김정은 사망설이 뜬 날,

 보안팀은 왜 기사보다 메일함을 먼저 봐야 할까

— Breaking News가 APT의 가장 좋은 미끼가 되는 순간

2026년 10월 20일 전후에 해외 SNS에서 갑자기 이런 이야기가 퍼지기 시작했다.

김정은이 뇌출혈로 쓰러져 베이징으로 이송되었고, 혼수상태에 빠졌고, 결국 사망했다는.

곧이어 김여정이 권력을 장악했다거나 중국군이 북한에 들어갔다는 주장까지 따라붙었다.

하지만 구체적인 증거는 없었다. 커뮤니티는 떠들썩했고, 방산 주식 떨어지는 일이 일어나기도 했다. 

나 방산 들어가있는데 ㅠㅠ

10월 23일 국가정보원은 국회 정보위원회에 해당 사망설이 사실이 아니라는 판단을 보고했다. 북한 관영매체 역시 김정은이 19일 평양에서 전시회를 방문했다고 보도했다.

정보 관점에서는 여기까지가 허위정보 확산 사건이다.

그런데 보안팀 입장에서 이런 사건을 보면 조금 다른 생각이 든다.

“이거 며칠 안에 피싱 메일 제목으로 나오겠는데?”

왜냐하면 공격자가 좋아하는 미끼에는 공통점이 있기 때문이다.

사람이 궁금해해야 하고,

지금 당장 열어봐야 할 것 같아야 하고,

평소 업무와 관련돼 있어야 한다.

김정은 사망설은 그 세 가지 조건을 거의 완벽하게 만족한다.

중요한 전제부터

현재 확인된 공개 자료 기준으로,

이번 2026년 10월 김정은 사망설을 이용한 특정 악성코드 캠페인이 실제로 확인됐다는 의미는 아니다.

이 글은

Rumor
   |
   v
Confirmed Malware Campaign

을 주장하는 글이 아니다.

대신 이런 구조를 보는 글이다.

Breaking Geopolitical Event
          |
          v
High Public Interest
          |
          v
Targeted Social Engineering
          |
          v
Credential Theft / Malware

그리고 이 방식은 단순한 가정이 아니다.

북한 연계 위협그룹들이 이미 반복적으로 사용해 온 패턴과 상당히 비슷하다.

공격자는 왜 “가짜뉴스”보다 “진짜 관심”을 좋아할까

피싱이라고 하면 이런 걸 떠올리기 쉽다.

Your account has expired.
Click here to verify your password.

요즘 표적형 공격은 훨씬 자연스럽다.

특히 대상이

Journalist
Researcher
Government Official
Policy Analyst
Think Tank Staff
Defense Researcher

같은 사람이라면,

뜬금없는 택배 문자보다 북한 관련 속보 하나가 훨씬 좋은 미끼가 된다.

2023년 미국 FBI·NSA와 한국의 국정원·경찰청·외교부 등이 공동 발표한 권고문에서도 Kimsuky 계열 공격자들이 언론인, 학자, 싱크탱크 연구자 등을 사칭하거나 대상으로 삼고, 북한 전문가 커뮤니티에서 논의되는 최신 현안에 맞춰 피싱 내용을 업데이트한다고 설명했다.

이게 중요한 포인트다.

공격자는 반드시 거짓말을 처음부터 만들어낼 필요가 없다.

이미 인터넷에서 사람들이 이야기하고 있는 소재를 가져오면 된다.

예를 들어 메일 제목이 이렇게 온다면

북한 관련 연구기관에서 일하는 사람이라고 생각해보자.

사망설이 한창 퍼지고 있는 날 이런 메일이 온다.

Subject: Urgent Briefing — Leadership Transition in North Korea

Attached:
DPRK_Leadership_Assessment_20261020.zip

평소라면 ZIP 파일부터 의심할 수 있다.

그런데 지금은 상황이 다르다.

몇 시간 전부터 X와 뉴스 사이트에서 같은 이야기가 돌고 있다.

게다가 발신자가 알고 있는 기자나 연구원처럼 보인다.

본문도 자연스럽다.

Could you review the attached assessment before today's briefing?

We are collecting expert opinions regarding the reports
of a possible leadership transition in Pyongyang.

업무 내용과 너무 잘 맞는다.

이게 spear phishing이 일반 phishing보다 무서운 이유다.

기술적으로 완벽하게 속이는 게 아니라, 상황적으로 클릭할 이유를 만들어준다.

