2026년 상반기 북한 배후 APT 관련 이슈 99건, 한국 표적 19회…AI·딥페이크까지 활용
2026년 상반기 북한·중국·러시아 배후 APT 활동으로 보고된 이슈는 158건이었고, 이 가운데 북한 관련 이슈가 99건으로 가장 많았습니다. 북한 배후 그룹의 국가별 표적은 한국이 19회로 가장 많았으며, 가짜 채용과 코드 저장소·npm 패키지, 생성형 AI와 딥페이크를 활용한 활동도 반복적으로 확인됐습니다.
확인 기준일은 2026년 8월 16일 한국시간입니다.
‘북한 해킹 99건’은 정확히 무엇을 집계한 숫자인가
99건은 S2W가 2026년 1월부터 6월까지 분석한 북한 배후 APT 그룹 관련 ‘보고 이슈’ 수입니다. 원문 표현을 기준으로 해야 하므로, 이를 곧바로 ‘북한이 99차례 침해에 성공했다’거나 ‘국내에서 해킹 피해가 99건 발생했다’는 의미로 바꾸어 읽으면 안 됩니다.
APT는 ‘지능형 지속 위협(Advanced Persistent Threat)’의 약자로, 특정 조직이나 목표를 상대로 장기간 침투하거나 정보를 노리는 공격 활동을 뜻합니다.
S2W가 집계한 북한·중국·러시아 관련 이슈는 상반기 총 158건이었습니다. 국가별로 보면 북한 99건, 중국 33건, 러시아 26건입니다.
북한 관련 보고 이슈는 직전 반기인 2025년 하반기 87건에서 2026년 상반기 99건으로 12건 늘었고, 보고서가 제시한 증가율은 13.8%입니다.
세 국가를 모두 합친 수치는 같은 기간 147건에서 158건으로 11건, 7.5% 증가했습니다.
작성자 계산: 북한 관련 99건 ÷ 전체 158건 × 100 = 약 62.7%입니다. 즉 이번 보고서가 집계한 세 국가 관련 이슈 가운데 약 10건 중 6건 이상이 북한 관련 활동에 해당합니다.
왜 한국을 겨냥한 수치가 눈에 띄나
북한 배후 그룹의 국가별 표적 횟수에서는 대한민국이 19회로 가장 많았고 미국이 8회로 뒤를 이었습니다. 이번 수치에서 단순히 북한 관련 활동이 많았다는 사실보다 국내 이용자가 확인할 부분은 한국이 가장 많이 관찰된 표적이었다는 점입니다.
19회와 8회를 비교하면 한국은 미국보다 11회 많습니다. 작성자 계산으로 한국 표적 횟수는 미국의 약 2.38배입니다.
다만 이 수치는 전체 국내 해킹사고 건수나 실제 피해자 수와 같은 통계가 아닙니다. S2W 보고서에서 북한 배후 그룹의 활동 가운데 관찰된 국가별 표적 횟수를 비교한 수치입니다.
따라서 ‘한국에서 북한 해킹 피해가 19건 발생했다’고 표현하기보다 ‘북한 배후 그룹의 표적 가운데 한국이 19회로 가장 많이 관찰됐다’고 읽는 편이 원문 범위에 맞습니다.
AI와 딥페이크는 어떤 방식으로 등장했나
이번 보고서에서 북한 관련 활동과 함께 언급된 수법은 단순한 이메일 공격 하나에 그치지 않습니다. 암호화폐, IT, 소프트웨어 산업과 개발자를 대상으로 가짜 채용, 코드 저장소, npm 패키지, 생성형 AI, 딥페이크를 활용한 활동이 반복됐습니다.
특히 개발자를 겨냥한 공격에서는 ‘누가 보냈는지 모르는 첨부파일만 열지 않으면 된다’는 수준의 대응만으로 범위를 좁히기 어렵습니다. 코드 저장소와 npm 패키지는 소프트웨어 개발 과정에서 실제로 사용되는 자원이기 때문입니다.
생성형 AI와 딥페이크 역시 이번 보고서에서 북한 관련 활동에 활용된 요소로 명시됐습니다. 다만 보고서가 확인한 범위를 넘어 모든 북한 배후 공격이 AI나 딥페이크를 사용했다고 확대해서 해석해서는 안 됩니다.
이번 상반기 자료가 보여주는 변화는 AI가 독립적인 하나의 공격 유형이라기보다 기존의 사회공학, 가짜 신원, 개발 생태계 침투 등과 함께 활용되고 있다는 점입니다.
공격은 AI만 조심하면 되는 문제가 아니다
2026년 상반기 북한·중국·러시아 배후 활동에서 확인된 공통 공격 기법에는 피싱, 사용자 실행, 공개 서버 취약점 악용, 프록시 및 클라우드 서비스 악용이 포함됐습니다.
