[국정원·경찰청·KISA·금융보안원] 국가배후 해킹조직의 해킹메일·워터링홀 공격 주의 합동 권고_2026년 07월

국가정보원, 경찰청, 한국인터넷진흥원(KISA), 금융보안원이 민·관 합동분석협의체(안랩·에스투더블유·엔키화이트햇·플레인비트)와 함께 국가배후 해킹조직의 해킹메일 및 워터링홀 공격에 대한 합동 사이버보안 권고문을 발표했다. 이력서·채용·기부를 위장한 피싱 메일과, 뉴스·병원 등 정상 웹사이트를 해킹해 접속만으로 감염시키는 수법이 지속 확인되고 있으며, 보안업계는 북한 배후 해킹조직 '라자루스' 소행 가능성에 무게를 두고 있다.

□  개요 

   2026년 07월 30일 국가정보원(NIS), 경찰청(KNPA), 한국인터넷진흥원(KISA), 금융보안원(FSI)과 민·관 합동분석협의체(안랩·에스투더블유·엔키화이트햇·플레인비트)는 국가배후 해킹조직의 해킹메일·워터링홀 공격 위협을 경고하는 합동 사이버보안 권고문을 발표했다.
    국가배후 해킹조직은 이력서·채용 제안 등으로 위장한 피싱 메일을 발송한 뒤 열람토록 유도해 악성코드를 감염시키거나, 국민 다수가 이용하는 인터넷 뉴스·병원 사이트뿐 아니라 보안관리가 미흡한 소규모 웹사이트를 해킹해 악성코드 유포 발판으로 이용하는 사례가 지속 확인되고 있다.
이 공격 방법은 사용자 PC에 오래전 설치된 보안프로그램의 취약점과 결합해 웹사이트 접속만으로도 감염될 수 있다는 점에서 매우 위험하다. 특히 기업의 경우 피해 발생 시 내부 문서·고객정보·영업자료 등이 외부로 유출되고 이를 인질로 협박·유포하는 방식으로 피해가 확산할 수 있어 각별한 주의가 필요하다.
보안업계는 올해 상반기 수차례 발생한 이번 공격이 북한 배후 해킹조직 '라자루스'의 소행일 가능성에 무게를 두고 있다. 실제 안랩(ASEC) 분석에 따르면 국가배후 해킹그룹은 2025년부터 2026년 상반기까지 금융·기관 서비스 이용 과정에서 설치되는 국내 금융 보안 소프트웨어의 취약점을 악용해 지속적으로 악성코드를 유포한 정황이 확인됐으며, 국내 언론사·교육기관·의료기관·제조업체 등 다양한 업종의 정상 웹사이트가 워터링홀 공격에 악용된 것으로 나타났다. 한편 KISA에 따르면 올해 상반기 신고·접수된 침해사고는 1,236건으로 전년 동기 대비 19.5% 증가한 것으로 집계돼, 이 같은 국가배후 공격 외에도 전반적인 사이버 위협이 확대되는 추세다.

 

□  공격 방법  

    ① 사회공학적 기법의 해킹메일(이력서·투자 등 위장)
        - (첨부된 악성 링크) 채용지원으로 위장, 이력서를 링크 형태로 본문에 전달
             → 해킹조직이 개설·해킹한 블로그·깃허브 등으로 연결

        - 이미 해킹한 정상 웹사이트에 악성코드를 심어놓고 그 주소를 링크로 전달하는 방식도 병행

        - (악성 첨부파일) '고연봉 일자리 제안' 등 채용 제안으로 위장, 첨부파일에 악성코드 포함
                  → 열람 즉시 감염. 실제 헤드헌터 계정을 도용하기도 함

 

    ② 워터링홀 공격(웹사이트 악용 + 보안소프트웨어 취약점)
        - 자주 접속하는 웹사이트·방문자가 많은 뉴스사이트 등을 미리 해킹해 악성코드 유포 매개체로 활용
        - PC에 설치된 오래된 보안프로그램(전자서명·보안인증·키보드보안 등) 취약점을 통해 접속만으로 자동 감염
        - 악성코드 은닉, 웹사이트 소스코드 직접 변조 등 탐지 회피 수법이 정교화되는 추세
        - 감염 시 '설치하시겠습니까?' 등 별도 안내가 없어 사용자가 인지하지 못한 채 감염

 

