북한 원격채용 침투, 면접 검증이 보안선 됐다

북한 연계 인력이 크립토 기업의 원격 채용 절차를 침투 경로로 활용하는 정황이 인터뷰형 보도를 계기로 다시 드러났다. 지갑 해킹뿐 아니라 면접, 온보딩, 장비 배송, 원격접속 권한 부여가 보안의 1차 통제선이 됐다는 평가가 나온다.

크립토브리핑(Crypto Briefing)은 18일 로라 신(Laura Shin) 언체인드(Unchained) 진행자가 ‘소피 왕’이라는 이름으로 구직자 면접을 가장해 ‘저스틴 림’이라고 자신을 소개한 인물을 인터뷰했다고 보도했다. 이 대화는 14일 공개된 언체인드 팟캐스트 에피소드로 소개됐다. (cryptobriefing.com)

보도에서 림은 자신을 원격 개발자라고 설명했다. 그는 스마트컨트랙트 보안, 그래프(GRT), 유니스왑(UNI), Velas 관련 질문에 답했고 북한 지도자 관련 질문에는 회피적으로 반응한 것으로 전해졌다.

크립토브리핑은 림이 2022년 MetaPlay에서 발생한 270만 달러(약 38억원) 절도와 연결됐다고 썼다. 다만 이 연결고리는 해당 보도의 주장으로, 공식 수사 문서나 기관 발표로는 확인되지 않았다.

미국 연방수사국(FBI)은 2024년 5월 16일 공지에서 북한 IT 인력이 미국 내 조력자를 활용해 신원을 숨기고 기업 네트워크 접근권을 얻는다고 밝혔다. FBI는 △장비 수령 △원격 데스크톱 연결 △금융계좌 개설 △구직 사이트 계정 생성 △가상 면접 대리 참석 △미국 기반 프런트 회사 설립을 주요 수법으로 제시했다. (fbi.gov)

FBI의 경고는 해킹을 코드 취약점만의 문제가 아니라 고용 절차의 문제로 본다는 점에서 의미가 있다. 기업에는 채용 전 신원 확인뿐 아니라 온보딩 이후 근무 기간 전반에서 위치, 장비, 계정 사용 패턴을 반복 점검하라는 권고가 담겼다.

미국 법무부도 2025년 6월 30일 발표에서 북한 인력이 도난·가짜 신원으로 원격 IT 일자리를 얻었고 100개 이상 미국 기업에 취업했다고 밝혔다. 같은 발표는 16개 주에서 의심 ‘노트북 팜’ 29곳 수색, 금융계좌 29개 압수, 사기 웹사이트 21개 압수를 언급했다. (justice.gov)

노트북 팜은 고용 기업이 보낸 업무용 장비를 제3자가 보관하고, 해외 인력이 원격으로 접속하도록 돕는 물리적 거점이다. 법무부는 일부 북한 IT 인력이 블록체인 연구개발 회사에 취업해 90만 달러(약 13억원)가 넘는 가상자산을 훔쳤다고 밝혔다.

체이널리시스(Chainalysis)는 2025년 보고서에서 북한 해커가 그해 20억200만 달러(약 2조8310억원)를 훔쳤고 누적 탈취액이 67억5000만 달러(약 9조5445억원)에 이르렀다고 밝혔다. 체이널리시스는 북한 연계 세력이 크립토 서비스 내부에 IT 인력을 심어 권한 접근을 얻거나, 웹3·AI 기업 채용 담당자로 위장해 기술 면접 과정에서 자격증명과 소스코드 접근권을 노린다고 설명했다. (chainalysis.com)

보안업체 쿠델스키 시큐리티(Kudelski Security)는 2026년 6월 30일 연구에서 북한 연계 ‘컨테이저스 인터뷰’ 캠페인이 링크드인, 왓츠앱, 디스코드를 통해 개발자를 유인한다고 밝혔다. 가짜 기술면접 과정에서 악성 코드가 포함된 저장소를 실행하게 만들고, 실행 환경 변수와 토큰 같은 민감 정보를 빼내는 구조가 분석됐다. (kudelskisecurity.com)

보안교육업체 KnowBe4는 2025년 2월 24일 공개 글에서 북한 가짜 지원자를 실제 면접한 경험을 소개했다. 지원자는 질문을 반복하며 시간을 끌고 검색이나 AI 답변을 이용하는 듯한 패턴을 보였다고 했다. KnowBe4는 원격 개발자 채용 기업이 이런 지원자를 반복적으로 받는다고 설명했다. (blog.knowbe4.com)

크립토 업계는 원격 우선 조직, 국경을 넘는 개발자 협업, 빠른 채용, 가명 문화가 결합돼 신원 확인이 느슨해지기 쉽다. 스마트컨트랙트 감사와 지갑 모니터링이 사후 탐지에 가깝다면, 면접과 온보딩 검증은 내부 접근권이 생기기 전의 통제 장치다.

국내 크립토 기업에도 같은 문제가 이어진다. 본지는 앞서 북한 연계로 의심되는 원격 개발자 면접 사례가 가상자산 업계의 채용 검증 문제를 드러냈다고 보도했다. 당시에도 기사 속 인물의 별칭과 국적, 거주지는 독립적으로 확인되지 않았고, 핵심은 특정 인물보다 수법이었다.

보안 연구진이 가짜 디파이 회사를 세워 북한 라자루스 산하 조직으로 지목된 위장 IT 인력을 역추적한 사례도 있었다. 본지는 이와 관련해 위조 신분증, 도난 사회보장번호, 대리 계좌가 입사 절차에 사용된 정황을 전한 바 있다.

이번 사안은 특정 인터뷰 대상자의 정체보다 크립토 업계의 채용 구조를 겨냥한다. 채용 면접, 장비 배송, 원격접속 허용, 권한 부여 절차를 같은 보안 체계 안에서 관리해야 내부 접근권을 노린 침투를 줄일 수 있다.