국민의 생각과 행복이 최우선인 국가정책, 국민의힘이 만들겠습니다.
과거 사람이 몰래 숨어들던 북한의 간첩 활동이 신분을 속인 온라인 취업 형태로 바뀌고 있다. 주간조선 취재 결과, 북한이 해외 기업에 IT 인력을 위장취업시키는 과정은 '공장'처럼 자동화돼 있었다. AI가 이력서를 쓰고, 봇이 하루 60건씩 지원서를 넣고, 딥페이크나 대리인이 면접을 보는 분업 체계가 갖춰져 있었다. 합격 뒤에는 미국 내 중개인이 노트북을 받아 원격 접속을 열어주고, 급여는 북한 당국이 통제하는 계좌로 흘러갔다. 주간조선이 국내 사이버 보안업체들과 협업해 ‘AI시대의 스파이'라 할 수 있는 북한 IT 노동자들의 해외 위장취업 실태와 수법을 추적한 결과, 북한의 외화벌이와 간첩 활동은 갈수록 고도화되고 있었다.
# 미국의 한 블록체인 전문 구직 사이트. 분명 이름도 얼굴도 다른 지원서들인데 직무, 경력, 기술, 자기소개 문구, 원하는 시급은 모두 판박이다. 찍어낸 듯 똑같은 이 프로필들의 주인은 북한 위장취업자였다. 프로필에 붙은 얼굴은 치과의사, 배우, 성우, 실제 개발자까지 다양한 사진을 훔쳐 AI(인공지능)로 합성한 것이다. 신분증으로 제출된 미국 영주권과 운전면허증은 위조된 것으로 밝혀졌다.
이들 중 일부는 채용 과정을 통과해 원격 근무까지 진행했다. 미국 내 중개인을 이용해 노트북 농장을 마련하고, 실제 인원은 북한·중국·러시아 등지에서 원격으로 접속해 업무를 수행했다. 이런 방식으로 운용되는 노트북이 100개국, 3만여대에 이르는 것으로 추산된다.
노트북 농장 만들고, 원격조종
미국 법무부 발표에 따르면 지난 9월 13일 하루에만 텍사스 주거지 40곳 이상이 수색돼 노트북·장비 187대가 압수됐고, 같은 날 일본 경찰청도 자국 첫 ‘노트북 농장’(위장취업용 노트북을 모아두고 원격 접속을 돕는 거점)을 해체했다고 발표했다. 한국 기업의 해외지사도 이미 표적이 된 것으로 파악됐다.
일례로 한 조직은 가짜 인물 22명분의 신원으로 1100개 회사에 지원했다. 하루 60건씩 자동 제출해 최소 10곳에 합격했다. 익명 메일 생성, 구인 공고와 경력 매칭, AI 이력서 작성, 지원서 제출까지 봇이 처리했다. 여성 이름으로 된 가짜 신분 1200개를 미리 만들어 둔 곳도 확인됐다.
서류는 그렇다 치더라도 화상 면접까지 어떻게 통과할 수 있었을까. 처음에는 화상 면접에서 실시간으로 얼굴을 바꿔치기하는 딥페이크 기술과 사람처럼 타자를 치는 프로그램을 활용했다. 기업들이 특정 제스처를 요구하거나 특정 발언을 시키는 방식으로 AI 탐지를 강화하자, 아예 외국인을 고용해 대신 면접을 보게 하는 방식으로 진화했다. 면접을 본 사람, 서류상의 인물, 실제로 일하는 사람이 전부 다른 구조다.
다크웹 모니터링 업체 ‘플레어(Flare)’의 조사에 따르면 북한 측은 링크드인에서 이란인 소프트웨어 개발자를 찾아 면접 대행자로 모집했다. 최소 14명이 채용 절차를 시작했고, 이 중 2명 이상이 미국 기업의 정식 채용 오퍼를 받았다. 사이버보안 업체 ‘큐델스키 시큐리티(Kudelski Security)’에 따르면 이 같은 대리 면접의 대가로 월 500달러가 제시됐다.
고도화된 신분세탁 채용에 성공한 북한 위장취업자들의 실제 근무지는 ‘노트북 농장’이다. ‘노트북 농장’은 해외 조력자들이 자택 등에 노트북 여러 대를 설치하고, 북한 IT 노동자들이 원격 접속 프로그램을 통해 해당 기기를 사용하는 방식이다. 이를 통해 북한 노동자들은 실제 주소를 숨기고 해당 국가에서 근무하는 것처럼 위장할 수 있다.
