기자) 먼저 이 문제를 처음 접하는 분들을 위해 여쭙겠습니다. 북한 원격근무 인력의 위장취업은 얼마나 광범위하며, 현재 위협은 어느 정도로 심각합니까?
웰링 변호사) 공개된 보고들을 토대로 보면 북한 정권은 미국을 비롯한 서방 국가의 원격근무 일자리에 지원하는 인력을 수천 명 규모로 운용하는 것으로 추정됩니다. 미국이 가장 큰 시장인 것으로 보입니다.
이 문제는 상당히 광범위합니다. 공개된 일부 추산에 따르면 특정 시점에 이들과 연관된 기업이 수백 곳에 이르며, 실제로는 그보다 훨씬 많을 가능성도 있습니다.
여러 업종과 다양한 규모의 기업에서 관련 사례가 나타나고 있습니다. 대형 다국적 기업뿐 아니라 규모가 작은 기업도 포함됩니다.
한 업종이나 특정 기업군에만 집중된 문제는 아닙니다. 경험과 공개 보고를 보면 다른 곳보다 이런 문제를 더 자주 겪는 분야가 일부 있기는 하지만, 원격근무 인력이 많은 기업을 중심으로 여러 산업에서 나타나고 있습니다.
기자) 이들은 평범한 원격근무자처럼 보이고 실제로 맡은 업무도 수행할 수 있습니다. 회사 시스템과 민감한 정보에 접근한 뒤에는 어떤 피해를 줄 수 있습니까?
웰링 변호사) 저희가 접한 사례와 공개된 보고를 보면, 이들 대부분은 겉으로는 그저 자신의 일을 하는 것처럼 보입니다. 이것이 바로 이들을 적발하기 어려운 이유 중 하나입니다.
일부는 국적과 신원 관련 사기가 적발되기 전까지 꽤 유능한 직원으로 평가받기도 했습니다. 하지만 이들은 민감한 시스템과 자료에 접근할 수 있는 IT 업무나 다른 직종에 종사하는 경우가 많습니다.
최근 미국 국무부가 발표한 경보에서 지적했듯이 이들이 더욱 악의적인 활동에 관여하는 사례도 있습니다. 자료 절도와 금전 요구, 전통적인 형태의 간첩 활동 등이 모두 가능하며, 실제로 기록된 사례도 있습니다. 하지만 적어도 겉으로는 비교적 성실하게 일하는 직원처럼 행동할 수 있기 때문에 적발하기가 매우 어렵습니다.
기자) 왜 이 문제를 단순한 취업 사기나 개별 기업의 문제 이상으로 봐야 합니까? 미국과 국제사회 안보에는 어떤 의미가 있습니까?
웰링 변호사) 이들이 맡는 업무와 침투할 수 있는 기업의 성격 때문에 분명한 보안 문제가 있습니다. 공개된 보고에 따르면 대형 기술기업과 방위산업 분야, 그 밖의 규제 산업이 모두 영향을 받을 수 있습니다.
또 미국 기업과 유사한 제재 명단을 운용하는 다른 나라 기업들은 북한 정권 구성원에게 고의로든 아니든 돈을 지급하거나 송금할 수 없습니다. 북한 원격근무 인력도 여기에 포함됩니다.
따라서 기업이 북한 연계 사실을 모르고 지급한 돈도 제재와 관련한 위험을 초래할 수 있습니다.
규제받는 산업에 속한 기업이라면 해당 산업에 적용되는 법률에 따라 여러 통지 의무가 발생할 수도 있습니다. 이런 사건이 기업과 고객 또는 다른 계약 상대방 사이의 통지 의무를 촉발하는 경우도 있습니다.
회사 시스템에 가해질 수 있는 피해뿐 아니라, 이들을 고용한 미국과 다른 나라 기업들에 상당한 규제와 법적 위험을 초래한다는 의미입니다.
기자) 기업이 북한 인력이라는 사실을 모르고 채용하거나 급여를 지급한 것만으로도 미국 법을 위반할 수 있다고 분석하셨습니다. 어떤 법적·재정적 결과에 직면할 수 있습니까?
웰링 변호사) 제재 위반으로 책임을 추궁받을 수 있습니다. 제재 위반에는 엄격책임이 적용되기 때문에 매우 어려운 문제가 됩니다. 상대방의 신원이나 제재 대상과의 연계를 몰랐다는 이유만으로 반드시 책임을 피할 수 있는 것은 아닙니다.
기업에는 민사상 처벌뿐 아니라 잠재적으로 형사 처벌도 부과될 수 있습니다.