실제로 비슷한 공격은 이미 있었다

2026년 6월 22일.

APT37과 연관된 것으로 분석된 공격자가 연구·정책·학술 분야 종사자들을 대상으로 스피어피싱을 시도한 사례가 발견됐다.

미끼는 허구의 행사가 아니었다.

실제로 서울에서 열린 북한 관련 학술행사 자료집이었다.

공격자는 행사명과 주최기관 등 공개 정보를 활용해 메일을 만들었다.

수신자 입장에서는 자신이 실제로 알고 있을 만한 행사였다.

링크를 열면 PDF처럼 보였지만 실제 전달된 것은 악성 ISO였고, 내부 실행파일은 문서처럼 보이도록 위장돼 있었다.

공격 흐름을 단순화하면 이렇다.

Real-world Event
      |
      v
Legitimate-looking Email
      |
      v
Cloud Storage Link
      |
      v
Fake Document
      |
      v
Payload Execution
      |
      v
RokRAT

핵심은 malware가 아니다.

처음 한 번의 클릭을 어떻게 만들어냈느냐다.

김정은 사망설 같은 이슈가 특히 위험한 이유

일반적인 보안교육에서는 이렇게 말한다.

모르는 첨부파일은 열지 마세요.

틀린 말은 아니다.

그런데 실제 표적 공격에서는 피해자가 첨부파일을 열어야 할 이유가 있다.

기자라면,

Exclusive Photos

라는 파일이 궁금하다.

북한 연구자라면,

Leadership Transition Assessment

를 열어볼 이유가 있다.

정부 관계자라면,

Emergency Situation Report

라는 문서를 무시하기 어렵다.

그리고 보안업계 종사자라면 이런 파일이 오히려 더 위험하다.

DPRK_Incident_IOC_Report.pdf

보안 담당자니까 보안 문서를 열어본다.

공격자는 직무를 취약점으로 사용하는 셈이다.

보안팀 입장에서 Breaking News는 하나의 IOC다

여기서 조금 관점을 바꿔보자.

보안팀이 IOC라고 하면 보통 이런 것을 생각한다.

IP Address
Domain
File Hash
URL
Registry Key
Process Name

그런데 threat hunting을 오래 하다 보면 이슈 자체도 하나의 indicator처럼 볼 수 있다.

예를 들어 갑자기 김정은 사망설이 크게 터졌다.

그날부터 SOC에서는 메일 로그에서 이런 키워드가 증가하는지 볼 수 있다.

Kim Jong Un
DPRK
North Korea
death
brain hemorrhage
leadership transition
succession
emergency briefing
intelligence report

키워드가 있다는 이유로 차단하는 것은 아니다.

대신 평소보다 priority를 높인다.

Breaking Topic
      +
External Sender
      +
Attachment
      +
New Domain
      +
Targeted Recipient
      |
      v
High-Priority Review

이게 뉴스와 threat intelligence가 만나는 지점이다.

실제 Senior Security Engineer라면 먼저 메일 게이트웨이를 본다

이런 이슈가 터진 날 가장 먼저 할 수 있는 것 중 하나는 최근 inbound mail을 확인하는 것이다.

특히 북한·외교·보안 관련 인력이 있는 조직이라면 더 그렇다.

나는 다음 요소를 같이 본다.

Sender Reputation
Domain Age
SPF
DKIM
DMARC
Reply-To
Attachment Type
URL Reputation
Recipient Role
Message Similarity

예를 들어 표시되는 From은 정상적인 연구기관처럼 보이는데

From:
researcher@example.org

실제 Reply-To는 전혀 다른 신규 도메인이라면 이야기가 달라진다.

Reply-To:
analysis-team@external-example.net

여기에

.zip
.iso
.lnk
.pif
.scr

같은 파일 전달 흐름까지 붙으면 확인 우선순위가 급격히 올라간다.

“메일 안에 악성코드가 없는데요?”

요즘 공격은 반드시 첫 메일에서 악성코드를 던지지 않는다.

오히려 첫 번째 메시지는 정말 평범한 경우가 있다.

Hello,

We're preparing a short expert briefing regarding recent
developments in North Korea.

Would you be available to provide a brief comment?

첨부파일도 없다.

URL도 없다.

보안장비 입장에서는 완전히 정상이다.

사용자가 답장을 한다.

그제야 공격자는 두 번째 메시지를 보낸다.

