북한의 비밀 IT 노동자 조직: 전 세계를 상대로 한 사기 실체
원격 근무가 일상화된 디지털 시대에 북한은 글로벌 기술 인력 시장을 무기화했다. 가짜 신원과 정교한 위장 수법을 이용하는 북한 IT 전문가 수천 명이 미국과 유럽을 비롯한 여러 지역의 기업에 침투했다. 이들의 임무는 정권에 경화를 벌어들이고 국제 제재를 회피하며, 수백만 달러에서 때로는 수억 달러에 이르는 자금을 김정은의 핵·미사일 프로그램에 흘려보내는 것이다.
목차
법 집행기관의 조치와 사이버 보안 연구, 드문 당사자 증언을 통해 드러난 이 비밀 작전은 사이버 범죄와 신원 도용, 국가 주도 첩보 활동이 결합된 정교한 네트워크의 실체를 보여준다. 이 계획의 규모와 대담함은 업계 관계자와 정부 당국자 모두를 놀라게 했으며, 글로벌 디지털 노동력의 보안을 둘러싼 시급한 의문을 불러일으켰다.
사기 수법: 가짜 신분증, 노트북 농장, 전 세계를 상대로 한 기만
북한 작전의 핵심은 단순하지만 효과적인 전략이다. 다른 나라 출신의 숙련된 IT 전문가인 것처럼 가장해 외국 기업의 원격 일자리를 얻는 것이다. 북한 노동자들은 이를 위해 도용하거나 조작한 신원 정보, AI로 생성한 문서, 디지털 기만 수법을 함께 활용한다. 그럴듯한 링크드인과 깃허브 프로필을 만들고 학력을 위조하며, 화상 면접을 통과하기 위해 딥페이크 기술까지 사용한다.
채용된 뒤에도 이들은 북한 안에서 일하는 경우가 드물다. 대신 인터넷 접근이 비교적 자유롭고 감시를 피하기 쉬운 중국, 러시아, 동남아시아 등에 배치된다. 아프리카나 중동에서 활동하는 경우도 있다. 출신을 더욱 감추기 위해 VPN(가상사설망)과 원격 관리 도구를 이용하고, 서방의 공범을 중개자로 내세워 회사 노트북을 수령하고 원격 접속을 설정하며 급여를 관리하게 한다.
악명 높은 수법 가운데 하나는 ‘노트북 농장’이다. 미국이나 유럽의 특정 장소에 컴퓨터 수십 대를 설치하고, 해외에 있는 북한 노동자들이 이를 원격으로 제어한다. 이렇게 하면 노동자들이 해당 국가 내의 정상적인 장소에서 접속하는 것처럼 보여 기본적인 보안 검사를 우회할 수 있다.
미국 법무부에 따르면 미국인 80명 이상이 이 사기에 사용할 목적으로 신원을 도용당했으며, 기술 스타트업부터 방산업체까지 수백 개 기업이 북한 측 요원을 모른 채 고용했다. FBI는 이 작전과 연계된 컴퓨터 수백 대와 웹 도메인 수십 개, 수백만 달러 상당의 암호화폐를 압수했다.
인간적인 측면: 해외에서 일하는 북한 IT 노동자의 삶
‘진수’와 같은 탈북민이 드물게 전한 증언은 이 음지의 노동이 초래하는 개인적 대가와 일상을 보여준다. BBC와 인터뷰한 진수는 원격 일자리에 지원하려고 가짜 신분증 수백 개를 사용했으며, 여러 직책을 동시에 맡아 한 달에 최대 5,000달러를 벌었다고 말했다. 이 가운데 85%는 정권에 송금됐다. 그는 “이게 강도질이나 다름없다는 걸 알지만, 그냥 운명으로 받아들인다”며 “그래도 북한에 있을 때보다는 훨씬 낫다”고 말했다.
대부분의 북한 IT 노동자는 팀 단위로 일하며 정부 감시원의 밀착 감시를 받는다. 본국에 있는 주민보다 자유와 서방 매체에 대한 접근성이 높지만, 탈북 위험은 크고 본인과 가족이 치러야 할 대가도 무겁다. 위험에도 불구하고 탈출을 택하는 사람은 드물다. 벌이의 일부에 불과한 돈도 북한 기준으로는 삶을 바꿀 만큼 큰돈이기 때문이다.
왜 원격 IT 일자리인가? 제재 회피를 위한 완벽한 위장
북한 경제는 특히 무기 프로그램을 겨냥한 국제 제재로 심각한 타격을 입었다. 중국 공장이나 러시아 건설 현장에 파견된 노동자처럼 전통적인 외화벌이 수단도 줄어들고 있다. 이런 상황에서 원격 IT 노동은 여러 이점을 제공한다.
- 높은 보수: 숙련된 IT 노동자는 연간 최대 30만 달러를 벌 수 있어 해외 육체노동자보다 훨씬 많은 수입을 올릴 수 있다.
