북한 관련 해커들이 ChatGPT를 사용하여 가짜 군인증을 생성

사이버 보안 기업 Genians에 따르면, 김수키(Kimsuky)라는 북한 지원 해킹 그룹이 ChatGPT를 사용하여 가짜 한국군 군인증을 제작하고 기자, 연구원, 인권 활동가를 표적으로 한 피싱 공격을 감행했습니다.

가짜 ID가 포함된 이메일에는 수신자의 기기에서 정보를 탈취하도록 설계된 악성 코드가 포함되어 있었습니다. 이 캠페인은 전 세계 간첩 활동을 수행하기 위해 AI를 사용하는 북한의 더 넓은 사이버 운영 패턴의 일부입니다.

피싱 이메일은 실제 군사 계정(.mil.kr 도메인 사용)에서 온 것처럼 위장되었습니다. 사진 첨부나 ID 이미지는 없었습니다. 대신 대상 시스템에 감염될 숨겨진 페이로드가 준비되어 있었습니다.

Genians는 가짜 군인증이 ChatGPT 플랫폼의 제한을 우회한 후 생성되었음을 확인했습니다. ID를 직접 생성해 달라고 요청했을 때 도구는 처음에는 거부했습니다. 그러나 연구원들은 프롬프트 작성 방식을 변경하여 차단 우회하는 데 성공했습니다.

프롬프트가 재작성되자 시스템은 convincing(설득력 있는) 초안을 생성했으며, 이는 피해자들이 내장된 악성 코드를 클릭하도록 유인하기에 충분했습니다.

AI 도구는 북한 해커들이 가짜 이력서, 신원, 악성 코드를 구축하는 데 도움을 줌

이 전략은 한국에만 국한되지 않았습니다. 8월, AI 기업 앤트로픽(Anthropic)은 북한 해커들이 자사의 Claude Code 모델을 사용하여 미국 Fortune 500 기업에 원격 직무를 지원하기 위해 사용했다고 밝혔습니다.

해커들은 Claude를 사용하여 코딩 면접을 통과하고, 전체 경력을 작성하며, 채용된 후 기술 과제까지 수행했습니다. 이 작전은 북한이 방화벽을 뚫을 필요 없이 미국 내 기업 시스템에 직접 접근할 수 있게 했습니다.

2월, 오픈AI는 가짜 이력서, 자기소개서, 소셜 미디어 게시물을 만들기 위해 자신의 도구를 사용한 북한 관련 계정들을 금지했습니다. 이러한 프로필은 사람들이 의도적으로든 무의식적으로든 정권의 캠페인을 돕도록 속이는 것을 목표로 했습니다.

Genians의 디렉터인 문정현은 이러한 새로운 기술들이 계획, 도구 제작, 피싱, 사칭 등 해킹 과정의 모든 단계에 AI가 통합되었음을 보여준다고 말했습니다.

“공격자들은 AI를 사용하여 시나리오를 매핑하고, 악성 코드를 작성하며, 심지어 채용 담당자를 사칭할 수 있습니다.”라고 문은 말했습니다. 미국 정부는 북한의 사이버 노력이 더 큰 작전의 일부라고 밝혔습니다.

평양 정권이 국제 제재를 피하면서 핵무력 프로그램을 지원하기 위해 데이터 수집, 정보 수집, 자금 조달을 위해 해킹, 암호화폐 절도, 그림자 IT 계약을 사용하고 있다고 믿습니다.

2020년, 미국 국토안보부는 김수키가 “가장 가능성이 높은 것은 북한 정권으로부터 전 세계 정보 수집 임무를 부여받은 것”이라고 공식 경고를 발령했습니다.

이 그룹은 2012년부터 활동해 왔으며, 한국, 일본, 미국의 외교 정책 전문가, 싱크탱크, 정부 기관을 공격 대상으로 삼아 왔습니다.

대부분의 경우, 스피어 피싱 이메일을 사용하여 시스템에 침투하고, 민감한 정보를 추출하며, 핵 전략, 제재, 지역 안보에 대한 고위급 논의를 추적합니다.

미국과 한국 관리들은 증가하는 위협을 경고

Genians는 보고서 최신 피해자들이 신중하게 선택되었음도 확인했습니다. 해커들은 북한 관련 문제와 강한 연관이 있는 활동가, 기자, 방산 연구원 등을 표적으로 삼았습니다. 실제로 침해된 장치의 수는 아직 알려지지 않았습니다.

그러나 한국 군사 이메일 도메인을 스푸핑하고 seemingly harmless(무해해 보이는) 메시지에 악성 코드를 삽입할 수 있었다는 사실은 이 방법이 얼마나 위험한지를 보여줍니다.

조사 과정에서 Genians는 ChatGPT를 사용하여 해커들의 방법을 자체적으로 재현하려고 시도했습니다. 그들의 실험은 ChatGPT가 가짜 정부 ID와 같은 불법 콘텐츠를 차단하도록 설계되었음에도 불구하고, 공격자들이 언어의 미세한 변경으로 이를 우회할 수 있었음을 확인했습니다.

최종 결과는 너무 늦기 전까지는 의심스럽지 않아 보이는 ID 템플릿이었습니다.

CISA, FBI, CNMF는 이제 북한과 관련된 민감한 분야에서 일하는 모든 사람들에게 보안을 강화할 것을 요청했습니다. 그들은 김수키가 피싱, 가짜 채용 담당자 계정, 스푸핑된 도메인을 사용하여 네트워크에 침투하고 있다고 경고했습니다.

주요 제안 사항에는 다중 인증 활성화, 피싱 인식 교육 시행, 의심스러운 이메일에 대한 더 강력한 필터 설정 등이 포함됩니다.

미국 정보 커뮤니티는 오랫동안 사이버 운영이 북한의 제재 우회 주요 도구 중 하나라고 주장해 왔습니다.