2024년 05월 02일자 美 정부, '北 Kimsuky 해킹' 합동 보안권고문 발표 건 정리

< 美 정부, '北 Kimsuky 해킹' 합동 보안권고문 첫 페이지 >

( 1 ) 개요

¨ 05월 02일자 미국 국무부, 연방수사국(FBI), 국가안보국(NSA)에서 공동으로 북한 Kimsuky 해킹조직의 스피어피싱 메일 공격 사례 및 대응방법이 포함된 사이버보안 권고문[1]을 발표함

¨ 05월 03일자 국가사이버안보센터에서 이를 중대하게 판단하여 "美 정부, '北 Kimsuky 해킹' 합동 보안권고문 발표[2]" 를 기재함

( 2 ) 내용

¨ Kimsuky 해킹조직은 사회공학적 해킹시도를 감추기 위해 이메일 서버의 DMARC 레코드 정책을 악용하고 있음

Ø DMARC 정책을 제대로 구성하지 않으면 Kimsuky 해킹조직이 스푸핑된 이메일을 합법적인 도메인의 이메일에서 온 것처럼 속일 수 있음

¨ Kimsuky 해킹조직은 북한 관련 정책을 다루는 기자, 학계 인사 및 기타 동아시아 전문가 등으로 위장하여 스피어피싱 공격을 수행하고 있음

Ø 이러한 스피어피싱 활동을 통해 대상자들의 문서, 연구결과, 통신 내용 등에 불법적으로 접근함으로써 외교전략 및 북한의 이해관계에 영향을 미칠 수 있는 정보를 수집하는 것을 목표로 함

¨ 이번 권고문은 침해사례 및 피해 예방대책 등도 포함됨

Ø 참고로 기존 2023년 06월 Kimsuky 한미 합동보안권고문 '북한이 사회공학을 이용해 싱크탱크, 학계, 언론 해킹[3]' 를 보고한 바 있음

¨ DMARC[4] 란?

Ø Domain-based Message Authentication Reporting and Conformance(도메인 기반 메시지 인증 보고 및 적합성) 의 약자로 이메일 인증 프로토콜임

Ø 이메일 도메인 소유자가 이메일 스푸핑으로 알려진 무단 사용에서 도메인을 보호할 수 있도록 설계됨

Ø DMARC의 구현 목적은 비즈니스 이메일 공격, 피싱 이메일, 이메일 사기 등 사이버 위협 행위에 도메인이 이용되지 않게 보호함

( 3 ) 피해 예방대책

¨ DMARC 보안 정책[5]의 완화 조치를 권고함

Ø 누락된 DMARC 정책 또는 "p=none" 이 있는 DMARC 정책은 수신 이메일 서버가 DMARC 확인에 실패한 이메일에 대해 보안 조치를 취하지 않으며 이메일이 수신자의 받은 편지함으로 전송되도록 허용함

Ø 그래서 조직이 정책을 더욱 엄격하게 설정함으로써 인증되지 않은 이메일을 스팸으로 간주하도록 해야 함

Ø 아래와 같이 두 가지 구성 중 하나로 DMARC 정책 업데이트 하여 위협을 완화할 것을 권고함

구분	내용
"v=DMARC1;p=quarantine;"	이메일 서버가 DMARC 에 실패한 이메일을 스팸 가능성이 있는 것으로 간주하여 격리함
"v=DMARC1;p=reject;"	DMARC 에 실패한 이메일은 거의 확실하게 스팸으로 간주하여 차단하도록 이메일 서버에 지시함