김수키
김수키는 외교·안보·통일·국방·언론·학술 분야의 정보수집을 주된 목적으로 활동하는 북한 연계 위협집단으로 여러 정부기관과 보안 연구에서 추적됩니다.
김수키
Kimsuky는 2010년대 초부터 공개 보고서에 등장한 명칭입니다. Velvet Chollima, Black Banshee, Thallium 등 여러 별칭이 사용되며 각 명칭의 범위가 완전히 같다고 볼 수는 없습니다. 한국과 미국의 정부기관은 이 활동을 북한 정찰총국과 연계된 것으로 평가합니다.
특정 인물의 메일·문서·연락망과 정책 정보를 수집하는 캠페인이 자주 보고됩니다. 공개 보고서에서는 정보 수집 목적의 장기 침투가 반복적으로 언급됩니다.
식별 정보
알려진 활동 범위
정책 연구자, 전·현직 공무원, 군사·외교 전문가, 언론인, 비정부기구, 대학과 싱크탱크가 주요 대상입니다. 개인 메일 계정과 기관 계정을 함께 노리며 연락처와 기존 대화를 확보한 뒤 추가 표적을 확장하는 방식이 관찰됩니다.
주로 관찰되는 접근 방식
실제 인물과 기관을 사칭한 스피어피싱, 설문·원고 검토·세미나 초청, 보안 확인 페이지로 위장한 자격증명 수집, 악성 문서와 압축파일이 반복적으로 보고됩니다. 탈취한 계정에서 기존 대화에 답장하는 방식도 사용될 수 있습니다. 메일 본문의 자연스러움만으로 진위를 판단하기 어렵습니다.
대표적으로 연결된 사건과 캠페인
한국의 외교·통일 관련 인사와 연구기관을 겨냥한 다수 캠페인, 미국과 동맹국의 정책 전문가 대상 활동이 공개되었습니다. 특정 캠페인의 명칭과 김수키 범주 포함 여부는 MITRE, CISA, 각 보안업체 자료에서 차이가 있을 수 있습니다.
방어 관점의 핵심
업무용 메일에 피싱 저항형 MFA를 적용하고 개인 메일로 민감 업무를 수행하지 않습니다. 외부 초청·원고 요청은 알려진 연락처로 재확인하며 클라우드 로그인 페이지의 도메인과 세션을 검사합니다. 메일 전달 규칙, OAuth 앱 승인, 복구 이메일 변경을 모니터링하고 계정 침해 시 기존 대화 상대에게 공지합니다.
배후 판단을 읽는 방법
유사한 사칭 문구와 악성 문서를 여러 집단이 복제할 수 있습니다. 공개 보고서의 별칭은 분석기관별 분류 체계를 반영합니다. 공격 대상의 분야와 북한 관련 주제만으로 배후를 결정하지 않고 인프라·도구·운영 패턴을 종합해야 합니다.