북한 IT 인력 취업 사기 의혹 수사로 텍사스 ‘노트북 농장’ 급습…기기 187대 압수

주거지 컴퓨터 네트워크, 국가 안보 표적으로 떠올라

연방 수사관들은 북한의 취업 사기 의혹을 수사하는 과정에서 9월 21일부터 25일까지 텍사스주 주택 40여 곳을 수색하고 노트북과 기타 전자기기 약 187대를 압수했다. 당국은 댈러스와 포트워스 일대 주택이 미국인 직원으로 가장한 해외 근무자들의 거점으로 이용됐다며, 텍사스 북부에서 기기 100여 대를 확보했다고 밝혔다.

‘론스타 라운드업 작전’으로 불린 이번 작전은 겉보기에는 평범한 원격 근무를 뒷받침하는 물리적 지원망을 겨냥했다. 검찰에 따르면 미국인 조력자들은 고용주에게서 컴퓨터를 받아 해외에서 접속할 수 있도록 장비나 소프트웨어를 설치하고, 임금이 북한 공작원들이 관리하는 계좌로 흘러가도록 도왔다.

텍사스 북부지검을 이끄는 라이언 레이볼드 연방검사는 수익이 조선민주주의인민공화국의 핵·탄도미사일 프로그램을 지원한다고 말했다. 그는 미 재무부의 추산을 인용해 북한 IT 인력 프로그램 전체가 2024 회계연도에 8억 달러가 넘는 수익을 올렸다고 밝혔다.

압수와 관련한 형사 절차를 전하는 보도에는 차이가 있다. 화요일 기자회견을 다룬 보도는 미국인 조력자들을 기소할 예정이며 체포 사실은 발표되지 않았다고 전했다. 다른 보도는 10월 13일 법무부 발표를 전하며 미국인 2명이 체포됐고 중국에 거주하는 10명이 기소됐다고 보도했다. 이 보도들을 하나로 완전히 정리된 절차 설명으로 간주해서는 안 된다.

이 구분이 중요한 이유는 압수 조치가 의심되는 기반 시설의 차단을 보여주는 반면, 형사 기소는 특정 인물에 대한 혐의를 제시하기 때문이다. 컴퓨터가 압수됐거나 기소장이 제출됐다는 사실만으로 유죄가 입증되는 것은 아니다.

텍사스 전역에서 수사관들이 압수한 장비

텍사스주 전체 압수 규모는 일부 보도에서 185대 초과, 더 상세한 보도에서는 187대로 전해졌다. 두 수치는 서로 모순되지 않는다. 수색 장소도 약 40곳에서 40여 곳까지 보도마다 차이가 있다.

압수 장비에는 노트북과 키보드·영상·마우스 장치, 흔히 KVM 장비라고 불리는 기기가 포함됐다. 이 장비를 이용하면 다른 장소에서 컴퓨터의 키보드 입력, 화면, 마우스를 제어할 수 있다. 원격 접속 소프트웨어와 함께 사용하면 해외에 있는 사람이 미국 주택에 설치된 회사 컴퓨터를 작동할 수 있다.

당국은 텍사스 내 부동산 주소를 공개하지 않았다. 댈러스와 포트워스 인근에 장비가 집중돼 있었다고 설명하면서, 이 지역의 큰 고용 시장도 노출 원인 가운데 하나로 들었다. 지역 내 압수 대수도 약 100대 또는 100대 초과로 보도돼 차이가 있다.

FBI 댈러스 지부 책임자인 R. 조지프 로스록 특별수사관은 장비가 수사에서 왜 중요했는지 설명했다:

압수한 노트북 한 대마다 북한 IT 인력을 고용한 기업 한 곳이 있을 가능성이 있습니다.

이는 잠재적 노출 규모를 나타낼 뿐, 고용주가 서로 다른 기업으로 확인된 수치는 아니다. 압수된 187대에는 노트북 외 장비도 포함됐으며, 여러 대의 컴퓨터가 한 회사 소유일 수도 있다. 따라서 압수 장비 수를 피해 기업 수로 곧바로 환산할 수는 없다.

노트북 농장이 해외 근무자를 미국 내 직원처럼 보이게 하는 방식

의혹을 받는 수법은 고용주가 컴퓨터를 보내기 전부터 시작된다. 근무자들은 도용하거나 조작한 신원으로 원격 IT 직무에 지원하고, 다른 가담자들은 채용 확인 절차를 통과하도록 돕는다. 회사가 미국에 있는 적법한 직원을 채용했다고 믿으면, 조력자가 관리하는 주소로 장비를 보낸다.