일례로 미 법무부 수사 결과에 따르면 2023년 10월 미국 애리조나주의 한 주택에서는 거실과 방에서 노트북이 90대 넘게 나왔다. 노트북마다 붙어 있는 포스트잇에는 어느 회사를 담당하고 있는지, 어떤 가짜 이름으로 취업한 것인지 적혀 있었다. 이 주택을 거쳐 북한 위장취업자가 일한 미국 기업은 309곳. 3년간 1700만달러(약 230억원)를 벌어들였다.
우크라이나 국적 올렉산드르 디덴코는 대리 신분 871건을 유통하고 노트북 농장 3곳을 운영하다 징역 5년을 선고받았다. 뉴저지의 커지아 왕과 전싱 왕은 100곳 이상의 기업에 위장취업자를 심었다. 이 사건에서는 미 방산업체의 수출통제 대상 기술 자료에 대한 무단 접근까지 확인됐다. 일본 경찰청은 자국 첫 노트북 농장을 해체했다고 밝히며, 북한 위장취업자가 일본 가상자산거래소에 지원해 면접까지 치른 사례를 발표했다.
정작 위험을 떠안는 현지 조력자들이 손에 쥐는 돈은 얼마 되지 않는다. 위험은 현지인이 지고 돈은 북한이 가져가는 구조로, 1710만달러가 오간 사건에서 조력자의 몫은 46만달러였다.
3800억이 12분 만에 빠져나가
한 보안업체 관계자는 “텔레그램에는 위장취업에 필요한 것들을 사고파는 시장도 형성돼 있다”며 “미국인 명의의 구직사이트 계정과 결제수단, 24시간 켜둔 현지 PC를 묶은 패키지가 100~150달러에 거래된다. 현지 PC는 월 단위로 빌려주기도 한다. 북한 연계 계정이 ‘미국 업워크 계정이 필요합니다’라고 직접 구매 글을 올린 사례도 확인됐다”고 밝혔다.
취업 후 부여받은 권한은 기본적으로 외화벌이에 쓰이지만, 곧 해킹과 공격의 수단이 되기도 한다. 지난해 미 법무부에 따르면 북한 국적자 4명이 미국 블록체인 개발업체에 개발자로 취업한 뒤 거래 자동실행 프로그램(스마트계약)의 코드를 바꿔 약 74만달러 상당의 가상자산을 빼돌린 혐의로 기소됐다.
이들이 블록체인 업계를 집중적으로 노리는 이유가 여기 있다. 원격 근무가 표준이라 대면 없이 일해도 이상하지 않고, 신생 조직이 많아 신원 확인이 느슨하다. 무엇보다 코드를 고칠 권한이 곧 자금 접근으로 이어진다. 클로인트 조사에 따르면 구인사이트 프로필에서 영어 능력은 일반 개발자와 북한 연계 계정이 35.4%로 동일했다. 차이는 블록체인 기술에서만 났다. 블록체인 거래를 자동 실행하는 프로그래밍 언어인 솔리디티를 내세운 비율은 일반 개발자의 4배(8.1% 대 33.0%), 가상화폐 플랫폼 솔라나 개발 경험은 10배(1.8% 대 19.0%), 시스템 개발 언어 러스트는 9배(2.5% 대 22.3%)였다.
북한 위장취업자들은 개발자들이 모여 코드를 함께 만들고 공유하는 온라인 커뮤니티에 파고드는 방식도 사용하고 있었다. 여기서 경력을 쌓고 사람을 사귀며 권한을 넓혀가는 것이다. 미 법무부·FBI 조사 결과에 따르면 개발자 모임 8곳을 살펴보니 구성원 1327명 중 146명이 북한 연계로 분류된 계정이었다. 개발자 23명 중 8명이 북한 연계인 모임도 있었다. 11명은 8곳 중 6곳에 동시에 들어가 있었다. 서로를 추천하고 서로의 경력을 올려주며 신뢰를 쌓는 방식이다. 한 곳에서는 코드를 합치자는 요청 281건 중 277건을 북한 연계 계정이 직접 승인했다. 이들은 운영 서버를 다룰 권한까지 쥐었고 코드 자체에는 아무 문제가 없었다. 대신 보상받을 명단에 자기 키를 올려두고, 자기 성과를 자기가 채점하도록 규칙을 몰래 바꿔 놨다. 악성코드를 심지 않고도 돈이 빠져나가게 만든 것이다. 이 같은 모임을 6개월 동안 지속한 계정으로 인해 침투 흔적이 전혀 없어 보이던 한 거래소에서 2억8500만달러(약 3800억원)가 12분 만에 빠져나간 사례도 생겼다.