- 낮은 노출도: 원격 근무는 대면 회의가 거의 필요하지 않아 실제 신원을 감추기 쉽다.
- 전 세계 활동 범위: 인터넷을 이용하면 미국과 유럽부터 뉴질랜드, 아랍에미리트까지 전 세계 기업을 표적으로 삼을 수 있다.
- 민감한 정보에 대한 접근: 기업 내부에 들어간 뒤에는 지식재산과 기업 기밀, 심지어 민감한 방위 정보를 훔칠 수 있다.
유엔 추산에 따르면 북한 IT 노동자들은 정권에 매년 2억5,000만~6억 달러를 벌어다 준다. 이 자금은 중개인과 암호화폐 거래, 페이퍼컴퍼니로 이어지는 복잡한 경로를 통해 세탁돼 당국이 추적하기 어렵다.
작전의 내부: AI, 딥페이크, 사회공학 기법
북한 IT 요원들은 코딩 실력만 뛰어난 것이 아니라 기만에도 능숙하다. 사이버 보안 연구자들은 서방 전문가인 것처럼 가장하기 위해 사용된 상세한 면접 대본과 위조 이력서, AI로 편집한 사진을 찾아냈다. 일부는 유럽이나 미국의 실제 사람에게 신원을 ‘대여’해 달라고 돈을 주고, 합법적인 서류와 은행 계좌를 이용하는 대가로 수익 일부를 제공하기도 한다.
마이크로소프트 위협 인텔리전스팀은 이들 활동을 ‘재스퍼 슬리트’라는 코드명으로 추적해 왔다. 이 팀에 따르면 북한 노동자들은 AI로 가짜 인물을 만들어내고, 취업 서류에 사용할 사진을 수정하며, 면접 중 목소리까지 바꾼다. 조력자들은 고용 확인 절차를 우회하고 장비를 수령하며 원격 접속을 설정하도록 돕는다. VPN과 가상 사설 서버, 원격 관리 도구를 이용해 실제 위치를 감추는 것도 방어 회피 수법에 포함된다.
앨라이 시큐리티의 채용 관리자 롭 헨리는 가짜 지원자를 가려내는 어려움을 이렇게 설명했다. “처음에는 누가 진짜고 가짜인지 알아내려는 일종의 게임 같았지만, 얼마 지나지 않아 꽤 성가신 일이 됐습니다.” 그는 화상 통화 중 지원자에게 낮의 햇빛을 보여 달라고 요청했다. 간단한 방법이지만 엉뚱한 시간대에서 일하는 지원자를 종종 가려낼 수 있었다.
미국에서 유럽으로: 표적의 이동과 수법의 진화
미국 기업과 법 집행기관의 경계가 강화되자 북한 요원들은 채용 절차와 신원 확인이 상대적으로 허술한 유럽으로 표적을 옮겼다. 구글 위협 인텔리전스 그룹을 비롯한 사이버 보안 전문가들은 특히 ‘개인 기기 사용(BYOD)’ 정책을 적용하고 채용 절차를 신속하게 진행하는 유럽 기술 기업들이 주요 표적이 되고 있다고 경고한다.
이런 환경에서 북한 노동자들은 개인 장비로 회사 시스템에 접속하며 평범한 원격 근무자로 섞여들 수 있다. 내부에 들어간 뒤에는 데이터를 훔치거나 민감한 정보를 유출하겠다고 협박하고, 해고되면 암호화폐 지급을 요구할 수도 있다. AI로 만든 신원 정보와 딥페이크 기술로 인해 이들을 찾아내기는 더욱 어려워졌다. 이력서 내용이 서로 맞지 않거나 영어 실력이 부족한 경우처럼 기존에 의심을 살 만한 징후도 기술로 점점 가려지고 있다.
서방 조력자의 역할: 지원자와 중개자
북한의 IT 노동자 작전은 서방의 조력자 네트워크에 크게 의존한다. 이들은 때로는 자신도 모르게, 때로는 공모해 다음과 같은 핵심 지원을 제공한다.
- 회사 노트북을 받아 원격 접속이 가능하도록 설정
- 급여를 받을 은행 계좌와 페이퍼컴퍼니 개설
- 위조 여권과 현지 전화번호, 추천인 제공
- 문화적 관습과 채용 전략을 요원들에게 안내
‘노트북 농장’을 운영하거나 금융 중개자로 활동한 혐의로 기소된 미국인도 여럿 있다. 한 사건에서는 미국 시민이 자택에서 노트북 농장을 운영해 북한 노동자들이 컴퓨터 수십 대를 제어하고 급여를 세탁하도록 도운 혐의로 기소됐다. 암호화폐를 훔쳐 이체하는 일을 도운 다른 이들도 기소됐으며, 법무부는 수백만 달러를 압수했다.