□  피해 유형  

    1. 계정정보·비밀번호 탈취 : 웹브라우저 자동저장 계정 정보 및 직접 입력한 아이디·비밀번호·카드번호 등 유출
    2. 개인정보·파일 유출 : PC 내 문서·사진·연락처, 공용폴더·클라우드 자료, 화면캡처를 통한 메신저 대화·활동 감시 및 유출
    3. 추가 확산 : 감염 PC를 교두보로 같은 네트워크(사무실·집)의 다른 PC로 연쇄 감염
    4. 금전요구·협박 : 소스코드, 내부 문서, 고객·인사 정보, 영업비밀, 계정정보 등을 탈취한 뒤 "돈을 주지 않으면 공개·유포하겠다"고 협박

□  발표 경과(타임라인)  

    - 2025년~2026년 상반기
        . 국가배후 해킹그룹, 금융 보안 소프트웨어 취약점 악용 및 워터링홀 공격 지속 확인(안랩 등 분석)
        . 언론사·교육기관·의료기관·제조업체 등 다수 업종 정상 웹사이트가 공격 매개체로 악용
    - 2026년 07월 30일
        . 국정원·경찰청·KISA·금융보안원, 민·관 합동분석협의체와 함께 합동 사이버보안 권고문 발표
        . 안랩·엔키화이트햇·에스투더블유·플레인비트, 관련 기술분석 보고서 각각 공개
        . 언론 보도를 통해 권고문 내용 확산
    - 지속
        . 국가정보원 국가사이버안보센터(NCSC), 유가치한 신고에 대한 포상금 지급 운영 중

□  대상별 피해 완화(권고) 조치  

    1. 개인 사용자
       - 전자서명·보안인증 등 보안SW 포함 모든 SW 최신 버전 유지, 미사용 오래된 SW 삭제
       - 운영체제·브라우저(엣지·크롬·웨일 등) 주기적 최신 업데이트
       - 중요 계정 2단계 인증(OTP·인증앱) 활성화, 브라우저 비밀번호 저장 자제
       - 백신 설치 및 최신 상태·실시간 감시 유지
       - 모르는 메일 첨부파일·링크 열지 않기, 업무 메일도 공식 연락처로 재확인

    2. 조직 내 보안 담당자
       - 보안SW 포함 조직 내 SW 일괄 점검·최신화, 미사용 SW 제거
       - 자산·패치관리·네트워크 분리·접근통제 체계화 및 침해지표 기반 모니터링 강화
       - 중요 서버·업무 PC 물리적·논리적 망분리 또는 인터넷 직접 접속 차단
       - 기본·단순 비밀번호 사용 지양, 시스템별 비밀번호 차등화 및 다중인증(MFA) 도입
       - 워터링홀·헤드헌팅 위장 피싱 등 사례 공유 정기 교육 및 모의훈련
       - 침해사고 인지 즉시 관할기관 신고 및 필요시 수사 의뢰

    3. 호스팅 사업자·홈페이지 운영자
       - 불필요 포트·서비스 차단, 관리자페이지 접근통제, 최신 보안패치 적용
       - 웹셸·미사용 관리자 계정·임시파일 등 주기적 점검·제거
       - 홈페이지 위·변조 및 악성 스크립트 삽입 여부 상시 모니터링
       - 웹방화벽 운영 및 접근 로그 보관·정기 점검

    4. 소프트웨어 개발사
       - 보안 패치 개발·배포 체계 및 취약점 신고 대응 프로세스 마련
       - 개발단계별(설계·구현·배포 전) 정기 취약점 점검
       - 개발환경·소스코드 보안관리(접근통제·유출방지·빌드환경 무결성)
       - 오픈소스 활용 시 취약점 사전점검 및 공급망 보안관리(SBOM 등)

□  신고·문의처  

    - 국가정보원 : www.nis.go.kr, 111
    - 경찰청 안보수사국 : www.police.go.kr, ncsi113@police.go.kr
    - 한국인터넷진흥원 인터넷침해대응센터 : www.boho.or.kr, 118
    - 금융보안원 침해대응부 : www.fsec.or.kr, 02-3495-9494
    - 국가정보원 국가사이버안보센터(NCSC) : 유가치 신고에 대한 포상금 제도 운영

□  관련기사(출처)  

• 뉴스 사이트 접속만 해도 해킹…정부, 사이버 경보 - 파이낸셜뉴스
• 국가배후 해킹 조직, 메일 첨부파일에 숨어 악성코드 배포 - 디지털데일리
• South Korea Warns of State-Backed Watering Hole Attacks - Security Affairs
• [합동 사이버 보안 권고문] Operation Double Barrel - ASEC(안랩)
• 합동 사이버 보안 권고문 기술 분석 보고서(워터링홀 공격) - 엔키화이트햇

 

(합동사이버보안권고문) 국가배후 해킹조직의 우리 국민ㆍ기업 해킹 공격 주의 권고.pdf

0.52MB

감사합니다.