반대로 기업이 지원자에게 주는 채용 과제를 무기로 쓰는 방법도 있다. 보안 전문 업체 유닛 42·ESET· 체이널리시스의 조사에 따르면, 북한 IT 요원이 채용 담당자로 위장해 개발업무 지원자에게 코딩 과제를 보내는 수법이 1년 사이 420% 늘었다. 파일을 압축 해제하고 개발 도구로 폴더를 여는 순간 악성 프로그램이 자동으로 내려받아지고, 따로 코드를 실행하지 않아도 감염되는 방식이다. 이 경우 과제를 보낸 회사 주소는 진짜 회사와 헷갈리도록 설정돼 있다. 진짜 회사 도메인은 몇 년 전 것이고, 한 글자만 다른 주소를 구입해 둔 것이다. 화상 면접용 프로그램인 척하는 악성 앱을 설치하게 하는 방식도 마찬가지다. 앞서의 보안업체 관계자는 “명령을 내리는 서버 주소는 블록체인에 적어 뒀기 때문에, 지울 수도 없고 차단 목록으로 막을 수도 없다”고 전했다.
취업을 거치지 않고 직접 공격하는 방식도 있다. 북한 IT 요원들은 개발자들이 일상적으로 내려받아 쓰는 공개 프로그램 패키지에 악성코드를 숨겨 배포했다. 유명한 패키지와 이름을 한 글자만 다르게 만들어 올린 것이다. 정상 서명까지 달고 올라왔기 때문에 검사 사이트는 전부 ‘안전’이라고 표시했다.
보안·모니터링업체 소켓·데이터도그·체이널리시스 조사 결과에 따르면 이 같은 악성 패키지가 뿌려지는 규모는 매달 늘고 있다. 2025년 3월 악성 판정은 0건이었지만 4월 332건, 6월 327건, 7월 324건으로 증가했다. 이를 뿌리는 계정만 천 단위다. 널리 쓰는 패키지 두 개가 오염되자 2시간 만에 전 세계 클라우드의 약 10%가 영향권에 들어갔다.
북한 위장취업자들은 가상자산 투자자를 직접 노리기도 한다. “돈 벌어 주는 자동매매 프로그램, 무료 공개합니다”라는 문구에 따라 프로그램을 내려받아 실행하는 순간 가상자산 지갑의 비밀번호는 외부로 유출된다. 받는 서버 주소는 감춰 뒀다가 실행할 때 풀어쓰는 방식이라 코드를 들여다봐도 잡히지 않는다. 서버도 두 군데 나눠 한쪽이 막혀도 계속 돌아가는 구조다.
클로인트 분석에 따르면 코드가 나온 저장소는 이미 북한 연계로 분류된 계정의 것으로, 복제된 자동매매 프로그램 중 이런 계정의 몫은 최근 6년 새 절반을 넘었다.
한국도 무풍지대 아냐
대면 근무 문화가 표준인 한국에서는 이같이 공개된 침투 사례가 많지 않지만, 북한의 표적에서 예외인 것은 아니다. 지난 10월 22일 국민의힘 김대식 의원실이 경찰청에 질의한 결과, 경찰청 안보수사국은 지난해 이 같은 사례를 처음으로 자체 인지해 수사에 착수한 것으로 파악됐다. 앞서 2023년 7월에도 국정원은 북한 위장취업자가 국내 에너지기업 해외지사에 취업을 시도하다 채용 직전 적발된 사실을 공개했다. 이 노동자는 미국 여권과 졸업증명서를 위조하고 온라인 구직 플랫폼에 경력을 올려 둔 상태였다. 2024년 12월 한국 정부는 신분을 숨기고 해외에서 IT 일감을 수주한 북한 조직원 15명과 기관 1개에 독자제재를 부과했다.
구인 플랫폼의 인증 절차가 강화되자 외국인에게 계정을 빌리거나 사들이는 방식으로 우회하는 수법도 나타났다. 한 가상자산 추적업체 관계자는 “해고된 위장취업자가 재직 중 확보한 민감 자료를 공개하겠다며 돈을 요구하거나, 이전 직장 관리자와 가족을 직접 위협한 사례도 분석됐다. 신분이 드러나도 다른 신분으로 갈아타 다시 지원한다”고 전했다.
황석진 동국대 국제정보보호대학원 교수는 “국내 기업도 해외지사나 외주 계약을 통해 이 문제와 연결돼 있다”며 “채용할 때 확인한 사람이 실제로 일하는 사람인지를 고용 기간 내내 확인하는 절차가 필요하다”고 말했다.
[단독] 북한 IT 인력 위장취업 실태를 추적하다 < 사회 < 기사본문 - 주간조선