단속에도 불구하고 작전의 규모가 워낙 크고 적응력이 뛰어나 많은 조력자가 계속 활동하고 있으며, 소셜미디어와 온라인 포럼을 통해 새로운 조력자도 모집되고 있다.
급여를 넘어: 첩보 활동, 데이터 절도, 사이버 범죄
북한 IT 노동자 작전의 주된 목표는 외화벌이지만, 위험은 급여 손실에 그치지 않는다. 기업 내부에 침투한 요원들은 다음과 같은 일을 할 수 있다.
- 지식재산과 영업 기밀 절취
- 수출 통제 대상 정보를 포함한 방산업체의 민감한 자료에 접근
- 향후 랜섬웨어 공격이나 첩보 활동에 사용할 악성코드 설치
- 악명 높은 라자루스 그룹 등 북한 해킹 조직이 활용할 내부 정보 수집
여러 확인된 사례에서 북한 IT 노동자들은 접근 권한을 이용해 암호화폐를 훔치고, 고용주를 협박하거나, 대규모 사이버 공격을 지원했다. 라자루스 그룹만 해도 2007년 이후 30억 달러가 넘는 암호화폐를 훔친 것으로 추정되며, 여기에는 2025년 사상 최대 규모인 15억 달러 상당의 탈취 사건도 포함된다.
기업의 대응 방안: 교훈과 권고
북한 IT 노동자 사기는 기업의 원격 직원 채용 및 관리 방식에 심각한 취약점이 있음을 드러냈다. 전문가들은 여러 단계에 걸친 방어를 권고한다.
- 엄격한 검증: 온라인 활동 이력을 확인하고 추천인을 조회하며, 화상 통화로 신원을 확인한다.
- 의심스러운 IP 주소와 중복된 전화번호, 원격 관리 도구 사용을 주의 깊게 살핀다.
- 개인 기기 사용에 따른 위험 제한: 엔드포인트 보안을 시행하고 개인 기기의 접근을 제한하며 민감한 시스템을 분리한다.
- 직원 교육: 인사·IT팀이 의심 징후를 알아보고 신원 확인을 위해 협력하도록 교육한다.
- 신속한 대응: 북한 IT 노동자를 확인하면 대응 인원을 신뢰할 수 있는 소수로 제한하고, 공범과의 연계성을 분석하며, 법 집행기관에 제출할 증거를 보존한다.
당국은 기업에 지나치게 낮은 계약 금액을 제시하거나 암호화폐로 결제를 요구하는 경우, 화상 면접을 피하거나 서류 내용이 서로 맞지 않는 지원자를 경계하라고 당부한다.
더 큰 그림: 제재, 사이버 전쟁, 국제사회의 대응
북한이 해외 IT 노동자를 활용하는 것은 제재를 회피하고 무기 프로그램에 자금을 대려는 광범위한 전략의 일부다. 유엔에 따르면 사이버 공격은 현재 북한 외화 수입의 약 절반과 대량살상무기 개발 자금의 40%를 창출한다. 육체노동에서 첨단 원격 노동으로, 미국에서 유럽으로 활동 무대를 바꾸는 정권의 적응력은 국제 규제 당국이 직면한 과제를 보여준다.
미국과 일본, 한국, 유럽 각국 정부는 경고를 내놓고 단속을 강화했으며 해외 조력자와 자국 내 공모자들을 기소했다. 프리랜서 플랫폼과 기술 기업에도 신원 확인을 강화하고 의심스러운 활동을 감시하라는 요구가 이어지고 있다. 그러나 한 전문가는 “북한이 이익과 첩보 활동을 목적으로 서방 기업에 침투하려는 시도는 계속될 것”이라며 “단속으로 작전에 차질이 생기겠지만 북한은 이에 적응할 것으로 예상된다”고 말했다.
요약
- 북한은 가짜 신원을 이용해 해외에 IT 노동자 수천 명을 보내 기업에 침투시키고 정권을 위한 경화를 벌어들였다.
- 이들은 서방 조력자의 도움을 받아 AI와 딥페이크, 정교한 사회공학 기법으로 정상적인 원격 근무자인 것처럼 가장한다.
- 기업 내부에 들어간 뒤에는 데이터와 지식재산을 훔치고 사이버 공격을 지원할 수 있으며, 급여와 탈취 자금은 북한의 무기 프로그램으로 흘러간다.
- 미국을 비롯한 각국 법 집행기관은 수백만 달러 상당의 자산을 압수하고 조력자들을 기소하는 한편, 기업에 채용 및 사이버 보안 관행을 강화하라고 경고했다.
- 단속이 강화되면서 작전의 표적은 미국에서 유럽으로 옮겨갔다. 전 세계 기업은 진화하는 위협에 경계를 늦추지 말라는 당부를 받고 있다.