조력자는 노트북을 보관하고 원격 접속을 설정한다. 가상사설망(VPN)과 프록시 서버는 접속자의 위치를 숨기는 데 쓰인다. VPN은 인터넷 트래픽을 다른 연결 경로로 보내고, 프록시는 중개자 역할을 한다. 두 도구 자체가 범죄인 것은 아니지만, 당국은 이 네트워크가 근무자의 신원과 위치를 감추는 데 이를 이용했다고 밝혔다.

텍사스에 물리적으로 연결된 노트북은 실제 조작자가 해외에 있어도 고용 관계가 미국 내에서 이뤄지는 것처럼 보이게 할 수 있다. 현지 주소와 고용주 소유 컴퓨터, 은폐된 접속 경로가 함께 그럴듯한 외관을 만든다.

근무자들의 실제 위치에 대해서는 보도마다 설명이 다르다. 일부는 이들이 북한에 있었다고 전했지만, 기소장 관련 보도는 중국에 기반을 둔 운영자를 지목하고 해외 근무자를 더 넓은 범주로 설명했다. 의혹을 받는 수법이 모든 근무자가 물리적으로 북한에 있어야 성립하는 것은 아니다.

텍사스 수사는 허위 신원과 미국인 중개인을 이용해 해외 임금을 받는 사례를 포함한 글로벌 IT 인력 사기에 대한 앞선 수사에 이어 진행됐다. 이번 작전은 그러한 취업이 가능하도록 하는 주거지 기반 시설의 구체적인 모습을 보여준다.

미국인 조력자들은 컴퓨터 외의 일도 맡은 것으로 의심돼

수사관들은 조력자들이 단순히 노트북을 보관할 장소를 제공한 것이 아니라 채용, 신원 확인, 대금 처리에도 관여했다고 설명했다. 일부는 급여를 받아 북한 근무자들이 관리하는 계좌로 송금한 혐의를 받는다. 또 다른 이들은 수익을 받는 대가로 자신의 이름과 개인정보를 사용하도록 한 것으로 의심된다.

로스록은 당국이 수사하는 지원 행위의 범위를 설명하면서, 의도치 않은 피해자에게서 도용한 신원과 자발적으로 제공한 신원의 차이를 짚었다:

이들은 의심하지 않는 미국인의 신원을 도용해 미국 IT 일자리를 얻을 수 있습니다.”라고 로스록은 말했다. “다른 경우에는 사람들에게 돈을 주고 신원을 사용하거나 면접에 참석하고, 도용한 신원을 확인하고, 소포를 배송하고, 노트북을 보관하고, 약물 검사나 지문 채취를 받는 등의 일을 하게 합니다.

이런 혐의 내용은 수사관들이 인터넷 접속만 살펴보는 것이 아님을 보여준다. 면접을 대신 보는 사람이나 대면 심사에 응하는 사람은 소프트웨어만으로는 통과하기 어려운 확인 절차를 해외 지원자가 넘도록 도울 수 있다.

레이볼드는 장비를 고의로 보관한 사람은 기소될 것이라고 말했다. 그러나 이 경고만으로 특정인의 인식이나 고의가 입증되는 것은 아니다. 이는 해당 형사 절차에서 증거를 통해 밝혀져야 한다.

체포 보도, 미국인 2명과 중국 내 운영자 10명 지목

법무부의 10월 13일 발표를 전한 보도는 체포된 미국인으로 펜실베이니아주의 마이클 제임스 보스텔과 텍사스주의 후안 세실리오 페냐 카리요를 지목했다. 보도에 따르면 두 사람은 취업 사기 의혹과 관련해 전신 사기, 자금 세탁, 신원 도용 등의 혐의를 받고 있다.

같은 보도는 중국에 기반을 둔 기소 대상자 10명을 선성밍, 페이리광, 웡서우청, 한궈빈, 왕젠쥔, 셩장쿤, 장웨이핑, 장리핑, 위양, 진룽으로 지목했다.

기소장에는 중국 내 운영자들이 페냐 카리요와 테이 마이클 놀테, 그리고 미국인 최소 4명을 지휘했다고 적힌 것으로 알려졌다. 놀테는 기소장에 이름이 올라 있지만 기소되지는 않았다. 그는 보스텔과 다른 미국인 가담자를 모집하고 관리하며 훈련한 혐의를 받고 있다. 기소장에 이름이 언급된 것과 피고인이 된 것은 다르다.

