김수키 해킹조직의 진화사: 2013년부터 AI 자동화까지

북한 연계 해킹조직 김수키(Kimsuky)가 AI 기술을 공격에 접목했다는 최근 보안업계 분석은 갑작스러운 사건이 아니라 10여 년에 걸친 조직 진화의 한 단계로 봐야 한다. 이 조직이 어떤 경로를 거쳐 지금의 기법 수준에 도달했는지를 짚어보면, 이번 AI 활용이 왜 '고도화'로 평가받는지 이해할 수 있다.

김수키는 2013년경부터 국내 보안업계와 정부 대응기관들의 추적 대상으로 이름이 오르내린 조직이다. 초기에는 통일·외교·안보 분야 연구자나 관계자를 겨냥한 스피어피싱 이메일이 주된 수법이었다. 발신자를 위장한 이메일에 악성 문서를 첨부하거나, 가짜 로그인 페이지로 계정 정보를 탈취하는 방식이 반복적으로 보고되었다. 이 시기의 공격은 대체로 수작업 기반이었고, 문장 어색함이나 어휘 오류로 발견되는 경우도 적지 않았다.

시간이 지나면서 김수키의 공격 대상과 기법은 점차 확장되었다. 학계, 언론, 탈북민 지원단체, 나아가 해외 정부기관까지 표적 범위가 넓어졌고, 미국 등 해외 보안기관에서는 이 조직을 APT43 등의 명칭으로 별도 분류해 추적하기 시작했다. 이 과정에서 국내에서도 관련 대응 체계가 정비되었는데, 국가정보원과 한국인터넷진흥원(KISA) 등이 위협 인텔리전스를 공유하고 민간 보안업체와의 협력 채널을 확대해온 흐름이 그 배경이다. 즉 김수키 대응은 단일 기관의 문제가 아니라 정부·민간·해외 파트너 간 정보 공유 구조가 함께 발전해온 영역이라 할 수 있다.

이번에 보안업체 지니언스 등이 포착했다고 밝힌 AI 활용 정황은 이런 흐름의 연장선에 있다. 디지털데일리와 블로터 보도에 따르면 피싱 이메일 문구를 자연스럽게 다듬거나 악성코드 개발 과정에 AI 도구를 활용한 흔적이 관찰됐다는 것인데, 이는 공격의 '내용'보다는 '생산 방식'이 자동화 단계로 진입했다는 의미로 해석된다. 과거에는 공격자가 직접 문장을 작성하고 코드를 짜야 했던 반면, 생성형 AI를 활용하면 언어적 어색함이 줄어들고 변종 악성코드 생산 속도도 빨라질 수 있다는 점에서 탐지 난이도가 달라질 수 있다.

다만 이러한 변화를 평가할 때 유의할 부분이 있다. 첫째, AI 활용이 '공격 기법 자체의 새로운 발명'이 아니라 기존 기법의 효율화라는 점에서, 대응 역시 완전히 새로운 체계보다는 기존 탐지·공유 구조의 정교화가 우선될 필요가 있다. 둘째, 아직 이 조직의 AI 활용 범위와 실제 피해 규모에 대해서는 보안업체별로 관찰된 정황 수준의 정보가 공개된 상태이며, 정부 차원의 공식 확인이나 정량적 피해 집계는 별도로 확인이 필요한 사안이다. 셋째, 이런 위협 고도화는 국내 정부기관·기업의 보안 예산과 인력 배분 우선순위에도 영향을 줄 수 있는 만큼, 관련 대응 강화 논의가 나올 경우 그 재원과 책임 소재가 어떻게 배분되는지도 함께 살펴볼 지점이다.

결국 김수키의 AI 활용은 특정 사건이 아니라 10여 년간 쌓인 공격-대응의 궤적 위에서 나타난 다음 단계로 이해하는 것이 실용적이다. 이 조직의 역사를 짧게라도 되짚어보면, 앞으로의 대응 논의가 어느 지점에서 새로 시작되는지를 가늠하는 데 도움이 된다.