글로벌 사이버보안 연구진이 가짜 스타트업을 직접 세워 북한 연계 IT 인력을 실제로 채용하는 함정 조사를 벌였습니다. 연구진은 이들이 취업 이후 위조 신분증과 원격접속 프로그램을 동원해 회사 내부 시스템에 접근한 사실을 실시간으로 포착했다고 밝혔습니다. 조상진 기자가 보도합니다.
글로벌 사이버 위협 분석업체 ‘애니런(ANY.RUN)’과 위협정보업체 ‘비씨에이 엘티디(BCA LTD)’, ‘노스스캔(NorthScan)’ 연구진은 최근 북한 IT 인력 추적 합동 조사 결과를 공개했습니다.
기존 연구가 대부분 북한 IT 인력의 이력서나 구직 활동을 외부에서 분석하는 방식이었다면, 이번에는 연구진이 실제로 가짜 회사를 차리고 이들을 직접 채용해 취업 이후의 행동까지 내부에서 추적·관찰했다는 점이 특징입니다.
연구진은 이를 위해 스페인어로 ‘푸른 고래’를 뜻하는 '바예나 아술(Ballena Azul)', 영어로 '블루 웨일(Blue Whale)'이라는 가상의 탈중앙화 금융(DeFi) 스타트업을 만들었습니다.
여러 블록체인에서 대규모 가상화폐 자산을 다루는 금융 프로토콜을 개발하는 회사로 꾸미고, 전문 웹사이트와 기업 브랜드, 기술 문서와 온라인 활동 기록까지 만들어 실제 스타트업처럼 보이도록 했습니다.
연구진은 북한 연계 해킹조직 라자루스 산하로 지목된 '페이머스 천리마(Famous Chollima)'의 모집책과 접촉해 스마트계약과 프론트엔드, 백엔드 개발자 등 모두 3명을 실제 회사 직원으로 채용하는 데 성공했으며, 이들이 북한 연계 IT 인력이라고 판단해 면접부터 실제 업무 수행 과정까지 관찰했습니다.
채용 과정에서는 신분을 위장한 구체적 정황이 곳곳에서 포착됐습니다.
개발자들은 텍사스주 오스틴과 패서디나에 거주한다고 밝혔지만, 실제 제출한 신분증은 각각 다른 주의 운전면허증과 은행 계좌였습니다. 한 면허증의 이미지에서는 구글 생성형 인공지능 AI '제미나이(Gemini)'로 처리된 흔적과 AI 조작 콘텐츠 식별 워터마크 'SynthID'가 발견돼, 연구진은 이를 신분증 위조 정황으로 평가했습니다.
또 다른 개발자는 아예 다른 사람 명의의 운전면허증을 제출했는데, 사진 자체는 실제 촬영된 것으로 분석돼 신원확인 과정에서 유출된 타인의 사진이 흘러들어갔을 가능성이 제기됐습니다.
연구진은 이 밖에도 도용된 사회보장번호와 자금 수령용 '머니 뮬' 은행계좌, 가상화폐 지갑 등을 확인했다고 밝혔습니다.
연구진은 이렇게 채용한 인력들에게 실제로는 애니런이 구축한 통제된 가상 데스크톱을 업무용으로 제공해, 이들이 여는 파일과 네트워크 연결, 거의 모든 클릭을 실시간으로 기록했습니다.
이들은 업무 시작과 함께 시스템 정보와 자신의 접속 위치부터 점검한 뒤, 구글 계정으로 '구글 원격 데스크톱'을 설치하고 깃허브에 접속했습니다.
이 과정에서 한 개발자가 구글 계정을 업무용 컴퓨터와 동기화하면서, 연구진은 이들이 취업 과정 전반에서 남긴 검색 기록과 저장된 비밀번호, 브라우저 확장 프로그램까지 확인할 수 있었습니다.
인공지능도 적극적으로 사용된 것으로 나타났습니다. 연구진은 이들이 챗지피티(ChatGPT)를 이용해 코딩 문제를 해결하고 업무 관련 질문의 답을 얻는 모습을 관찰했다고 밝혔습니다. 챗지피티는 단순 질의응답을 넘어 업무 자체를 대신 수행하는 데도 활용된 것으로 나타났습니다.
이 밖에 신분증 조작에 사용된 것으로 분석된 구글 제미나이, AI 기반 취업·면접 지원 프로그램 등 다양한 AI 도구의 사용 흔적도 함께 확인됐습니다.
또 접속 위치를 숨기는 '아스트릴브이피엔(AstrillVPN)', 원격접속 프로그램 '애니데스크(AnyDesk)', 여러 인력이 이중인증 코드를 공유하는 서비스 등도 사용된 것으로 나타났습니다.
연구진은 이들이 접속 경유지로 쓴 서버 일부가 다른 악성코드 유포에도 재활용되는 등 북한 연계 조직의 인프라 운용 방식을 보여준다고 설명했습니다.
연구진은 이번 조사가 북한 IT 인력 문제가 단순 급여 편취에 그치지 않는다는 점을 보여준다고 지적했습니다. 일반적인 사이버 침입과 달리 직원으로 채용되면 정상적인 접근 권한을 부여받아 장기간 소스코드와 지식재산에 접근할 수 있고, 여러 명이 한 기업에 동시에 취업하면 코드 검토와 승인 등 신뢰 기반 내부 업무 과정에도 영향을 줄 수 있다는 것입니다.
그러면서 기업들에 원격근무자에 대한 정기적인 신원 확인과 대면 검증, 채용 담당자 교육을 권고하고, 법 집행에 협조하지 않는 아스트릴브이피엔 같은 가상사설망 서비스는 즉시 차단할 것을 권고했습니다.
VOA 뉴스