Kimsuky)'는 최근 PC에서 직접 구동하는 온디바이스 AI 환경을 구축하고 정보 분석 및 해킹 작업 자동화 기술을 시뮬레이션한 흔적이 다수 발견됐다.

이시간 핫뉴스

'공격 자동화' 전격 실험

김수키를 비롯한 북한 해킹조직은 그동안 가짜 이미지·음성을 생성하거나 외교·안보 전문가를 속이기 위한 맞춤형 이메일(스피어피싱)을 작성하는 작업에 AI를 활용해왔다. 하지만 이번 분석에서는 한 단계 더 나아간 정황이 포착됐다. Ollama, GPT4All, Msty 등 컴퓨터에서 AI를 직접 실행하고 관리할 수 있는 프로그램과 함께 필요한 자료를 찾아 AI 답변에 활용하는 검색증강생성(RAG) 인프라를 직접 구축한 정황이 드러났다.RAG는 AI가 기존에 학습한 지식만 사용하는 게 아니라 사용자가 제공한 문서나 자료를 검색해 필요한 정보를 찾아 답변하도록 하는 기술이다. 해킹조직이 이를 활용하면 피싱 공격으로 탈취한 방대한 문서 중에서 핵심 기밀이나 자산 정보를 수초 만에 분류·추출할 수 있다. 또한 복잡한 작업을 자율 수행하는 AI 에이전트 환경 및 음성인식(STT) 도구, AI 코딩 전문 툴인 커서(Cursor)를 활용해 공격용 악성코드를 자동 수정하고 생성 결과를 정밀 검증한 기록도 확인됐다. AI가 피싱 기획부터 악성코드 개발, 데이터 정제까지 아우르는 '풀스택 해킹 도구'로 무기화되고 있음을 보여주는 사례다.
가상자산·금융 표적 정밀 피싱
공격에 사용된 미끼 문서도 더욱 정교해졌다. 과거에는 공격자가 실제로 탈취한 정상 문서를 다시 활용하는 경우가 많았다. 하지만 최근에는 생성형 AI로 만든 것으로 보이는 가상자산과 금융 관련 문서를 공격 대상에게 보내는 사례가 파악됐다.이 문서들은 실제 업무에서 사용하는 보고서처럼 자연스러운 문장과 높은 완성도를 갖추고 있어 사용자가 의심하지 않고 파일을 열도록 유도하는 데 활용되는 것으로 분석됐다.특히 이번 공격에서는 가상자산 관련 분야가 주요 표적이었다. 투자 전략 보고서나 금융 자료로 위장한 악성 문서가 반복적으로 유포되고, 분석 과정에서는 가상자산 지갑 정보, 지메일(Gmail) 계정, 웹사이트 가입 이력 등 개인정보 노출 여부를 전방위로 캐냈다. 문종현 지니언스 시큐리티 센터장은 "이번 분석은 국가 배후 해킹조직이 AI를 실제 공격에 활용하기 위해 AI를 직접 실행할 수 있는 환경과 개발 도구까지 구축하고 있다는 점을 보여준다"며 "AI 기술이 발전할수록 사람을 속이는 공격 역시 더욱 정교해질 것으로 예상되는 만큼 단순히 문서 내용이 정상적인지 확인하는 것보다 파일을 실행했을 때 컴퓨터에서 어떤 행동이 발생했는지 탐지하는 보안 체계가 중요하다"고 강조했다.한편 지니언스는 이번 분석 데이터를 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 등 국내외 보안 협력 기관에 공유해 공동 대응 체계를 강화할 방침이다.◎공감언론 뉴시스 [email protected]