AI (인공지능) 기술을 장착한 북한과 중국 배경의 해킹 조직들이 한국의 정부 기관과 금융, 방산, 통신 등 산업 전반을 전방위적으로 공격하고 있어 비상한 관심이 쏠리고 있다. 특히 이들은 AI를 이용해 공격 속도를 기계적인 수준으로 가속화하며 기존 보안 체계를 무력화하고 있는 것으로 나타났다.

최근 트렌드AI 리서치가 발표한 ‘2025 APT 연례 보고서’에 따르면, 김수키(Kimsuky)와 코니(Konni) 등 북한 계열 조직들은 한국의 외교·안보 기관뿐만 아니라 가상화폐 거래소와 IT 서비스 기업을 주요 표적으로 삼고 있다. 이들은 정상적인 클라우드 서비스를 악용하거나 한글 문서(HWP) 파일에 악성코드를 심는 수법으로 장기 잠복형 침투를 이어가고 있다.

중국 연계 조직인 ‘어스 나가’와 ‘어스 에스트리스’는 방산과 통신, 첨단기술 분야에 조용히 침투해 기술 설계도와 내부 정보를 수집하는 데 집중하고 있다. 이들은 한 조직이 침투 경로를 확보하면 다른 조직이 이를 넘겨받아 후속 공격을 이어가는 ‘협업 모델’까지 도입해 탐지를 더욱 어렵게 만들고 있다. 

김수키와 연계된 ‘어스 구미호’는 한국, 미국, 일본의 정부 관계자와 외교·안보 분야 전문가들을 노린 대표 사례로 제시됐다. 이 조직은 압축파일 안에 바로가기 파일을 숨겨 보내거나 파워셸 스크립트를 실행시키는 방식으로 공격을 전개했고, 이후 드롭박스와 깃허브 같은 정상 서비스를 악용해 정보를 빼내거나 추가 악성 기능을 내려보냈다. 겉으로 보면 일반적인 클라우드 사용처럼 보이기 때문에 초기에 공격 여부를 판단하기 쉽지 않다.

코니 계열로 분류된 ‘어스 임프’도 한국과 직접 맞닿아 있다. 이 조직은 한국과 러시아를 주요 표적으로 삼았고, 한국 내 피해자의 개인 정보와 금융 정보를 노린 것으로 보고서에 정리됐다. 세금 문서나 금융 문서처럼 보이는 한국어 파일명을 이용해 사용자를 속이고, 문서를 여는 순간 악성코드 실행과 정보 탈취가 이어졌다.

APT37과 연계된 ‘어스 맨티코어’는 한국 정부와 군 기관, 탈북민 커뮤니티를 주요 공격 대상으로 삼았다. 2025년에는 악성 한글 문서를 이용한 로크랫 계열 공격이 다시 확인됐다고 보고서는 적었다. 한글 문서 파일은 국내 환경에서 여전히 강력한 유인 프로그램이기 때문에 각별한 유의가 필요하다.

한편 보고서는 AI가 실전에 투입되면서 정찰과 취약점 분석이 자동화됨에 따라 방어자가 대응할 수 있는 시간이 극도로 짧아졌다고 분석했다. 이에 따라 보안의 목표를 완벽한 차단에 두기보다, 침해를 전제로 신속하게 감지하고 복구하는 ‘사이버 회복력(Resilience)’ 강화로 패러다임을 전환해야 한다고 강조했다.