북한 해커, 가짜 Zoom 회의와 몰래 녹화한 영상으로 4억 달러 탈취

영상 통화 화면 너머의 얼굴은 피해자가 이미 알고 있는 친구나 동료, 투자자의 얼굴이었다. 하지만 실제 통화가 아니라 녹화 영상이었다. FBI에 따르면 북한 해커들은 가짜 Zoom·Teams 회의로 사람들을 유인한 뒤, 앞서 다른 피해자들의 웹캠에서 몰래 확보한 영상을 틀어 놓고 새 표적에게 간단한 기술 문제를 해결하는 것처럼 위장한 악성코드를 설치하도록 설득해 왔다.

FBI는 이 수법을 FaceStealer라고 부른다. 원격 근무에서 가장 일상적인 순간을 공격의 기회로 바꾸는 방식이다. 초대장은 신뢰하는 사람이 실제로 사용하는 계정에서 오고, 회의 화면은 매일 쓰는 앱과 똑같아 보이며, 화면에 나타난 상대도 예상했던 바로 그 사람처럼 보인다. FBI는 보안에 익숙하고 경계심이 높은 사용자조차 속을 수 있다고 밝혔다.

피해 규모는 상당하다. FBI는 암호화폐 업계와 오픈소스 소프트웨어 유지관리자를 대상으로 한 경보에서, 지난 18개월 동안 이 수법으로 4억 달러가 넘는 암호화폐가 탈취됐다고 밝혔다. 수사관들은 배후의 클라우드 인프라를 압수했으며, 전 세계에서 암호화폐와 Web3 분야에 종사하는 피해자들의 웹캠 영상 900여 개도 확보했다. 해커들은 이 영상을 모아 두었다가 후속 공격에서 피해자 행세를 하는 데 이용했다.

공격은 이미 해킹당한 사람을 발판으로 삼는다. 공격자들은 그 사람의 Telegram 계정이나 다른 메신저를 장악해 대화 기록을 읽고, 연락처에 맞춤형 초대장을 보내 근황을 나누거나 협업을 논의하고 투자를 이야기하자고 제안한다. 뒤이어 Calendly 초대장이 오는데, 회의 링크가 없는 경우가 많다. 통화 직전에야 링크가 도착하며, 이를 누르면 해커들이 관리하는 가짜 Zoom 또는 Teams 화면이 열린다. 그 안에는 익숙한 연락처가 나타나고, 다른 참석자가 여럿 함께 보이기도 한다. 모두 사전에 녹화된 영상이다.

그다음 속임수가 이어진다. 가짜 상대가 피해자의 목소리가 들리지 않는다고 메시지를 보내며 업데이트를 설치하거나, 스크립트를 실행하거나, 터미널에 코드를 붙여 넣으라고 안내한다. 이 해결책은 브라우저 쿠키 탈취 프로그램과 키로거, 화면 캡처 도구, 백도어를 설치한다. 해커들은 링크를 클릭한 순간부터 피해자의 웹캠을 녹화해 왔기 때문에, 새 피해자는 다음 표적을 유인하는 얼굴이 된다. FBI 로스앤젤레스 지부를 이끄는 패트릭 그랜디(Patrick Grandy)는 “자신이 이런 수법에 당할 상황을 상상할 수 없다면, 아직 충분히 창의적으로 생각하지 못한 것”이라고 말했다.

위험은 암호화폐 지갑을 훨씬 넘어선다. FBI에 따르면 같은 수법이 널리 쓰이는 오픈소스 코드를 관리하는 사람들에게도 겨냥됐다. 한 사례에서는 매주 수천만 회 다운로드되는 주요 JavaScript 라이브러리의 유지관리자가 아는 사람이 등장한 가짜 Teams 통화에 참여했다가, 안내받은 해결책을 따르고 컴퓨터를 감염시켰다. 해커들은 그의 접근 권한을 이용해 악성 의존성 패키지를 라이브러리 다운로드 파일에 끼워 넣었고, 침해 사실은 나중에야 발견됐다. FBI는 npm, 즉 주요 JavaScript 패키지 저장소의 유지관리자들을 겨냥한 다른 시도도 있었으며, 최근에는 Rust 개발자들까지 표적이 됐다고 밝혔다. 유지관리자 한 명만 속아도 어떤 통화에도 참여하지 않은 수백만 명에게 악성코드가 전달될 수 있다.

인공지능도 일부 쓰이지만, 딥페이크를 다룬 보도에서 짐작할 법한 정도로 큰 비중을 차지하지는 않는다. FBI에 따르면 이 조직은 암호화폐 업계의 유명 인사들을 본뜬 딥페이크 영상을 만들기 시작했다. 화질이 낮은 웹캠 영상처럼 보이기만 하면 충분하기 때문이다. 그러나 이 수법은 여전히 실제 피해자에게서 훔친 영상에 압도적으로 의존한다. 따라서 딥페이크 탐지 도구로는 이런 통화 대부분을 걸러낼 수 없다.

이번 작전으로도 해결되지 않은 문제는 많다. 서버는 교체할 수 있고, FBI가 BlueNoroff, APT38 또는 Sapphire Sleet라는 이름으로 알려진 북한 국가 해킹 조직의 소행으로 지목한 이들은 미국 법원의 손길이 닿지 않는 북한에서 활동한다. FBI는 영상 900여 개에 등장하는 사람 가운데 실제로 돈을 잃은 피해자가 몇 명인지 밝히지 않았다. 해커들이 지갑을 비우기까지 몇 달, 때로는 1년 넘게 기다린 사례도 여럿 있었다. 잔액이 불어날 때까지 공격을 미룬 탓에, 일부 피해자는 자신의 컴퓨터가 이미 해킹당했다는 사실을 아직 모를 수도 있다.

FBI의 권고는 구체적이다. 특히 새로 알게 된 사람이나 연락이 드문 사람에게서 초대장을 받았다면, 웹 링크 대신 초대 코드를 이용해 공식 Zoom 또는 Teams 앱으로 회의에 참여하라. 초대한 사람의 얼굴을 확인하고 목소리를 들으며 대화할 수 있을 때까지 카메라는 끄고 있어야 한다. 통화 문제를 해결한다며 스크립트를 실행하거나 터미널에 코드를 붙여 넣으라는 요구는 절대 따르지 말아야 한다. 회의 링크 없이 캘린더 초대장이 오고 시작 몇 분 전에야 링크가 도착한다면 의심하고, 다른 경로로 회의가 맞는지 확인해야 한다. Telegram, WhatsApp, Slack에서는 다중 인증과 로그인 알림을 켜고 메시지 자동 삭제 기능을 설정하라.

FBI는 압수 사실을 법무부가 발표한 날인 11월 12일 FaceStealer 경보를 공개했다. 법무부는 또 북한 해커들이 10월 말 Binance 거래소에서 훔친 암호화폐 가운데 12억 달러가 넘는 자산을 압수하거나 동결할 수 있도록 법원의 승인을 받았다고 밝혔다. 지금까지 동결된 자산은 27억 달러를 넘으며, 나머지를 회수하기 위한 작업도 계속되고 있다. FBI는 표적이 됐다고 생각하는 사람들을 위해 FaceStealer 전용 안내 페이지를 마련했다.

태그: 사이버 보안, 딥페이크, FBI, Zoom, 북한, FaceStealer