- FBI와 공조해, 해커의 교묘한 추적회피망을 뚫고 北 해킹조직 안다리엘 소행임을 규명 -
- 랜섬웨어를 볼모로 한 범죄수익금 추적결과, 자금세탁 후 북한으로 유입 정황 포착 -
서울경찰청 안보수사지원과(첨단안보수사계)는, 美 FBI와 공조해, 북한 해킹조직 ‘안다리엘’이 국내 방산업체 등을 해킹해 대공무기 등 중요 기술자료를 탈취하고, 랜섬웨어 대가로 받은 비트코인을 외국인 여성 A씨의 계좌를 통해 자금세탁 후, 북한으로 송금한 정황까지 포착해 이에 대한 전방위적 수사를 진행하고 있다.
경찰은 ‘안다리엘’이 거점으로 사용한 국내 서버 및 가상자산거래소 압수수색, 자금이 흘러 들어간 외국인 여성 A씨 주거지 압수수색 및 휴대폰·노트북 디지털 포렌식 등 수십여 회 강제수사를 통해 더욱 치밀해진 北 해킹조직의 범죄수법을 밝혀내기 위해 다각적인 수사를 해왔다.
또한 국내·외 랜섬웨어 피해업체 세 곳에 대해서는 컴퓨터 시스템 복구 대가로 4억 7천여만 원 상당의 비트코인을 갈취했는데, 그 중 일부는 해외 가상자산 거래소를 거쳐 자금세탁 후, 북에 보내진 것으로 추정돼 자금세탁에 관여한 것으로 의심되는 외국인 여성 A씨에 대해 수사를 확대해 나가고 있다.
□ 사건의 특징 및 시사점
1. 해킹 IP주소는 ‘조선민주주의인민공화국 평양 류경동*’
- 北 해킹조직 안다리엘을 추적 중이던 美 FBI와 공조해, 해커가 사용한 구글 메일 계정을 수사한 결과, 신원이 명확하지 않은 가입자에게도 서버를 임대해 주는 국내 서버임대업체를 이용해, 수사기관의 추적을 피하고자 이를 경유지 서버로 삼아 해킹의 거점으로 활용하고 ’22. 12월부터 ’23. 3월까지 평양 류경동에서 총 83회 접속한 사실을 밝혀냈다.
* <류경동> 북한 최고층 건물인 류경호텔과 류경정주영체육관 등이 위치해 평양 시내 명소로 꼽히는 지역으로 국제통신국과 평양정보센터 등이 자리하고 있음
2. 기밀이 줄줄 새는데도, 보안사각에 노출된 피해업체는 해킹사실조차 인지치 못해
해킹 경유지로 사용된 국내 임대서버와 구글 등 국내⸱외 이메일(서버 사용자 계정)을 압수수색하고, 서버 가입자 정보를 근거로 40여 회에 걸친 통신수사 결과, 방산업체, 연구소, 제약업체 등을 해킹해 OO대공무기 등 중요 기술자료 뿐만 아니라, 임대서버 사용자 계정의 아이디·비밀번호 등도 탈취한 것을 확인했다.
경찰은 중요한 기술과 자료가 담긴 것으로 추정되는 총 1.2TB 분량의 파일이 탈취된 피해사실을 밝혀내어, 해당 업체들에게 통보했으나 피해조차 인지하지 못한 곳이 있었으며, 일부는 기업 신뢰도 하락을 우려해 경찰에 피해 신고를 하지 않은 경우도 있었다.
3. 랜섬웨어** 몸값으로 받은 비트코인 범죄수익금의 자금세탁 경로 규명
또한, 안다리엘이 유포한 악성 랜섬웨어의 몸값으로 피해업체가 지불한 비트코인의 자금 흐름에 대해서도 빗썸, 바이낸스 등 국내·외 거래소 거래내역을 압수해 분석한 결과, 갈취된 비트코인 중 일부가 외국인 여성 A씨***의 계좌를 거쳐 중국 요녕성에 소재한 중국 K은행으로 약 63만 위안(1억 천만 원 상당)이 송금됐고, 이 돈이 북·중 접경지역에 위치한 K은행 지점에서 출금된 것으로 보아 경찰은 해당 자금이 북한으로 흘러 들어간 것으로 추정하고 있다.
이에 A씨를 피의자로 입건하고 금융계좌, 휴대폰, 주거지 등에 대해 동시다발적으로 압수수색을 진행해 5만여 건의 파일을 압수, 안다리엘의 자금세탁에 관여했는지 여부에 대해 심층 조사 중에 있다.
** <랜섬웨어> 컴퓨터 시스템을 감염시킨 후, 이를 인질로 삼아 ‘접근권한을 다시 얻고 싶으면 암호화 화폐 등 몸값을 내놓으라’고 협박하는 것
*** <A씨 진술> 과거 홍콩 소재 환전업체 직원으로 근무시, 편의상 본인계좌를 거래에 제공해준 것일 뿐이라며 연루 여부 등 혐의를 부인하고 있음
□ 피해 예방 조치 및 향후 계획
서울경찰청 안보수사지원과는 이번 사건에서 확인된 해외 공격·피해지, 관련자에 대해 美 FBI 등 관계기관과 적극적으로 공조수사를 진행하는 한편, 추가 피해 사례 및 유사 해킹 시도 가능성에 대해서도 계속 수사할 계획이다.
이와 병행해, 피해업체를 대상으로 보안 취약점 점검 및 최신 버전의 보안 소프트웨어 업데이트, 개인정보를 포함한 중요 전산 자료 암호화 등 추가 피해 예방을 위한 보안 조치를 강조하는 한편, 국내 서버 임대업체 등을 대상으로 △사용하지 않는 포트 접속 폐쇄 △비밀번호 패턴 변경 등을 보안 권고사항을 설명했다.
아울러, 현재 신원이 명확하지 않은 가입자에게도 서버 임대가 가능해 임대 서버들이 범죄에 활용되고 있는 만큼, 관련 서버 임대업체들에 대해서도 지속적인 수사를 진행할 예정이다.
기사최종편집일: 2024-05-03 07:15:00
다음기사 : 
