기업들이 북한 위장취업 인력을 적발한 뒤에도 또 다른 법적 위험에 놓일 수 있다고 미국의 대형 로펌이 경고했습니다. 제재 준수와 임금 지급, 차별금지, 개인정보 보호 의무가 서로 충돌할 수 있다며 법무와 인사, 보안 부서의 공동 대응 필요성을 강조했습니다. 조상진 기자가 보도합니다.
워싱턴 DC에 본부를 둔 미국의 대형 법률사무소 ‘홀랜드앤나이트’는 27일 공개한 기업 대상 법률 경보에서 북한 정보기술(IT) 노동자의 위장취업이 기업에 사이버보안뿐 아니라 제재와 고용, 개인정보 보호 등 복합적인 법적 위험을 초래하고 있다고 경고했습니다.
홀랜드앤나이트는 북한 인력으로 의심되는 직원을 발견하면 증거를 보존하면서 시스템 접근을 신속하고 비례적으로 제한해야 하지만, 조사와 해고, 최종임금 지급 과정에서는 여러 법적 의무가 충돌할 수 있다고 지적했습니다.
기업이 보안 위협에 신속하게 대응하지 않으면 자료 유출과 제재 위반 위험이 커지지만, 그렇다고 충분한 근거 없이 직원을 조사하거나 해고하면 차별과 명예훼손, 임금 미지급 또는 부당해고 문제로 이어질 수 있다는 설명입니다.
홀랜드앤나이트는 미 재무부 해외자산통제국의 제재는 위반 사실을 몰랐더라도 책임을 물을 수 있는 ‘엄격책임’ 원칙을 적용하기 때문에, 위반 사실 인지 여부와 관계 없이 기업이 북한 인력에게 급여를 지급한 사실만으로도 제재 위반에 따른 처벌을 받을 수 있다고 밝혔습니다.
이에 따라 북한 연계가 확인된 직원에게 마지막 급여 등 지급할 금액이 있더라도 제재 문제가 발생할 수 있어, 지급을 차단하거나 해당 금액을 공탁하는 방안을 법률 전문가와 검토할 필요가 있다고 설명했습니다.
반면 기업이 북한 인력을 가려낸다는 이유로 지원자의 국적이나 억양, 성씨, 인종 또는 이민 신분을 근거로 채용과 해고 여부를 결정하면 연방 차별금지법을 위반할 수 있다고 경고했습니다.
또 법이 요구하는 것보다 많은 신분 서류를 제출하도록 하거나 법적 근거 없이 미국 시민권자만 채용하는 방식도 법적 문제를 야기할 수 있다고 지적했습니다.
홀랜드앤나이트는 이런 이유로 기업들이 신분 자료의 불일치와 실제 근무지로 알려진 장소와 접속 위치의 차이, 수상한 장비 배송 요청, 승인되지 않은 원격접속 장치 등 객관적인 지표만을 토대로 조사를 진행해야 한다고 권고했습니다.
이어 북한 인력이 개인정보나 기업의 민감한 자료에 무단으로 접근한 사실이 확인되면 관련 법률과 계약에 따라 피해 사실을 통지해야 할 의무가 발생할 수 있으며, 규제 당국의 조사와 민사소송, 평판 훼손으로 이어질 수도 있다고 밝혔습니다.
또 북한 인력을 해고하더라도 해당 인력이 회사의 채용 방식과 내부 시스템에 관한 지식을 이용해 새로운 신원으로 같은 기업에 다시 지원할 수 있다는 점도 경고했습니다.
이에 따라 최근 해고된 의심 인력이 사용했던 장비 배송지와 금융정보, 연락처, 경력 자료 등이 새로운 지원자에게서 반복되는지 여부도 객관적인 기준에 따라 확인할 필요가 있다고 설명했습니다.
아울러 외부 인력업체를 통해 IT 업무를 맡기는 기업도 직접 채용 과정에 관여하지 않는 만큼 신원 확인과 보안 심사의 허점이 생길 수 있다며, 인력 공급업체에 대한 실사와 계약상 보안 의무를 강화해야 한다고 강조했습니다.
이 같은 법적 경고는 북한 IT 인력의 위장취업이 인공지능과 미국 내 조력자 조직을 이용해 빠르게 확대되고 있다는 분석 속에 나왔습니다.
홀랜드앤나이트는 위협정보 분석기관들의 보고를 인용해 북한 연계 인력이 침투한 기업 수가 최근 12개월 동안 220% 증가했으며, 이 같은 위장취업으로 북한 정권에 유입되는 수익은 연간 8억 달러로 추산된다고 밝혔습니다.
북한 IT 인력들은 도용하거나 합성한 신원과 인공지능으로 작성한 이력서, 딥페이크 영상과 허위 경력을 이용해 미국 기업의 원격근무자로 취업하는 것으로 알려졌습니다.
미국 내 조력자들은 회사가 지급한 컴퓨터를 대신 받아 해외의 북한 인력이 원격으로 접속하도록 하는 이른바 ‘노트북 농장’을 운영하고, 면접과 신원 확인을 대신하거나 위조 서류와 금융계좌를 제공하는 것으로 나타났습니다.
북한 인력은 채용된 뒤 실제 업무를 수행해 정상적인 급여를 받는 동시에, 정식으로 부여받은 접근 권한을 이용해 기업의 지식재산과 개인정보, 금융정보를 빼내거나 추후 사이버공격을 위한 백도어를 설치할 수 있습니다.
일부는 해고된 뒤 빼돌린 자료를 이용해 기업을 상대로 금전을 요구하는 것으로 알려졌습니다.
홀랜드앤나이트는 북한 IT 인력 문제를 보안 부서만의 사안으로 봐서는 안 된다며, 법무와 인사, 정보기술, 보안 부서가 채용 심사와 접근 통제, 제재 확인, 증거 보존과 당국 신고 절차를 함께 마련해야 한다고 강조했습니다.
미국 국무부와 연방수사국 FBI도 지난달 10개 동맹국과 공동 경보를 내고 북한 IT 인력과의 계약이나 급여 지급이 각국 법률을 위반할 수 있으며, 관련 기업이 법적 처벌과 금전적 제재에 직면할 수 있다고 경고한 바 있습니다.
VOA 뉴스