취약점 측면에서는 세 국가 배후 활동에서 고유 CVE 15개가 총 19회 확인됐습니다. CVE는 공개적으로 식별번호가 부여된 소프트웨어·시스템 보안 취약점을 말합니다.
국가별 경향도 차이가 있었습니다. 북한 배후 그룹은 사회공학과 사용자의 직접 실행을 주로 활용했고, 중국 배후 그룹은 서버와 경계 장비의 취약점, 러시아 배후 그룹은 문서·웹메일·네트워크 장비 취약점을 주로 활용한 것으로 분석됐습니다.
따라서 ‘딥페이크 영상만 구별하면 된다’는 식으로 대응 범위를 좁힐 수 없습니다. 이메일과 메신저, 계정 인증, 개발 환경, 외부에 노출된 서버와 장비, 클라우드까지 함께 확인해야 하는 이유가 여기에 있습니다.
개인 이용자는 무엇을 먼저 확인해야 하나
개인에게 가장 현실적인 출발점은 의심스러운 링크와 파일을 열지 않고 계정의 2차 인증을 활성화하는 것입니다. 한국인터넷진흥원은 피싱 대응 안내에서 출처가 불분명한 주소에 접속하지 말고, 알 수 없는 첨부파일을 내려받거나 열지 않도록 안내하고 있습니다.
메신저나 이메일로 익숙한 회사명, 지인 이름, 채용 제안이 왔다고 해서 메시지 안의 링크를 바로 이용하지 않는 편이 안전합니다. 정상 서비스인지 별도로 확인한 뒤 공식 앱이나 직접 입력한 주소를 통해 접근하는 방식이 필요합니다.
계정에는 아이디와 비밀번호 외에 추가 인증수단을 설정하고, 사용하는 기기와 백신·운영체제도 최신 상태로 유지해야 합니다.
피싱 메시지를 받았거나 악성코드 설치가 의심될 경우에는 한국인터넷진흥원의 국번 없이 118 상담·신고 경로를 이용할 수 있습니다.
이미 계정정보를 입력했거나 악성 파일을 실행했다면 단순히 메시지만 삭제하고 끝내기보다 계정과 단말기의 침해 여부를 점검할 필요가 있습니다.
기업과 개발 조직은 어디까지 점검해야 하나
기업은 이메일 차단만 강화하는 방식보다 개발 환경, 공급망, 인터넷 노출 자산, 클라우드 서비스, AI 분석 환경을 함께 보는 대응 체계가 필요하다는 것이 S2W 보고서의 권고입니다.
특히 이번 자료에서 가짜 채용, 코드 저장소와 npm 패키지가 북한 관련 활동에 함께 등장했다는 점은 개발 조직이 사용하는 계정과 소프트웨어 공급망을 별도의 보안 영역으로 관리해야 할 필요성을 보여줍니다.
S2W는 침투가 의심되는 경우 자격 증명 교체, 영향 범위 조사, 불변 백업과 서비스 복구 역량 강화를 권고했습니다. 불변 백업은 공격자가 시스템에 침투하더라도 쉽게 수정하거나 삭제할 수 없도록 구성한 백업을 의미합니다.
실제 침해사고가 발생한 정보통신서비스 제공자는 별도의 법정 신고 의무도 확인해야 합니다. 보호나라의 현재 신고 안내에는 침해사고 발생을 알게 된 때부터 24시간 이내 신고하도록 규정된 대상과 절차가 안내돼 있습니다. 일반 개인의 단순 의심 상황과 사업자의 법정 신고 의무를 같은 것으로 혼동하지 않는 것이 중요합니다.
이번 수치에서 가장 중요하게 볼 부분
2026년 상반기 자료에서 확인된 변화는 세 가지로 압축됩니다.
첫째, 북한 관련 APT 보고 이슈가 87건에서 99건으로 13.8% 증가했습니다.
둘째, 북한 배후 그룹이 겨냥한 국가 가운데 한국이 19회로 가장 많았고 미국은 8회였습니다.
셋째, 공격 활동에 기존 피싱과 사회공학뿐 아니라 가짜 채용, 코드 저장소, npm 패키지, 생성형 AI와 딥페이크가 함께 활용됐습니다.
‘AI를 이용한 새로운 해킹이 등장했다’는 한 문장만 기억하기보다, 신뢰할 만해 보이는 사람·채용 제안·코드·패키지·메신저 대화까지 공격 경로가 될 수 있다는 점을 함께 보는 것이 실제 대응에는 더 중요합니다.
개인은 출처가 불명확한 링크와 파일을 열지 않고 2차 인증을 적용하고, 기업과 개발 조직은 계정·개발 환경·공급망·클라우드·백업을 함께 점검하는 순서로 대응할 수 있습니다.
---