공개된 정보를 기준으로 할 때 북한 인력 한 명이나 소수의 인력을 고용한 미국 기업이 실제로 처벌받은 사례는 아직 저희가 알지 못합니다. 하지만 기업은 물론 기업 경영진에게도 잠재적인 형사책임이 제기될 수 있기 때문에 상당히 중대한 위험입니다.
각종 계약이나 다른 규정에 따른 책임도 발생할 수 있습니다.
이런 위험은 서로 분리된 것이 아니라 동시에 쌓일 수 있습니다. 기업은 계약상 책임과 평판 훼손, 시스템과 지식재산, 기타 정보의 노출 등 여러 잠재적인 피해를 한꺼번에 겪을 수 있습니다.
기자) 많은 기업은 북한 인력으로 의심되는 직원을 발견하면 시스템 접근을 차단하고 해고하면 된다고 생각할 수 있습니다. 왜 그것만으로는 충분하지 않습니까?
웰링 변호사) 법적으로 그것만으로 충분하지 않을 수 있기 때문입니다. 해당 인력이 회사에 있었다는 사실을 다른 당사자들에게 알릴 의무가 발생할 수 있습니다.
또 공개된 보고에 따르면 북한 원격근무 인력 한 명과 문제가 생긴 기업은 다른 북한 인력들과도 연관돼 있는 경우가 많습니다.
이들의 수법을 보면 일단 한 회사에 취업할 방법을 알아낸 뒤에는 더 많은 인력이 같은 회사에 지원해 추가 침투를 시도하는 경향이 있습니다.
저희가 파악한 사례 가운데는 한 명의 접근을 차단한 조치가 다른 북한 인력들에게 적발 사실을 알려주는 결과로 이어진 경우도 있습니다. 그 이후 자료 절도와 금전 요구, 자료 암호화 같은 악의적인 행위가 뒤따랐습니다.
따라서 한 명의 접근을 차단한 뒤 그대로 넘어가면 이미 발생한 법적 위험은 사라지지 않습니다. 물론 접근 차단은 대부분의 경우 초기에 취해야 할 적절한 조치입니다.
하지만 후속 상황에 대비하지 않은 채 접근만 차단하면 적발 사실을 알아차린 다른 위장 인력들이 악의적인 행동에 나서 기업이 추가 위험에 노출될 수 있습니다.
기자) 기업은 가짜 신원을 적발해야 하지만 국적이나 억양, 배경을 근거로 정상적인 직원과 지원자를 차별해서도 안 됩니다. 합법적인 사기 탐지와 불법적인 차별의 경계는 어디에 있습니까?
웰링 변호사) 이 문제에는 매우 미묘한 차이가 크고 주마다 관련 법률도 다를 수 있습니다. 다만 이 문제를 반대의 관점에서도 생각해 볼 필요가 있습니다. 북한 인력들도 이런 법률 문제를 잘 알고 이를 이용하고 있기 때문입니다.
기업은 합리적인 방식으로 조사해야 하며 표면적인 특징만을 근거로 사람을 차별해서는 안 됩니다. 그러나 특정한 고정관념에 부합하지 않는다는 이유로 어떤 지원자를 안전하다고 판단해서도 안 됩니다.
북한 인력들이 미국 내 조력자들과 협력하고 딥페이크 기술을 이용해 영상과 목소리를 바꾸는 사례가 있는 것으로 알고 있습니다.
또 다른 지역에 있는 사람들을 이용하기 시작했다는 얘기도 있습니다. 그렇게 되면 지원자의 외모나 억양도 기존에 알려진 특징과 달라질 수 있습니다. 기업은 이런 점을 모두 염두에 둬야 합니다.
당연히 사람들을 차별해서는 안 되지만, 알려진 특정한 인상과 일치하지 않는다고 해서 안전한 지원자라고 판단해서도 안 됩니다.
기자) 이들은 채용된 뒤 정상적으로 발급된 계정과 자격증명을 이용해 민감한 정보에 접근할 수 있습니다. 어느 시점부터 법적으로 신고해야 하는 정보 유출 사고가 됩니까?
웰링 변호사) 구체적인 상황에 따라 크게 달라집니다. 먼저 해당 기업에 어떤 규제가 적용되는지를 봐야 합니다. 의료나 은행의 일부 영역, 그 밖의 중요 기반시설처럼 규제가 강화된 분야에는 더 엄격한 통지 의무가 적용될 수 있습니다.
기업이 고객과 체결한 계약도 살펴봐야 합니다. 어느 정도의 접근이 발생했을 때 고객에게 알려야 하는지가 계약에 규정돼 있을 수 있습니다.
접근한 자료의 종류도 중요합니다. 일부 자료는 개인정보 유출 관련 법률 등에 따라 통지 의무를 촉발할 수 있습니다.