이 보도들은 사기 의혹으로 미국 기업 70여 곳이 영향을 받고 미국인 25명의 신원이 침해됐으며, 해외 IT 근무자들이 최소 300만 달러를 벌고 미국 정부 기관 여러 곳에 허위 정보가 제출됐다고 전했다. 다만 피해를 본 기업 전체 목록이나 해당 정보를 받은 기관은 공개하지 않았다.

해당 보도에 따르면 보스텔과 페냐 카리요의 변호인과는 즉시 연락이 닿지 않았다. 놀테의 입장도 전해지지 않았다. 혐의는 아직 입증되지 않았으며, 이 체포가 텍사스 북부 기자회견에서 예고된 기소와 절차상 어떻게 연결되는지는 보도만으로 확인되지 않는다.

금액은 서로 다른 규모를 가리킨다

8억 달러와 300만 달러라는 수치를 합쳐서는 안 된다. 레이볼드가 제시한 8억 달러 초과 추산은 2024 회계연도 북한 IT 인력 프로그램 전체에 관한 것이다. 최소 300만 달러라는 혐의 내용은 기소장 관련 보도에 나온 취업 사기 수법에 관한 것이다.

재무부 추산에 대한 설명도 보도마다 다르다. 일부는 8억 달러가 넘는 금액이 북한으로 송금됐다고 전하고, 다른 보도는 프로그램이 그만큼의 수익을 올렸다고 설명한다. 벌어들인 수익과 송금된 돈은 서로 다른 지표이므로 추가 확인 없이 이 금액을 정확히 입증된 송금액으로 제시해서는 안 된다.

당국은 근무자들이 벌어들인 돈의 85~90%를 북한으로 보냈다고도 밝혔다. 이 추산에 따르면 100달러를 벌 때 약 10~15달러만 송금액에서 제외된다. 이는 의혹을 받는 대금 구조를 보여주는 것이지만, 텍사스 수사와 관련된 모든 급여의 분배 방식을 입증하지는 않는다.

이 재정 관련 혐의는 검찰이 이번 사건을 단순한 취업 사기 이상으로 보는 이유를 보여준다. 당국은 미국에서 받은 임금이 제재 대상 정부와 무기 프로그램의 자금원이 된다고 주장한다. 그러나 보도들은 텍사스에서 지급된 개별 급여가 특정 무기 구매로 이어졌다는 점까지 추적하지는 않았다.

기업 시스템 접근은 별도의 보안 위험

허위 채용이 성공하면 급여 외에 더 많은 것을 얻을 수 있다. 레이볼드는 회사 노트북에 접근하면 기업 시스템과 통신, 금융 플랫폼에 진입할 통로가 생길 수 있다고 말했다. 실제 접근 범위는 각 직무에 부여된 권한에 따라 달라진다.

FBI를 지원하는 정보와 기술 분석을 제공했다고 밝힌 사이버보안 기업 크라우드스트라이크는 이 네트워크를 ‘페이머스 촐리마’라는 이름으로 추적한다. 법원 신청서에 대한 설명에도 한 대형 사이버보안 기업이 해당 위협 집단에 이 이름을 붙였다고 적혀 있다. 이는 추적을 위한 명칭이지 별도의 형사 혐의가 아니다.

크라우드스트라이크는 차단된 작전에서 확인된 조직들이 항공우주, 에너지, 금융 서비스, 의료, 사이버보안, 방위공학, 정부 기술 분야 기업을 포함했다고 밝혔다. 이는 민감 산업 전반에 잠재적 위험이 있음을 보여주지만, 영향을 받은 모든 조직에서 데이터가 유출됐다는 뜻은 아니다.

회사는 고용주 장비의 경로를 바꾸는 수법도 설명했다. 일부 공작원은 노트북을 도난당했다는 허위 경찰 신고를 해 대체 장비를 다른 곳으로 보내게 한 것으로 의심된다. 다른 이들은 갑자기 이사했다고 주장하거나 인력 중개업체를 통해 취업해, 업체가 모르는 사이 컴퓨터를 다른 주소로 돌린 것으로 알려졌다.

이런 내용은 채용 사기와 물리적 노트북 농장이 어떻게 연결되는지를 보여준다. 근무자는 받아들여지는 신원과 고용주 컴퓨터를 네트워크가 관리하는 장소로 옮길 수단을 모두 필요로 한다. 당국은 텍사스 작전에서 접근되거나 도난당한 데이터의 전체 목록을 공개하지 않았다.