Thank you.

I've attached the background material for your review.

이런 방식을 pretexting이라고 볼 수 있다.

먼저 사람 사이의 맥락을 만든 다음 실제 payload를 전달하는 방식이다.

APT37 역시 2026년 Facebook을 통해 대상을 찾고 친구 관계를 만든 뒤 Messenger로 이동해 특정 주제를 미끼로 사용한 공격이 분석됐다.

즉 공격 흐름이

Malware
   |
   v
Victim

이 아니라

Reconnaissance
      |
      v
Conversation
      |
      v
Trust
      |
      v
Payload

가 된다.

메일 보안 솔루션 하나만으로 막기 어려운 이유다.

그리고 2026년에는 AI까지 붙었다

여기에 또 하나 달라진 게 있다.

미끼 문서를 만드는 비용이 급격히 낮아졌다.

2026년 9월 Genians가 분석한 Kimsuky 연계 활동에서는 악성 LNK와 함께 제공되는 미끼 PDF 일부에서 오픈소스 AI coding agent인 opencode 사용 흔적이 발견됐다.

분석에서는 HTML 기반 문서를 자동 생성한 뒤 Headless Chrome으로 PDF화한 것으로 보이는 흔적도 발견됐다.

예전에는 공격자가 그럴듯한 문서 하나를 직접 만들어야 했다.

지금은

Topic
  |
  v
LLM
  |
  v
HTML Template
  |
  v
PDF

형태로 대량 생산하기 훨씬 쉬워졌다.

김정은 사망설처럼 갑자기 터지는 뉴스가 있을 때 특히 문제가 된다.

뉴스가 오전 9시에 뜨면,

공격자가 오후까지 기다릴 필요가 없다.

미끼 문서 제작 속도가 뉴스 사이클을 따라갈 수 있다.

그래서 “문서 내용이 그럴듯하다”는 더 이상 신뢰 지표가 아니다

예전 피싱 메일에는 특징이 있었다.

문장이 이상하다.

번역체가 어색하다.

디자인이 허술하다.

로고가 깨져 있다.

요즘은 그런 지표의 가치가 계속 떨어진다.

Good Grammar != Legitimate

Professional PDF != Legitimate

Correct Branding != Legitimate

Relevant Topic != Legitimate

특히 AI를 사용하면

북한 전문가에게는 북한 전문가처럼,

보안팀에게는 보안업체처럼,

기자에게는 기자처럼

보이는 문서를 훨씬 쉽게 만들 수 있다.

그래서 방어 측에서도 내용의 자연스러움이 아니라 실행 과정을 봐야 한다.

문서는 정상인데 그 다음 프로세스가 이상하다

EDR에서는 이런 연결 관계가 훨씬 중요하다.

Mail Client
     |
     v
Archive
     |
     v
LNK
     |
     v
PowerShell
     |
     v
Network Connection

또는

Explorer
   |
   v
Unexpected Executable
   |
   v
Scheduled Task
   |
   v
External C2

2026년 Kimsuky 관련 분석에서도 LNK가 PowerShell 실행으로 이어지고, hidden scheduled task를 생성하거나 GitHub raw content를 후속 payload 전달에 사용하는 패턴 등이 확인됐다.

이런 공격에서는

File Name

보다

Process Tree

가 더 믿을 만한 경우가 많다.

내가 SOC에서 이 상황을 봤다면

김정은 사망설이 갑자기 크게 돌기 시작했다고 하자.

보안팀에서 굳이

“이 뉴스가 사실인가?”

를 먼저 판단할 필요는 없다.

그건 정보기관과 언론이 판단할 문제다.

보안팀의 질문은 조금 다르다.

“우리 조직에서 이 이슈를 이용하는 공격이 시작됐는가?”

그래서 먼저 메일 쪽에서 관련 테마가 갑자기 증가했는지 본다.

그다음 수신자가 누구인지 본다.

Executives
Government Relations
Security Team
Researchers
Journalists
Policy Staff

그리고 첨부파일이나 URL을 확인한다.

필요하면 EDR에서 동일 시간대에 생성된 프로세스를 연결한다.

Email
  |
  v
Attachment
  |
  v
Execution
  |
  v
Network

이렇게 하나의 timeline으로 만드는 것이다.

허위정보와 사이버 공격이 만나는 지점

이번 사망설 사건 자체는 국정원이 사실이 아니라고 판단했다.

