북한해킹 거점에 ‘대한산부인과학회’가?…보안인증 SW가 감염 퍼뜨려

북한 연계 해킹조직 라자루스가 국내 기업을 겨냥한 사이버 공격 과정에서 산부인과학회와 언론사 등 국내 정상 웹사이트를 악성코드의 통신 거점으로 활용했을 가능성이 제기됐다.

글로벌 보안업체 카스퍼스키 보고서의 침해지표(IOC)에 대한산부인과학회 홈페이지의 하위 주소를 비롯해 언론사, 건설사, 인테리어 업체 등 국내 웹사이트 주소가 포함됐기 때문이다.

침해지표는 사이버공격이 진행 중이거나 이미 침해가 발생했을 가능성을 보여주는 기술적 단서다. 다만 해당 사이트가 어떻게 악용됐는지, 서버가 어느 범위까지 침해됐는지는 확인되지 않았다. 개인정보 유출 여부도 밝혀지지 않았다.

카스퍼스키는 라자루스의 공격 작전인 ‘플래시홀’을 국내 기업을 대상으로 벌인 사이버 첩보 작전으로 분석했다. 보고서에 따르면 산부인과학회 홈페이지 주소는 악성코드의 명령제어(C2) 주소로, 이는 해커가 감염된 컴퓨터에 명령을 보내고 정보를 주고받는 통신 거점이다. 감염된 컴퓨터가 지정된 주소에 접속해 지시를 받고 결과를 돌려보내는 방식이다. 공격자는 정상 웹서비스를 이용해 이런 통신을 숨기기도 한다. 일반 웹사이트 접속과 비슷한 형태로 데이터를 주고받으면 악성 통신을 가려내기 어렵기 때문이다.

카스퍼스키 연구진은 2025년 7월부터 공격 흔적을 확인했다. 국내 소프트웨어·건설·유선통신장비 제조 분야에서 최소 3개 조직이 영향을 받은 것으로 파악했다. 해커들은 표적 기업을 대상으로 가짜 포트폴리오·이력서 사이트를 제작한 뒤, 이메일로 링크를 보내 접속을 유도한 것으로 알려졌다. 학회 측은 보안업체에 사실을 알리고 유출 여부 등을 확인 중이라고 밝혔다.

카스퍼스키는 국내 금융 및 공공 웹사이트 보안 인증 프로그램으로 널리 쓰이는 이니세이프 크로스웹 EX(INISAFE CrossWeb EX)가 악성 코드 감염 과정에서 악용됐을 가능성이 크다고 분석했다. 연구진은 크로스웹 EX의 실행 프로세스를 통해 악성코드 테크허브(TechHub)가 실행되고 이후 다른 악성코드들이 추가로 실행되는 경로를 확인했다.

또 카스퍼스키는 이번 플래시홀 작전이 과거 소프트웨어·IT·금융·반도체·통신 분야를 노렸던 싱크홀 작전과 이어지는 성격이라고 규정했다. 라자루스는 이 두 작전을 한국 소프트웨어를 경로로 삼아 한국에 악성코드를 전달하는 대규모 사이버 공격 캐스케이드홀의 일부로 봤다.