"北 해킹조직, 149억원 암호화폐 탈취"…다국적 수사망에 덜미

(서울=뉴스1) 강민경 기자 = 북한 연계 해킹 조직이 채용 면접을 가장해 전 세계 IT 기업과 개발자들로부터 암호화폐 17억 엔(약 149억 원)을 빼돌린 사실이 확인됐다.

일본 경찰청과 국가 사이버통괄실(NCO)은 미국 연방수사국(FBI)·국방부 사이버 범죄센터(DC3), 호주·독일의 수사기관들과 함께 북한 연계 사이버 집단 워터플럼(WaterPlum)의 공격 수법을 파악했다고 18일 발표했다.

워터플럼은 북한 노동당 중앙위원회 산하 군수공업부 313총국의 지휘 아래 움직이는 것으로 조사됐다. 이들의 주된 먹잇감은 글로벌 IT 기업이나 프리랜서 플랫폼에서 활동하는 소프트웨어 개발자들이었다.

이들은 인공지능(AI)이나 블록체인 기업의 인사 담당자를 사칭해 소셜미디어(SNS)와 구인·구직 플랫폼으로 접근한 뒤 고액 연봉을 제시하며 온라인 면접을 제안했다.

또 코딩 과제를 수행하라거나 화상 면접 프로그램의 오류를 고치라는 구실로 깃허브 등에 올려둔 악성 프로그램 패키지를 내려받아 실행하도록 유도했다.

피해자가 무심코 코드를 실행하는 순간 비버테일(BeaverTail)이나 인비저블페럿(InvisibleFerret) 같은 악성코드가 PC에 은밀히 침투했다.

원격 제어 권한을 확보한 이들은 웹 브라우저에 저장된 계정 정보와 화면 캡처, 키보드 입력 내역은 물론 개인 암호화폐 지갑의 비밀키와 시드 구문까지 샅샅이 긁어모아 자신들의 지휘통제 서버로 빼돌렸다.

이렇게 100여개국에서 3만 대가 넘는 기기가 감염됐고 지갑 7000여 개가 털렸다.

이들의 불법 외화벌이는 단순 해킹에 그치지 않았다.

북한 IT 노동자들은 미국과 일본 등 현지 조력자를 포섭해 주택가 등에 PC 여러 대를 설치해 두는, 이른바 '노트북 팜(Laptop Farm)'을 거점으로 삼았다.

중국이나 러시아 등에 머무는 북한 인력이 가상 사설망(VPN)으로 이 PC에 원격 접속하는 방식으로 실제 위치를 숨긴 뒤, 현지인 명의 신분증과 은행 계좌를 빌려 해외 기업의 웹 개발 용역 일감을 따냈다.

일본 수사 당국은 자국 내에서 운영되던 노트북 팜 거점을 최초로 적발해 해체했다고 밝혔다.

수사기관들은 구직자들에게 출처가 불분명한 패키지 설치나 채용 과정에서의 코드 실행을 금지하라고 권고했다. 아울러 원격 채용 과정에서 나타나는 북한 인력의 주요 의심 징후로 화상 면접 시 AI 얼굴 합성 도구 사용, 위조 신분증 제출 등을 지목했다.

pasta@news1.kr