북한 해킹 조직이 실제 화상회의 영상을 틀어놓고 피해자를 속이는 정교한 사이버 공격 수법이 확인됐다. 웹3 및 벤처캐피털 업계를 겨냥한 이 공격은 가짜 회의와 채용 면접을 결합한 사회공학 기법으로 분석됐다.

글로벌 보안기업 카스퍼스키(Kaspersky)는 16일 북한 연계 해킹 조직 ‘블루노로프(BlueNoroff)’의 공격 캠페인 ‘고스트콜(GhostCall)’과 ‘고스트하이어(GhostHire)’에 대한 분석 보고서를 발표했다. 블루노로프는 암호화폐 탈취 작전 ‘스내치크립토(SnatchCrypto)’를 수행해온 조직으로 알려져 있다.

보고서에 따르면 ‘고스트콜’은 투자자나 웹3 업계 핵심 인사를 대상으로 한다. 공격자는 줌이나 팀즈로 위장한 가짜 화상회의 링크를 전달한 뒤, 과거 피해자 회의를 몰래 녹화한 실제 영상을 재생해 신뢰를 얻는다. 이후 오디오 오류나 시스템 문제를 이유로 소프트웨어 업데이트를 유도하며 악성코드를 설치하도록 만든다.

맥OS 사용자에게는 애플스크립트를, 윈도우 사용자에게는 ‘클릭픽스(ClickFix)’ 방식으로 클립보드에 악성 코드를 삽입하는 수법이 사용됐다.

‘고스트하이어’는 개발자를 노린 공격이다. 공격자는 텔레그램과 링크드인을 통해 채용 담당자로 접근한 뒤, 시간 제한이 있는 코딩 테스트를 요구하고 악성 코드가 포함된 깃허브 저장소 실행을 유도한다.

감염 이후에는 ‘사일런트사이펀(SilentSiphon)’ 모듈을 통해 클라우드 인프라와 암호화폐 지갑, 계정 정보 등을 탈취하는 것으로 나타났다. 특히 챗GPT 등 생성형 AI를 활용해 가짜 프로필 사진을 만들거나 악성 스크립트를 작성하는 정황도 확인됐다.

카스퍼스키 측은 이번 공격이 단순한 해킹을 넘어 실제 업무 환경 전체를 노리는 고도화된 전략이라고 평가했다. 또한 웹3와 블록체인 업계 종사자들에게 화상회의 링크와 채용 제안에 대한 각별한 주의를 당부했다.

전문가들은 “AI와 사회공학 기법이 결합되면서 공격의 정교함과 성공률이 크게 높아지고 있다”며 “출처가 불분명한 링크나 파일 실행을 피하는 기본적인 보안 수칙이 어느 때보다 중요하다”고 강조했다.