“가짜 이직 제안서에 속았다”…북한 해커들, 방산업체 최고 권한 훔쳐간 섬뜩한 수법

북한 연계 해킹조직 라자루스가 윈도의 미공개 취약점을 이용해 방산기관을 겨냥했다는 분석이 나왔다. 공격은 패치가 나오기 전부터 시작된 것으로 파악됐다.

이스라엘 보안업체 체크포인트는 8월 11일 라자루스가 CVE-2026-68820을 악용했다고 분석했다. 공격에는 가짜 채용 제안과 새 악성코드도 동원됐다.

핵심은 사용자가 업데이트를 미뤄 생긴 사고가 아니라는 점이다. 약점이 널리 알려지고 수정되기 전에 공격자가 먼저 침투를 시도한 제로데이 공격으로 분석됐다.

다만 공개된 분석만으로 한국 방산업체가 실제 피해를 입었거나 모든 표적 침투가 성공했다고 볼 수는 없다. 공격 주체와 피해 범위는 구분해 봐야 한다.

공개되기 전에 뚫린 취약점, 채용 제안까지 미끼로

문제가 된 CVE-2026-68820은 윈도에서 네트워크 연결을 처리하는 구성요소에 영향을 미친 것으로 분석됐다. 악용 정황은 적어도 7월 초부터 포착됐다.

공격자가 취약점을 이용하면 뚫린 컴퓨터에서 가장 높은 수준의 시스템 권한을 얻을 가능성이 있었다. 초기 침투 한 번이 내부망 전체로 번질 위험이 커지는 이유다.

시스템 권한을 장악하면 보안 프로그램을 피하거나 추가 도구를 설치하고 같은 조직의 다른 컴퓨터로 이동하는 발판을 만들 수 있다. 피해 범위가 빠르게 넓어질 수 있다.

라자루스는 단순히 낯선 첨부파일을 뿌리지 않고 채용 제안을 미끼로 삼았다. 방산 종사자가 실제 이직 연락으로 오해하도록 문맥을 맞춘 표적형 수법이다.

공격에는 새로 식별된 악성코드와 이미 장악된 웹서버도 동원된 것으로 분석됐다. 정상 사이트처럼 보이는 경로를 섞으면 단순한 도메인 차단만으로 막기 어렵다.

그러나 이번 캠페인의 배후와 범위는 체크포인트의 기술 분석에 근거한다. 북한 정부의 직접 지시 문서나 전체 피해 기관 명단이 공개된 것은 아니다.

따라서 라자루스라는 귀속 판단과 개별 기관의 실제 피해를 같은 수준으로 확정해서는 안 된다. 특히 한국 방산망이 뚫렸다고 단정할 근거는 아직 공개되지 않았다.

제로데이 공격에서는 업데이트 공지가 나오기 전까지 패치 여부만으로 대응하기 어렵다. 비정상 권한 상승과 새 서비스 생성, 의심스러운 외부 통신을 먼저 찾아야 한다.

패치만 기다릴 수 없는 방산망의 대응

채용 담당자와 연구인력의 메일함도 별도 점검 대상이다. 헤드헌터를 가장한 링크나 비밀번호가 걸린 압축파일이 일반 사무메일처럼 들어올 수 있기 때문이다.

방산기관은 설계도와 시험자료뿐 아니라 협력사 목록과 담당자 연락처, 납품 일정도 보호해야 한다. 사람과 업체의 연결 구조만 알아도 다음 공격 표적을 좁힐 수 있다.

감염이 의심되면 장비를 네트워크에서 분리하고 같은 계정이 접속한 다른 장비의 기록도 함께 보존해야 한다. 포맷부터 하면 공격 경로와 이동 흔적이 사라질 수 있다.

다음 확인 지표는 CVE-2026-68820 악용 흔적이 몇 개 기관에서 발견되는지다. 피해 규모가 확인되기 전까지 단정은 피하되 패치 전 기간의 로그는 보존해야 한다.