국민의 생각과 행복이 최우선인 국가정책, 국민의힘이 만들겠습니다.
국내에서도 북한 IT(정보기술) 인력들이 위장취업을 한 것으로 드러나 파장이 일고 있다. 과거에는 휴민트나 주파수를 이용해 지령을 내리는 방식으로 간첩활동을 했던 북한이 이제는 인공지능(AI)을 활용해 IT 인력들을 위장취업시키거나 계좌를 해킹하는 방식으로 진화한 셈이다. 위장취업을 위해 타인의 개발 기록을 통째로 훔쳐 수십 년 경력자로 위장하는 경우도 있었다. 위장취업한 인력들은 IT업체로부터 월급을 받아 이를 북한으로 보내면서, 다른 한편으로는 국내 은행 계좌를 해킹하는 활동을 동시에 하고 있다.
은행 자동 접속 도구 만들어 계좌 털이
주간조선 취재에 따르면, 국내보안업체 A사가 북한 IT 인력으로부터 압수한 프로그램에는 은행 13곳에 각각 맞춤 제작된 자동 접속 기능이 들어 있었다. 이 프로그램 안에는 해커들이 사전에 확보한 실제 계좌의 비밀번호와 인증번호가 그대로 담겨 있었다. 위장취업 인력은 이 프로그램을 사용해 은행별 로그인 기능들에 접근하고 있었다. 프로그램은 보안분석가가 내용을 알아보기 어렵도록 난독화하고, 사람인지 여부를 확인하는 절차를 자동으로 통과하기 위해, 확인창에 쓰이는 그림 수천 장을 미리 모아둔 것을 활용했다. 사람이 일일이 풀지 않아도 여러 계좌에 접속할 수 있는 구조다. A 보안업체 측은 “이 프로그램으로 접속한 주소는 모두 한 도시에 몰려 있었다”며 “흩어진 해커 여럿이 아니라 한곳에 거점을 둔 조직이 움직였을 가능성을 보여주는 대목”이라고 분석했다. 또한 훔치는 쪽과 세탁하는 쪽이 따로 움직인 흔적도 발견됐다. 업체 측은 “국제 제재를 받은 돈세탁 서비스를 다시 가동한 흔적이 함께 나왔다”고 전했다.
위장취업한 북한 IT 인력의 활동은 조직적으로 이뤄진다. IT 노동자는 신분을 속이고 외국 기업에 취업해 번 월급을 평양으로 보낸다. IT 요원이 해커를 포함해 프로그램에 악성 기능을 심거나 돈을 빼내는 인력이라면, 이 두 역할을 한 사람이 겸하는 경우가 많다. 위장취업으로 내부에 들어간 뒤 돈이 되는 정보나 가상자산을 노리는 사례가 적지 않기 때문이다. A보안업체는 “급여는 북한 당국이 통제하는 계좌로 들어간다”며 “미 연방수사국(FBI)은 지난 10월 이들 수익의 85~90%가 북한 정부로 귀속되는 것으로 추정했다”고 밝혔다.
이들이 채용 문턱을 넘은 비결은 ‘오래된 가짜 경력’을 훔친 데에 있었다. 개발자들은 자신이 만든 프로그램 기록을 깃허브(GitHub·개발자 코드 공유 플랫폼)에 쌓아 두고, 채용 담당자는 이 기록을 경력의 증거로 보는데, 북한 IT 인력은 이 기록을 사들이거나 베껴 수십 년 경력자로 위장했다. 국내 보안업체 B사에 따르면 2009년에 만들어져 팔로어가 수천 명이고 개발 기록이 오랜 기간 쌓인 계정이 북한 IT 인력에게 거래된 사례가 확인됐다. 남의 개발 기록을 통째로 복사하거나 사들여 이름만 바꾼 것인데, 계정을 만들기 7년 전 날짜의 기록까지 갖고 있어 검증된 경력자처럼 보이게 한다. B보안업체 측은 “이들의 기록마다 붙는 고유번호가 원본과 똑같아서, 한 글자도 고치지 않고 이름만 바꾼 사례로 볼 수 있다”라고 설명했다.
계정을 사지 않고 기록을 직접 만들어 내기도 했다. B 보안업체 측은 “이를 자동으로 위조해 주는 도구를 직접 자체적으로 만들어 쓴 계정도 확인됐다”며 “(개발 활동이 많아 보이도록) 저장소(코드 보관함)를 하루에 수십 개씩 찍어낸 사례도 나왔다”고 전했다. 이런 수법이 통하는 것은 IT 업계 채용 과정에 이력을 검증하는 절차가 사실상 없기 때문이다. 대부분의 기업이 깃허브 이력을 경력 증빙으로 활용하면서도 진위를 확인하지는 않는다.
북한의 해킹활동이 고도화됨에 따라 기업 차원의 점검과 국가 차원의 추적 체계가 함께 가야 한다는 지적이 나온다. 황석진 동국대 국제정보보호대학원 교수는 “북한 IT 인력의 위장취업은 단순한 신분 도용을 넘어 기업 내부 시스템 침투와 금융정보 탈취, 자금세탁으로 이어질 수 있는 조직적 위협”이라며 “채용 단계에서 신원과 개발 경력의 진위 여부를 검증하고, 재직 중에도 주요 시스템 접근 권한과 이상행위를 지속적으로 점검하는 선제적 보안체계가 필요하다”고 강조했다. 이어 “개별 보안업체마다 위협정보 수집 범위와 추적 기술에 차이가 있는 만큼, 국가 차원에서 민간 보안업체와 수사기관이 협력하는 통합 추적체계를 구축할 필요가 있다”고 밝혔다. 특히 “수사기관이 적법하게 확보한 사이버범죄 수사정보와 민간 보안업체의 기술적 분석정보를 법령이 허용하는 범위에서 연계·교차검증한다면, 북한 IT 인력의 위장 신분과 공격 인프라, 자금 이동 경로를 보다 정밀하게 추적할 수 있을 것”이라고 설명했다.
최근 국내에서도 북한 IT 인력의 위장취업 사례가 줄줄이 확인되고 있다. 지난 10월 22일 국민의힘 김대식 의원실이 경찰청에 질의한 결과, 경찰청 안보수사국은 지난해 북한 IT 인력이 국내 민간 업체에 신분을 속이고 취업해 실제 개발 업무까지 한 사례를 자체 인지해 수사에 착수한 것으로 파악됐다.
북한 IP를 통한 금융권 공격 시도도 이어지고 있다. 지난 10월 29일 평양에 등록된 IP에서 국내 금융권을 겨냥한 해킹 시도가 440만건가량 탐지됐다고 알려졌다. 이 시도가 북한 정찰총국 산하 해킹 조직 ‘라자루스’와 연관됐을 가능성이 있다는 분석도 나온다. 다만 금융당국은 북한 IP라는 이유만으로 북한 소행으로 단정하기는 어렵다는 입장이다.
북한 IT워커, 이력서 훔쳐 취업하고 은행 계좌 턴다 < 사회 < 기사본문 - 주간조선