CJ올리브네트웍스 디지털 인증서 해킹·북한 김수키 공격 시도 사건

4월 말 보안업계가 분석한 북한발 악성 파일에서 CJ그룹의 IT 인프라 관리 계열사인 CJ올리브네트웍스의 디지털 서명이 탑재된 사실이 확인됐다. 이는 소프트웨어 개발·배포용으로 발급된 정상 인증서가 해킹으로 탈취돼 악성코드에 도용됐다는 의미로, 업계에서는 북한 배후 해킹조직 '김수키'의 소행으로 의심했다. 이 인증서가 실린 악성파일은 신뢰할 수 있는 소프트웨어처럼 위장해 백신 탐지를 우회하는 데 악용될 수 있어 파장이 컸다. 김수키는 그동안 국내 기업·기관을 겨냥한 지능형 지속 위협(APT) 공격을 반복해 온 조직으로 알려져 있다. 이번 사례는 대기업 협력사의 개발 인증서까지 노린 공급망 공격의 위험성을 재확인시켰다.

한국인터넷진흥원(KISA)은 5월 6일 밤 11시 59분 CJ올리브네트웍스 측에 인증서 악용 정황 및 침해 신고 내용을 통보했다. 회사는 즉시 내부 확인 절차에 착수해 실제로 자사 발급 인증서가 외부로 유출된 사실을 파악했다. 해당 인증서는 소프트웨어 개발·배포 용도로 발급된 것으로 고객 개인정보와는 직접 연관이 없는 것으로 확인됐다. 그러나 대기업 IT 서비스 계열사의 핵심 보안 자산이 뚫렸다는 점에서 업계에 긴장감이 확산됐다. 사건 초기부터 북한 해킹조직 연루 가능성이 유력하게 제기되며 당국 조사가 본격화됐다.

CJ올리브네트웍스는 5월 7일 오전 10시 58분 문제의 인증서를 즉시 폐기하고 무효화 조치를 완료했다. 이후 같은 날 오후 3시 30분 KISA에 침해 사실을 정식으로 신고하며 공식 대응 절차를 마쳤다. 회사 측은 확인 후 즉시 폐기했으며 현재 인증서는 유효하지 않다고 밝혀 추가 피해 가능성을 차단했다고 설명했다. 이는 SK텔레콤 유심 해킹 사태 이후 국내 대기업의 인증서·보안 체계가 잇따라 노출되던 시기에 발생해 더욱 주목받았다. 보안 전문가들은 공급망을 통한 국가 배후 해킹이 국내 기업 전반으로 확산되고 있다고 경고했다.

중국 보안기업 레드드립팀은 김수키 조직이 CJ올리브네트웍스에서 탈취한 전자서명 정보를 악용해 국책 연구기관인 한국기계연구원을 공격하려 한 정황을 추가로 공개했다. 탈취된 인증서로 서명된 악성 파일이 신뢰할 수 있는 프로그램으로 위장돼 국가 연구기관 내부망 침투를 시도한 것으로 분석됐다. 이는 민간 IT기업의 보안 사고가 국가 핵심 연구시설에 대한 2차 공격으로 이어질 수 있음을 보여준 사례로 평가됐다. 정부 산하 연구기관을 겨냥한 표적 공격이라는 점에서 국가 사이버 보안 대응 체계에 대한 우려가 커졌다. 이번 사건은 CJ올리브네트웍스뿐 아니라 여러 대기업 인증서가 동시다발적으로 노려진 대규모 캠페인의 일환으로 파악됐다.

앞서 SK텔레콤 유심 정보 유출 사태로 국내 통신·IT 업계가 이미 큰 파장을 겪은 가운데 CJ올리브네트웍스 인증서 해킹까지 확인되며 대기업 인증서를 노린 연쇄 공격 우려가 커졌다. 보안업계는 두 사건 모두 국가 배후 해킹조직의 소행 가능성이 제기된다는 공통점에 주목했다. 전문가들은 소프트웨어 서명용 인증서가 탈취될 경우 이를 신뢰하는 모든 다운스트림 기업과 기관이 연쇄적으로 위협에 노출될 수 있다고 경고했다. 정부와 KISA는 유사 사고 재발을 막기 위해 기업들의 인증서 발급·관리 체계 전반에 대한 점검을 강화하겠다는 방침을 밝혔다. 이번 사건은 국내 기업의 소프트웨어 공급망 보안 수준을 재점검하는 계기가 됐다.