텍사스 수색을 넘어 이어지는 수사

법원 기록에 대한 설명에 따르면 FBI는 취업 사기와 연관된 것으로 의심되는 구글 계정 11개를 확인했다. 수사관들은 각 계정이 만들어진 때부터 10월 8일까지의 가입자 정보, 주소, 전화번호, 접속 시간, IP 주소, 결제 및 청구 기록을 요청했다.

텍사스 북부 연방지방법원은 10월 9일 구글에 10일 안에 기록을 제공하라고 명령한 것으로 알려졌다. 이에 따르면 기록 제출 기한은 10월 19일이다. 구글이 기록 제출을 마쳤다는 확인은 보도에 없다.

보도된 주요 날짜는 다음과 같다:

• 9월 21~25일: FBI가 텍사스 주택 40여 곳을 수색하고 관련 조치를 진행.
• 10월 8일: 구글 계정 11개의 기록 요청 대상 기간 종료.
• 10월 9일: 구글에 계정 기록을 10일 안에 제출하라고 지시한 법원 명령이 내려진 것으로 보도.
• 10월 13일: 작전 발표 및 관련 형사 절차를 다룬 보도에 명시된 날짜.

당국은 루이지애나, 네바다, 켄터키, 오하이오에서도 유사한 활동이 있었다고 밝혔다. 크라우드스트라이크는 광범위한 차단 작전의 일환으로 오하이오에서 2명이 체포됐다고 전했지만, 이들의 신원이나 혐의는 공개하지 않았다. 텍사스 발표는 이 체포를 다루지 않았으므로, 이를 미국인 2명의 체포와 별개이거나 동일한 사건으로 단정해서는 안 된다.

고용주에게 전해진 권고와 아직 밝혀지지 않은 점

레이볼드와 로스록은 고용주에게 원격 근무자를 채용할 때 E-Verify를 이용하고 여러 형태의 신분증을 요구하라고 권고했다. E-Verify는 취업 자격 정보를 정부 기록과 대조한다. 이는 채용 절차의 한 부분을 확인하는 조치다. 면접 대리인과 원격 조종 노트북을 사용했다는 의혹은 실제 업무를 하는 사람의 신원이 별도로 확인돼야 한다는 점을 보여준다.

당국은 피해를 입었다고 생각하는 기업과 개인에게 FBI에 정보를 신고하라고 당부했다. 그러나 전체 고용주 명단이나 수색한 주택 주소, 가로채거나 회수한 급여의 전체 내역은 공개하지 않았다.

수사는 계속 진행 중이다. 텍사스 북부 브리핑을 다룬 보도에는 추가 기소나 심리, 재판 일정이 나오지 않았다. 체포와 향후 혐의에 대한 상충된 설명 탓에 각각의 발표가 정확히 어떻게 연결되는지도 밝혀지지 않았다.

크라우드스트라이크는 노트북 농장을 폐쇄하더라도 기반 시설을 제거한 지역의 활동을 주로 늦출 뿐, 더 광범위한 작전을 장기적으로 끝내기는 어려울 것이라고 경고했다. 이번 압수는 당국이 현지 장비망을 차단할 수 있음을 보여준다. 그러나 이와 연계된 근무자와 신원, 계정, 조력자를 모두 찾아냈다는 뜻은 아니다.

핵심 내용

• 수사관들은 9월 말 텍사스 주택 40여 곳을 수색하고 노트북과 기타 기기 약 187대를 압수했다.
• 당국은 텍사스 북부에서 기기 100여 대를 확보했다고 밝혔다. 다만 한 보도는 약 100대라고 전했다.
• 의혹을 받는 노트북 농장은 해외 근무자가 미국 주택에 설치된 고용주 컴퓨터를 조종해 미국 내에서 일하는 것처럼 보이게 했다.
• 보도는 향후 기소 예고와 미국인 2명 체포 및 중국에 기반을 둔 10명 기소 발표로 엇갈린다.
• 기소장 관련 보도에는 피해 기업 70여 곳, 침해된 미국인 신원 25건, 최소 300만 달러의 수익이 언급됐다.
• 8억 달러 초과 추산은 텍사스 압수 작전만이 아니라 북한 IT 인력 프로그램 전체에 관한 것이다.
• 수사관들은 구글 계정 11개의 기록을 요청했으며, 수사는 계속되고 있다.