마지막으로 해당 직원이 실제로 어떤 행동을 했는지 확인해야 합니다. 일부 사례에서는 이들이 일을 제대로 하지 않았고 해야 할 업무도 수행하지 않은 것으로 나타났습니다.
해당 인력이 특정 정보에 전혀 접근하지 않았다는 사실을 기업이 입증해 문제를 해결한 사례도 있습니다. 반면 급여가 지급됐다면 별개의 문제가 발생합니다. 급여 지급 자체가 고용주를 제재 위반 위험에 노출시킬 수 있기 때문입니다. 기업들은 이런 요소들을 모두 신중하게 살펴봐야 합니다.
기자) 앞으로 정부와 기업, 법률 전문가들은 이런 위협에 앞서기 위해 어떻게 대응해야 합니까?
웰링 변호사) 기업의 관점에서는 인력 채용 단계부터 현재의 위협정보에 기반한 체계적인 절차를 마련해야 합니다. 법적으로도 설명하고 방어할 수 있는 절차여야 합니다.
이들 행위자는 매우 빠르게 변하며 어떤 방식이 통하고 통하지 않는지에 맞춰 수법을 바꿉니다. 따라서 기업은 이 문제를 사고 대응 계획과 비슷한 방식으로 다뤄야 합니다.
적발 이후 어떻게 대응할지만 생각하는 것이 아니라 채용 단계부터 위협정보의 관점에서 살펴봐야 합니다.
지원자를 적절하게 심사하는지, 모든 지원자에게 일관된 절차를 적용하는지, 신원 확인을 위한 조치를 취하는지 점검해야 합니다.
대면 면접이나 경력 조회도 그런 조치에 포함될 수 있습니다. 구체적인 방법은 기업마다 조금씩 다를 것입니다. 또 회사 내부의 적절한 관계자들이 이 과정에 참여하도록 해야 합니다.
이 문제를 전적으로 채용 담당자에게 맡기는 것은 공정하지도 않고, 현재 환경에서는 적절하지도 않습니다. 정보보안팀을 비롯한 관련 부서가 함께 참여해야 합니다.
이처럼 현재의 위협정보를 반영한 일관된 절차를 마련하면 우선 북한의 위장 인력을 채용하는 일을 예방하는 데 도움이 됩니다.
또 시장에서 이전에 보지 못한 새로운 수법으로 누군가 회사에 침투하더라도, 기업은 당시 적절한 조치를 취하고 있었다는 점을 입증할 수 있습니다.
이 계획은 한 번 만들고 끝낼 것이 아니라 계속 변화하는 살아 있는 계획으로 봐야 합니다. 지속적으로 검토하고 준비하며 실제 대응을 연습해야 합니다.
이는 북한 인력을 채용하지 않도록 하는 현실적인 방법이면서, 나중에 법적 조치가 제기됐을 때 기업을 방어할 수 있도록 준비하는 방법이기도 합니다.
기자) 마지막으로, 법률적인 관점에서 북한 위장 IT 인력 문제를 얼마나 심각하게 보고 있습니까?
웰링 변호사) 매우 중대한 문제라고 생각합니다. 개별 사건 하나만 보더라도 이들이 가할 수 있는 위협이 상당하기 때문입니다. 이들은 회사 시스템과 지식재산, 자료에 상당한 수준으로 접근할 수 있고, 그것만으로도 우려해야 합니다. 더 큰 관점에서는 이런 일이 발생하는 규모도 문제입니다. 모든 공개 보고에 따르면 기업이 지급한 급여는 북한 정권으로 흘러 들어가 북한에서 이뤄지는 활동에 자금을 대는 데 사용됩니다. 또 이런 일이 대규모로 발생하면 미국의 시스템과 개인 정보가 이들 행위자에게 노출됩니다. 더욱 우려스러운 점은 이 문제가 멈추고 있다는 징후가 전혀 없다는 것입니다.
공개된 모든 보고와 위협정보를 보면 북한 정권은 오랜 기간 이 역량을 구축해 왔습니다. 이는 매우 효과적인 수단이 됐으며, 미국과 다른 나라의 시장을 계속 이용할 수 있도록 빠르고 효율적으로 진화해 왔습니다.
자금이 계속 북한 정권으로 흘러 들어가는 한 북한이 이를 중단할 이유나 동기가 있어 보이지 않습니다. 따라서 이는 매우 우려스러운 위협이며 기업들은 반드시 경계해야 합니다.
Outro) 지금까지 매튜 B. 웰링 홀랜드앤나이트 파트너로부터 북한 원격근무 인력의 위장취업이 미국과 전 세계 기업에 미치는 위협과 기업들이 직면할 수 있는 제재·고용·개인정보 보호 관련 법적 위험에 대해 들어봤습니다. 인터뷰에 조상진 기자였습니다.