북한 IT 위장취업, 가상자산 채용 보안 시험대

북한 연계로 의심되는 원격 개발자 면접 사례가 가상자산 업계의 채용 검증 문제를 다시 드러냈다. 해킹은 코드 취약점뿐 아니라 사람을 뽑고 권한을 주는 절차에서도 시작될 수 있다는 지적이다.

테크플로우(TechFlow)는 14일 한 면접자가 자신을 개발자로 소개했지만 김정은 북한 국무위원장을 비판해 달라는 요구 뒤 답변을 끊었다고 보도했다. 이 면접자는 영화 '겨울왕국'을 좋아한다고 답한 것으로 전해졌다. 기사 속 인물의 별칭과 국적, 거주지는 독립적으로 확인되지 않았다.

이번 사례의 핵심은 한 지원자의 정체보다 수법이다. 미 재무부와 FBI는 2022년부터 북한 IT 인력이 비북한 국적자로 위장해 해외 기업에 취업하려 한다고 경고해 왔다. 이들은 위조 문서, 도용 신원, 가짜 인적사항, 원격접속 도구, 현지 조력자를 조합해 채용 절차를 통과하려 한다.

FBI는 2025년 1월 공지에서 북한 IT 인력이 회사 네트워크 접근권을 이용해 민감한 데이터와 소스코드를 빼내거나 갈취에 활용할 수 있다고 밝혔다. 면접과 온보딩 단계에서 신원 확인을 반복하고, 같은 이력서 문구나 연락처가 여러 지원자에게 재사용되는지도 확인하라고 권고했다.

미 재무부는 2026년 3월 북한 IT 인력 사기와 관련해 조력자 6명과 법인 2곳을 제재했다. 재무부는 이 수법이 2024년에만 8억 달러(약 1조1344억원)에 가까운 수익을 북한에 안겼다고 적시했다.

스콧 베센트(Scott Bessent) 미 재무장관은 당시 자료에서 "북한 정권은 해외 IT 인력을 앞세운 기만적 수법으로 미국 기업을 겨냥한다"고 말했다. 제재 당국은 북한의 원격 취업 사기를 단순 고용 사안이 아니라 외화 조달과 사이버 작전의 일부로 보고 있다.

TRM 랩스(TRM Labs)는 2026년 상반기 암호화폐 해킹 피해액을 9억7200만 달러(약 1조3783억원)로 집계했다. 이 가운데 북한 연계 활동에 따른 손실은 약 6억4300만 달러(약 9118억원), 비중은 66%였다. TRM 랩스는 2025년 북한 연계 탈취액을 19억2000만 달러(약 2조7226억원)로 봤다.

피해는 소수 대형 사건에 집중됐다. TRM 랩스는 2026년 4월 기준 드리프트(Drift)와 켈프DAO(KelpDAO) 두 건의 공격으로 약 5억7700만 달러(약 8182억원)가 탈취됐다고 밝혔다. 드리프트 피해액은 2억8500만 달러(약 4041억원), 켈프DAO 피해액은 2억9200만 달러(약 4141억원)로 제시됐다.

TRM 랩스는 같은 보고서에서 2017년 이후 북한의 누적 암호화폐 탈취액이 60억 달러(약 8조5080억원)를 넘었다고 밝혔다. 2026년 4월 기준으로는 북한 연계 해킹이 해당 시점까지 집계된 올해 암호화폐 해킹 손실의 76%를 차지했다고 분석했다. 집계 시점과 기준에 따라 상반기 수치와 연중 누적 비중은 다르게 제시됐다.

원격 채용은 가상자산 기업에 특히 민감한 절차다. 개발자는 코드 저장소, 지갑 인프라, 서명 절차, 내부 문서에 접근할 수 있다. 위장 인력이 채용을 통과하면 공격은 기술 취약점이 아니라 업무 권한에서 시작될 수 있다.

이런 구조는 앞선 보안 사건과도 맞닿아 있다. 본지는 앞서 웹3 종사자를 겨냥한 채용 사기형 악성 소프트웨어가 포착됐다고 보도했다. 공격자는 가짜 AI 회의 도구 설치를 유도해 지갑과 브라우저 관련 정보를 빼내려 한 것으로 조사됐다.

북한의 해외 IT 인력 문제도 단일 사건으로 보기 어렵다. 북한의 암호화폐 절도와 해외 IT 노동자 수익이 대량살상무기와 탄도미사일 프로그램에 사용된다고 다자제재감시팀은 밝혔다. 해외 IT 인력 채용 과정이 자금세탁과 정보 탈취 대응 체계 안에서 다뤄지는 이유다.

다만 '김정은 비판 질문'만으로 대응이 끝나는 것은 아니다. 마크 카펠레스(Mark Karpelès) 전 마운트곡스 최고경영자는 X에서 이 방식을 "실제로 효과적인 필터"라고 말했다. 현장에서는 즉각적인 반응을 확인할 수 있는 질문으로 쓰일 수 있다는 평가다.

반론도 있다. 해커뉴스(Hacker News) 논의에서는 이런 질문이 프로파일링 논란으로 이어질 수 있고, 장기적으로는 스크립트나 딥페이크 대응으로 무력화될 수 있다는 지적이 나왔다. 채용 보안이 특정 질문 하나에 기대면 오히려 검증 절차가 좁아질 수 있다는 우려다.

FBI와 미 재무부의 권고는 단일 질문보다 절차 검증에 무게를 둔다. 신원 확인, 위치 검증, 접속 IP와 기기 점검, 원격접속 도구 탐지, 채용 뒤 이상 징후 모니터링을 함께 적용해야 한다는 내용이다. 가상자산 기업의 원격 채용 절차는 개발 역량 평가와 함께 내부 권한 부여 기준을 다시 점검해야 하는 단계에 들어섰다.