화상회의 딥페이크와 클릭픽스의 결합: 북한 블루노로프의 4억 달러 탈취 메커니즘
북한 정찰총국 연계 해킹 그룹 블루노로프가 딥페이크 화상회의와 가짜 기술 오류 스크립트를 결합해 18개월간 4억 달러를 탈취한 공격 체계를 정밀 분석한다.
발행일: 2026.11.14
페이스틸러(FaceStealer) 단일 캠페인 피해 추정치
창업자, C-레벨 및 오픈소스 핵심 메인테이너 집중
후속 공격 미끼로 쓰인 웹캠 녹화 원본 데이터
북한 정찰총국 연계 해커 조직 블루노로프(BlueNoroff, APT38)가 고도화된 화상회의 딥페이크 기술과 사회공학적 유인책을 결합해 18개월 동안 4억 달러 이상의 가상자산을 탈취했다. 미국 연방수사국(FBI)과 법무부는 2026년 11월 공식 발표를 통해 ‘페이스틸러(FaceStealer)‘로 명명된 클라우드 인프라를 압수하고 공격 체계를 무력화했다고 밝혔다. 이와 함께 바이낸스 거래소 해킹 사건과 관련된 12억 달러 규모의 탈취 자산에 대한 사법적 동결 조치도 단행되었다.
이번 공격은 과거 단순 피싱 메일이나 텔레그램 메신저 사칭 수준에 머물던 공격 형태를 완전히 벗어났다. 공격자는 사전에 확보한 피해자의 실제 화상 녹화본과 오픈소스 생성형 AI 모델을 결합해 실시간 화상회의 화면을 조작했다. 암호화폐 산업 리더와 주요 오픈소스 개발자를 정밀 타격하여 자산과 소프트웨어 공급망 통제권을 동시에 장악하는 구조다.
딥페이크 영상과 클릭픽스(ClickFix)로 완성된 악성코드 주입 파이프라인
페이스틸러 캠페인의 침투 경로는 신뢰 구축과 기술 오류 조작이라는 2단계 심리 전술로 설계되었다. 공격자는 텔레그램, 링크드인, 슬랙, 디스코드 등 기탈취된 고위 임원의 계정을 통해 표적에게 접근한다. 이후 줌(Zoom)이나 마이크로소프트 팀즈(Microsoft Teams) 인터페이스를 정교하게 모방한 피싱 플랫폼 링크를 전달하여 화상회의 참여를 유도한다.
회의가 시작되면 화면에는 표적이 이미 알고 있는 업계 유명 인사의 과거 인터뷰 영상이나 사전 녹화된 웹캠 화면이 재생된다. 공격자는 유튜브 발표 영상과 팟캐스트에서 추출한 고화질 데이터를 생성 AI 모델에 학습시켜 실시간 립싱크와 표정 반응을 구현했다. 회의 시작 수 초 뒤, 공격자는 “상대방의 오디오가 들리지 않는다”는 시스템 오류 팝업을 띄운다.
사칭 계정 접촉부터 엔드포인트 RAT 감염까지
텔레그램·슬랙 등 탈취 계정으로 가짜 화상회의 초대장 발송
사전 녹화된 피해자 영상 및 AI 합성 아바타로 경계심 완화
소리가 안 들린다며 단축키 복사·붙여넣기 시스템 명령 실행 유도
지갑 개인키 및 깃허브 토큰 탈취, 공급망 악성 패키지 배포
화면 복구를 위해 제공되는 해결책은 윈도우 파워셸(PowerShell)이나 맥 터미널 명령어를 클립보드에 복사해 실행하도록 만드는 클릭픽스(ClickFix) 수법이다. 피해자가 단축키를 눌러 명령을 실행하는 순간, 백그라운드에서 크로스 플랫폼 원격 제어 트로이목마(RAT)가 즉시 내려받아진다. 이 과정에서 엔드포인트 단말의 로컬 암호화폐 지갑과 브라우저 저장 세션, 클라우드 인프라 자격증명이 공격자 서버로 유출된다.
동시에 공격자는 화상회의에 접속한 피해자의 웹캠 스트림을 실시간 녹화한다. FBI가 압수한 서버에서는 900건 이상의 웹캠 녹화본이 발견되었다. 이 영상들은 피해자의 지인과 동료를 겨냥하는 다음 타깃 공격의 딥페이크 원천 소스로 재활용되는 자가 증식형 확산 구조를 형성했다.
표적 분포 데이터 및 공격 수법 정밀 비교
사이버 보안 기업 아크틱 울프(Arctic Wolf)의 추적 데이터에 따르면, 페이스틸러의 공격 대상은 전 세계 58개국 677개 조직으로 확장되었다. 피해 조직의 지역적 분포는 미국, 싱가포르, 영국, 홍콩, 한국, 아랍에미리트(UAE) 등 글로벌 금융 및 가상자산 허브에 집중되었다.
