조선 해커의 새로운 수법: 500달러로 면접 대행을 고용한 뒤, 직접 신분을 위장해 입사

原创｜Odaily 星球日报（@OdailyChina）

作者｜Wenser（@wenser 2010）

외주를 통해 MetaMask 지갑에 침투했던 북한 해커가 기억나시나요? (추천 읽기 《아찔했다! 외주 직원 한 명이 MetaMask를 거의 망칠 뻔했다》)

그리고 가짜 DeFi 회사의 함정 수사에 걸려 세상에 공개된 북한 해커도요? (추천 읽기 《올해의 피싱 대작, 가짜 DeFi가 북한 Lazarus 진짜 해커를 낚아내다》)

자발적으로 함정 수사를 벌이는 보안 회사들처럼, 북한 해커들도 자신들의 '공격 수단'을 업그레이드하고 있습니다. 초기의 기술 취약점 공격에서 시작해, 이후 사회공학 공격으로, 다시 이후에는 외주 프로젝트 팀 합류, 원격 입사를 통한 암호화폐 프로젝트 침투로 발전했습니다. 최근에는 이들의 침투 수단에 또 새로운 방식이 등장했습니다. 먼저 사람을 고용해 암호화폐 회사 면접을 통과하게 한 뒤, 자신이 그 사람을 대신해 입사하여 잠복하다가 기회를 엿보아, 최종적으로 내부 기술 공격을 통해 암호화폐 자산 및 민감 정보를 탈취하는 것입니다.

한 달 만에 보안 회사와 북한 해커들 사이의 전쟁에 새로운 진전이 있었고, 새로운 유형의 사기 수법도 수면 위로 떠올랐습니다.

"우회 전략": 해커가 사람을 고용해 면접을 통과시킨 후 직위를 접수, 최종 목적은 "조국에 봉사"

먼저 북한 해커들의 '전과'를 알아보겠습니다. 보안 회사 CrowdStrike의 데이터에 따르면, 2025년 북한 국가 연계 해커 및 위협 행위자로 인한 암호화폐 손실이 20억 달러를 넘어 전년 대비 51% 증가했습니다. 한국은행은 전 세계적인 공동 제재에도 불구하고 북한의 2025년 국내총생산(GDP) 성장률이 여전히 3.5%에 달할 것으로 추정했습니다.

현재 확인된 바로는, 북한 해커들이 '국가대표팀'으로서 경제 성장에 중요한 기여를 하고 있습니다.

올해 7월 31일, 미국 국무부와 FBI는 일본, 한국, 호주, 캐나다, 프랑스, 독일, 이탈리아, 네덜란드, 뉴질랜드, 영국 등 11개국과 함께 《북한 IT 노동자에 관한 경보》라는 제목의 보안 보고서를 발표했습니다.

보고서에는 상당한 정보가 담겨 있으며, 핵심 내용은 다음과 같습니다:

첫째, 북한은 국내외에 배치된 기술 개발자 네트워크를 통해 대외 활동을 하며, 이 기술자들을 파견하여 허위 신분을 취득하고 원격 근무로 돈을 벌게 한 뒤, 최종적으로 급여 소득을 북한 정부 기관 계좌로 송금합니다. 관련 자금은 최종적으로 북한의 핵무기 및 탄도미사일 계획 개발과 추진에 사용됩니다.

둘째, 북한 해커들의 구체적인 업무 내용을 보면, 이 기술 개발자들은 일반적으로 다른 국가 국민의 신분을 도용하여 해외 민간 기업이 운영하는 온라인 취업, 조달 및 도급 플랫폼에서 일자리와 그에 상응하는 급여 소득을 얻습니다.

셋째, 이 외에도 북한 기술 서비스 인력은 정상적인 직원 급여를 버는 것뿐만 아니라, 입사한 기업의 상업 정보와 상업 자산에 대해 매우 높은 내부 위협을 구성합니다. 상당수가 이 기회를 빌려 데이터 정보 절도, 암호화폐 절도 및 민감 정보 절도에 참여했습니다.

마지막으로, 구체적인 실행 방법 측면에서 북한 해커들의 준비 활동과 운영 수법은 날로 복잡해지고 있으며, 여기에는 AI 모델 및 애플리케이션 등의 도구를 이용해 가짜 신분을 만들어 전 세계적으로 불법 활동을 벌이는 것도 포함됩니다.