하지만 보안 관점에서 중요한 건 사실 여부만이 아니다.

사람들이 믿을 준비가 되어 있었느냐도 중요하다.

사이버 공격에서 정보는 꼭 사실일 필요가 없다.

클릭하게 만들 정도로 plausible하면 된다.

Truth
  |
  +----------------+
                   |
Rumor              |
  |                |
  +-------> Attention
                |
                v
             Curiosity
                |
                v
              Click

그래서 지정학적 위기나 속보가 발생하면

정보전,

허위정보,

사회공학,

사이버 첩보

사이의 경계가 점점 흐려진다.

특히 북한 관련 업계에서는 더 그렇다

공동 사이버보안 권고문에서 Kimsuky는 북한 관련 정책과 외교 문제를 다루는 언론인, 학자, 연구원 등을 주요 정보수집 대상으로 삼는 것으로 설명돼 왔다.

2026년에도 비슷한 흐름은 이어졌다.

실제 북한 관련 학술행사 자료를 도용한 RokRAT 공격이 발견됐고,

Microsoft 보안 안내를 사칭해 NarwhalRAT을 전달하는 APT37 연계 활동도 분석됐다. 해당 악성코드는 키로깅, 화면 캡처, USB 데이터 수집, 원격 명령 실행 등의 기능을 갖고 있었다.

즉 공격자에게 **“북한 관련 최신 정보”**는 단순한 뉴스가 아니다.

특정 표적과 대화를 시작하기 위한 social engineering material이기도 하다.

결국 가장 위험한 첨부파일은 수상한 파일이 아니다

보안교육에서는 흔히 이렇게 말한다.

수상한 파일을 열지 마세요.

그런데 정교한 표적 공격에서는 오히려 반대다.

가장 위험한 파일은

열어볼 이유가 너무 충분한 파일이다.

Breaking_Report.pdf

Emergency_Briefing.zip

Leadership_Transition_Assessment.pdf

DPRK_Intelligence_Update.pdf

그날 뉴스와 정확히 맞는다.

내 업무와 정확히 맞는다.

발신자도 아는 사람처럼 보인다.

그래서 연다.

공격자는 결국 사람에게

Execute

버튼을 누르게 만드는 게 아니다.

머릿속에서 먼저

This makes sense.

라는 판단을 만들게 한다.

보안팀이 지켜야 하는 건 파일보다 Context다

이런 공격을 막으려면 IOC만 쫓아다녀서는 부족하다.

도메인은 바뀐다.

파일 hash도 바뀐다.

문서 이름도 바뀐다.

특히 AI를 이용하면 미끼 문서는 계속 새로 만들 수 있다.

반대로 잘 바뀌지 않는 것이 있다.

Target Selection
      |
      v
Pretext
      |
      v
Initial Access
      |
      v
Execution
      |
      v
Persistence
      |
      v
Command and Control

즉 TTP다.

그래서 Senior 보안 엔지니어 입장에서는

"Kim Jong Un"이라는 문자열을 차단할까?

보다

“이 이슈를 이용한 공격자가 어떤 행동을 할까?”

를 보는 편이 훨씬 중요하다.

정리

김정은 사망설은 결국 사실이 아닌 것으로 국정원이 판단했다.

하지만 사이버보안 관점에서는 꽤 흥미로운 사례다.

뉴스가 사실이 아니더라도,

그 뉴스에 사람들이 관심을 가지는 순간 공격 표면이 하나 생기기 때문이다.

Breaking News
      |
      v
Public Attention
      |
      v
Targeted Pretext
      |
      v
Trust Building
      |
      v
Malicious Delivery
      |
      v
Initial Access

실제로 북한 연계 APT들은 북한 전문가와 연구자, 언론인 등을 대상으로 최신 현안과 실제 행사 정보를 반영한 스피어피싱을 지속적으로 사용해 왔다.

그리고 AI는 이런 공격의 제작 속도를 더 빠르게 만들고 있다.

그래서 큰 국제 뉴스가 하나 터졌을 때

뉴스팀은 사실관계를 확인하고,

정보기관은 정보의 진위를 판단하고,

보안팀은 다른 질문을 해야 한다.

“지금 누군가 이 뉴스를 우리 직원을 클릭시키는 데 쓰고 있지는 않은가?”

가끔 보안에서 가장 빠르게 무기화되는 것은 새로운 CVE가 아니다.

오늘 아침 헤드라인이다.