블루노로프의 집중 타깃 분포 및 피해 규모
의사결정권 및 지갑 권한 보유 C-레벨 타깃 비율
직접적인 블록체인 금융 및 인프라 운영사
미국, 싱가포르, 한국 등 주요 허브 집중
타깃 중 54%는 암호화폐 및 블록체인 인프라 운영사이며, 26%는 인접 금융 및 벤처캐피털(VC) 분야다. 전체 공격 대상의 80% 이상이 C-레벨 경영진과 설립자였다. 블루노로프가 일반 임직원이 아닌 거액의 자금 집행 권한과 멀티시그(Multisig) 지갑 서명 권한을 가진 인물만을 선별 타격했음을 보여준다.
| 비교 항목 | 전통적 스피어 피싱 | 고도화된 음성 사칭(Vishing) | 페이스틸러(FaceStealer) 하이브리드 |
|---|---|---|---|
| 공격 매개체 | 악성 링크/첨부파일 포함 이메일 | 음성 변조 기반 전화 통화 | 실시간 딥페이크 화상회의 + 클릭픽스 |
| 초기 신뢰 확보 | 도메인 유사성 및 발신자 사칭 | 음성 복제 및 권위적 사칭 | 실제 탈취 계정 + 사전 녹화 웹캠 영상 |
| 악성코드 실행 방식 | 매크로 문서 실행 또는 파일 다운로드 | 원격 리서치팀톱 설치 유도 | 웹 브라우저 오류 해결 빙자 셸 명령 실행 |
| 평균 공격 준비 기간 | 1–3일 | 3–7일 | 2–4주 (사전 영상 수집 및 모델 학습) |
| 엔지니어링 침투 범위 | 오피스 엔드포인트 감염 | 금융 계좌 정보 이체 요구 | 엔드포인트 키 탈취 및 소프트웨어 공급망 장악 |
| 실행 난이도 | 낮음 | 중간 | 매우 높음 (실시간 비디오 렌더링 인프라 필요) |
주목해야 할 지점은 오픈소스 생태계 핵심 메인테이너에 대한 공격 집중이다. 블루노로프는 다운로드 수가 높은 주요 오픈소스 라이브러리 개발자를 페이스틸러로 포섭하려 시도했다. 실제 올해 초 널리 사용되는 npm 패키지 액시오스(Axios)의 관리자가 동일한 수법의 표적이 되었다. 악성코드가 주입된 트로이목마 버전이 배포될 경우, 해당 패키지를 의존성으로 사용하는 전 세계 엔터프라이즈 인프라가 일거에 공급망 공격에 노출된다.
엔지니어링 조직의 보안 격리와 권한 통제 실패 요인
이번 사태는 기존 엔드포인트 탐지 및 대응(EDR) 체계와 사내 화상회의 운영 정책이 가진 구조적 허점을 드러냈다. 일반적인 사내 보안 소프트웨어는 사용자가 직접 터미널을 열고 파워셸 명령을 실행할 때 이를 정상적인 관리자 행위로 인식하는 경우가 많다. 클릭픽스 공격은 웹 브라우저의 악성 스크립트가 아닌 사용자의 클립보드와 기본 시스템 인터프리터를 악용하기 때문에 전통적인 시그니처 기반 백신을 우회한다.
웹캠 접속 및 시스템 명령어 실행 통제 비교
- • 자산 관리 단말에서 외부 화상회의 자유 접속
- • 클립보드 복사 스크립트 실행 무제한 허용
- • 로컬 스토리지에 암호화폐 지갑 키 평문 보관
- • 화상회의 전용 브라우저 격리(RBI) 컨테이너 분리
- • 엔드포인트 내 사용자 레벨 파워셸 실행 원천 차단
- • 하드웨어 기반 HSM 및 멀티시그 서명 강제
또한 화상회의 플랫폼 자체에 대한 무비판적 신뢰가 피해를 키웠다. 조직 내 임직원들은 화면 너머의 상대방 얼굴과 음성이 일치하면 별도의 대역 외(Out-of-band) 추가 인증 없이 상대방의 지시를 따르는 관성에 젖어 있다. 공격자는 생성형 AI 도구를 활용해 유튜브 영상과 콘퍼런스 발표 자료에서 음성과 표정을 정교하게 추출하여 이 신뢰 편향을 정밀하게 파고들었다.
사내 인프라 방어선 구축 및 긴급 점검 수칙
가상자산을 취급하거나 대규모 오픈소스 저장소를 운영하는 엔터프라이즈 환경은 즉각적인 방어선 재구축에 돌입해야 한다. 단순한 보안 인식 교육만으로는 고도화된 실시간 딥페이크 공격을 막아낼 수 없다.
침투 단계별 기술적 통제 장치
외부 인원과의 화상 미팅은 인프라 접근 권한이 없는 격리 가상머신에서만 진행
일반 업무용 PC에서 윈도우 파워셸 및 맥 터미널 비인가 셸 스크립트 실행 비활성화
자금 이체 및 코드 배포 권한 승인 시 음성 암호 또는 하드웨어 FIDO2 보안키 의무화
즉각적인 차단이 필요한 위험 환경
- 엔드포인트 셸 실행 정책 부재: 개발자 및 경영진 단말에서 파워셸 또는 터미널 명령어가 관리자 승인 없이 자유롭게 실행되는 환경은 즉시 앱 제어 정책(AppLocker 등)을 적용해 스크립트 실행을 제한해야 한다.
- 화상회의-인프라 단일 단말 운용: 암호화폐 핫월렛, 스마트 계약 배포 키, 프로덕션 클라우드 콘솔에 접근하는 동일한 장비에서 외부 미팅을 진행하는 구조는 즉각 폐기해야 한다.
프로덕션 환경의 단계적 강화 조치
- 대역 외 화상 인증 프로토콜 수립: 주요 임원 및 핵심 파트너와의 비즈니스 미팅에서 사전 정의된 보안 암호(Pre-shared Passphrase) 질의 체계를 도입한다.
- 원격 브라우저 격리(RBI) 의무화: 신뢰할 수 없는 외부 화상회의 링크 접속 시 로컬 네트워크와 차단된 클라우드 샌드박스 환경을 강제한다.
- 지갑 및 코드 배포 권한 다중화: 단일 서명 방식을 완전히 배제하고, 하드웨어 서명 모듈 기반의 멀티시그 체계와 커밋 서명(GPG/SSH) 검증을 프로덕션 파이프라인에 필수 적용해야 한다.