언급할 만한 점은, 이 보고서에서 언급된 가장 중요한 정보 중 하나는 기존의 '직접 면접' 방식을 기반으로 북한 해커들이 최근 자신들의 '워크플로우'를 업그레이드했다는 것입니다.

• 현재 이들은 사전에 LinkedIn 등 채용 사이트를 통해 일부 제3국 기술 인력(이란, 레바논 등 국가)을 모집하는 경우가 많습니다.
• 이후 북한 해커들은 일부 기술 개발자에게 '면접 도우미' 신분으로 아르바이트를 하도록 요구하며, 월 500달러의 암호화폐 보상을 통해 상대방이 자신의 목표 회사 입사를 도와주도록 합니다.
• 마지막으로 북한 해커 자신이 그를 대신하여 목표 회사에 들어가 팀의 일원이 되어 기술 침투를 실현하고, 해당 직위의 급여 보상을 받으면서 기회를 엿보아 해당 민감 정보 및 데이터, 암호화폐 자산 및 기술 코드 등 상업 자산을 탈취합니다.

의심할 여지 없이, 지속적으로 업그레이드되는 보안 공방전 속에서 북한 해커들도 점차 자신들의 'SOP(워크플로우)'를 업그레이드하고 있으며, 그들의 최종 목적은 당연히 자금을 본국으로 송금하는 것입니다.

북한 해커 침투율 자가 점검 리스트: 직원 개인정보부터 일상적 표현 습관까지

현재로서는 북한 해커들의 범행 수법이 방어하기 어렵지만, 여전히 추적 가능한 흔적이 있습니다. 다음은 일부 회사가 경계하고 자가 점검해야 할 신호 지표입니다:

온라인 플랫폼을 운영하는 회사의 경우, 특히 다음 사항에 주의해야 합니다:

• 직원이 등록 정보(계정명, 연락처, 수금 은행 계좌 등)를 빈번하게 변경.
• 직원 신분증 소지자 이름과 등록 결제 계좌 이름이 불일치.
• 동일한 신분 문서로 여러 수금 계좌 생성.
• 신원 확인 문서가 위조된 것으로 의심되거나 이미지 편집 소프트웨어, AI 이미지 생성 도구로 생성·변조된 경우.
• 여러 기술 계정이 동일 IP 주소에서 접근 요청을 보내는 경우.
• 단일 계정이 단시간 내 여러 IP 주소에서 접근 요청을 보내는 경우.
• 계정이 비정상적으로 장시간 로그인 상태를 유지.
• 누적 근무 시간 또는 관련 업무 지표가 이상한 경우(예: 온라인 시간 과다, 업무 효율 과도, 업무량 과다).
• 채용 사이트 사용자가 자신을 위해 허위 평가를 작성하여 취업 사이트 평점을 높이는 경우 등.

직원을 채용하거나 면접, 외주 고용을 진행하는 회사의 경우, 다음 세부 사항에 주의하면 북한 해커의 내부 침투를 적시에 방지할 수 있습니다:

• 면접자 개인 프로필에 오류나 부자연스러운 표현(기계 번역 의심)이 있고, 자신의 신분 정보에 있는 본국 언어에 능숙하지 않다고 주장하는 경우(AI 번역 서비스의 보급을 고려하면 언어 표현 측면에서만 주의를 기울일 수 있음).
• 화상 회의에서 위조 세부 사항이 노출되는 경우, 예를 들어 사진과 신분 정보가 불일치하거나, 회의 영상 화면이 AI 생성 또는 제3자 협력이며 언어 표현 및 동작 태도가 부자연스러운 경우.
• 면접 직원이 화상 회의 참여를 거부하고 얼굴 노출을 거부하는 경우.
• 인건비 보상 견적이 정상적인 일반 시장 가격보다 낮은 경우.
• 해당 개인의 기술 계정이 여러 사람에 의해 운영되는 것으로 표시되는 경우(일반적으로 이러한 해커 활동이 팀 형태로 운영되며, 실제 상호작용 대상이 시간에 따라 바뀔 수 있음을 의미함).
• 해당 보상을 암호화폐로 지불할 것을 요구하고, 완전한 은행 계좌 및 결제 계좌 정보 제공을 거부하는 경우.