### 북한 APT38, 가상자산 업체 노린 '자금 조달형' 해킹 심화

미 법무부가 북한 국가 해킹조직 APT38의 가상자산 업체 대규모 공격을 공식 적발했다. 이는 북한의 국제 제재 우회 수단으로 사이버 침해가 고도화되고 있음을 시사한다. 국내 가상자산 거래소와 핀테크 기업들도 동일한 위협에 노출돼 있다.

---

본문

1. APT38의 정교화된 공격 기법

미국 법무부의 발표에 따르면 APT38(Lazarus Group의 금융 전담 조직)은 가상자산 업체의 보안 취약점을 체계적으로 악용했다. 이전 WannaCry, Sony 해킹 사건으로 악명 높은 북한 해킹조직이 이번에는 자금 조달 목표로의 금융 사이버 공격에 집중한 것이다.

APT38의 공격 방식은 다층적이다:
- 초기 침투: 피싱 이메일, 취약한 웹 애플리케이션 공격(OWASP Top 10)
- 권한 상향: 내부 네트워크 내 횡적 이동(Lateral Movement)
- 자산 탈취: 가상자산 지갑, 개인키 추출
- 자금 세탁: 추적 회피를 위한 다단계 중개 거래

특히 가상자산은 익명성과 즉각적인 환전이 가능해 제재 회피용으로 최적화되어 있다는 점이 북한의 선택 이유로 분석된다.

2. 국내 금융기업의 위협 현황

국내 가상자산 거래소, 핀테크 기업, 암호화폐 채굴 기업 등은 APT38과 동일한 위협 그룹으로부터 지속적 침해를 받고 있다. 지난 3년간 금융권 사이버 침해 사건 70% 이상이 자격증명 탈취 → 내부 접근 → 자금 탈취 패턴을 따른다.

핵심 취약점:
- 다중인증(MFA) 미도입 또는 부실 운영
- API 보안 미흡 (토큰 관리 부재)
- 개발 환경과 운영 환경의 구분 부재
- 직원 보안 인식 미흡 (사회공학적 공격 취약)

3. 공통 패턴 분석: '고도화된 목표형 공격'

1단계 | 정찰(Reconnaissance) → 목표 기업의 인프라, 직원 정보 수집
2단계 | 초기 침투(Initial Access) → 제로데이 또는 알려진 취약점 악용
3단계 | 권한 확보(Privilege Escalation) → 관리자 계정 탈취
4단계 | 지속성 확보(Persistence) → 백도어 설치, 숨겨진 계정 생성
5단계 | 자산 탈취(Data Exfiltration) → 비트코인, 이더리움 등 이전

국정원 보고: "APT38은 2024년 상반기 내 공격 빈도 3배 이상 증가"

4. 기업·기관의 즉시 대응 방안

1단계: 식별 및 진단
- 외부 보안 평가기관을 통한 취약점 진단 (OWASP, CIS)
- 직원 보안 교육 및 피싱 훈련 분기별 실시

2단계: 기술적 보호
- 다중인증(MFA) 전사 필수화 (특히 관리자)
- API Gateway 도입 및 토큰 기반 접근제어(RBAC)
- 네트워크 분할(Network Segmentation) - DMZ 강화
- EDR(Endpoint Detection & Response) 도입

3단계: 운영 개선
- 24/7 SOC(Security Operation Center) 운영
- 사고 대응 계획(Incident Response Plan) 수립
- 자산 관리 시스템(CMDB) 운영으로 무단 자산 탐지

4단계: 규제 대응
- 개인정보보호법 제25조 '기술적 관리적 보호조치' 충족
- ISMS-P(정보보호관리체계) 인증 유지
- 금융감독당국 보고 의무 준수

---

시험 연계 포인트

```
📌 ISMS-P & CPPG 시험 대비 핵심
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【통제항목】 계정 관리 및 접근제어 (A.9.2, A.9.4)
- 다중인증(MFA/2FA) 구현
- 최소 권한 원칙(Principle of Least Privilege)
- 관리자 계정 모니터링 및 로그 수집

【기준】 고위험 금융기관은 "강화된 접근제어"가 필수
- 조건부 접근(Conditional Access)
- 비정상 접근 탐지(Anomaly Detection)
- 정기적 접근권한 검토 (6개월 주기)

【출제 포인트】
Q. 가상자산 거래소에서 내부자의 암호화폐 탈취를 방지하기
위한 가장 효과적인 통제는?
A. 콜드월렛(Cold Wallet) 운영 + 다중서명(Multi-Sig)
+ 인출 시 이중인증 + 감시 시스템
```

---

결론

APT38의 공격은 단순한 정보탈취를 넘어 국가 차원의 경제 제재 우회 수단으로 진화했다. 국내 금융기관은 즉각적인 보안 강화와 함께 정부·수사기관과의 정보 공유 체계 구축이 필수다. 특히 가상자산 업체는 기술적 보호 외에도 자금 이동 경로 모니터링과 불법 자금 추적 시스템 도입이 시급하다.

**기자 주: 개인정보보호법, 정보통신