전세계 울리던 北해커들, 유령 회사에 '취업사기' 당했다

(서울=뉴스1) 윤주현 기자 = 글로벌 사이버보안 연구진이 가짜 스타트업 회사를 창업해 북한 IT 인력의 위장 채용 방식과 내부 활동 방식을 추적해 눈길을 끌었다.

14일 미국의소리(VOA)에 따르면 글로벌 사이버 위협 분석업체 '애니런'(ANY.RUN)과 위협정보업체 '비씨에이 엘티디'(BCA LTD), '노스스캔'(NorthScan)의 연구진은 최근 가짜 스타트업 회사를 창업하고 북한 IT 인력 추적 합동 조사에 착수했다.

연구진은 가상의 탈중앙화 금융(DeFi) 스타트업 업체를 만들고, 회사를 대규모 가상화폐 자산을 다루는 금융 프로토콜 개발 회사로 위장했다. 이어 실제로 북한 연계 해킹조직 라자루스 산하로 의심되는 '페이머스 천리마' 모집책과 접촉해 북한 IT 개발자 인력 3명을 원격으로 채용했다.

연구진은 면접부터 업무 수행까지 이들의 불법 행위 전반을 관찰했다. 채용 과정에서 이들은 타인 명의의 운전면허증을 제출하고, 인공지능(AI)으로 생성한 이미지를 활용한 위조 신분증을 활용하는 방식을 통해 신분을 위장했다.

연구진은 이들에게 가상의 데스크톱을 업무용으로 제공하고 개발자들의 활동을 실시간으로 기록했다. 특히 이들의 구글 계정 기록을 통해 취업 과정에서 남긴 검색 기록과 비밀번호, 브라우저 확장 프로그램까지 확인했다.

이들은 챗지피티(ChatGPT) 등 AI를 활용해 코딩 문제를 해결하고, 구글 제미나이 등 다른 AI 도구들도 적극 활용한 것으로 파악됐다.

또한 개발자들은 가상사설망인 '아스트릴브이피엔'(AstrillVPN)을 활용해 접속 위치를 숨겼다. 원격접속 프로그램 '애니데스크'(AnyDesk)', 여러 인력이 이중인증 코드를 공유하는 서비스 등도 즐겨 사용했다. 이들이 접속 경유지로 사용한 서버 일부는 악성코드 유포에 재활용되기도 했다.

연구진들은 이번 조사를 통해 북한이 IT 인력의 위장 취업을 통해 단순 외화벌이를 넘어 지식재산 갈취 등의 여러 문제를 유발할 수 있다고 분석했다. 직원으로 채용된다면 오랜 기간 소스코드와 지식재산 접근이 가능하고, 코드 검토와 승인 등 내부 업무 과정에도 영향을 미칠 수 있어서다.

북한은 전 세계 기업을 대상으로 위장 취업 조직을 대대적으로 운영해 외화벌이와 지식 재산 탈취에 적극적으로 나서고 있다. 특히 최근 들어서는 인공지능(AI) 기술을 활용해 위장 취업 방식을 고도화하고 있다.

연구진은 북한의 IT 위장 취업 사례가 늘어나고 있는 만큼 원격근무자에 대한 정기적인 신원 확인과 대면 검증이 필요하다고 전했다.

gerrad@news1.kr