월 500달러 제안…제3국 인력이 북한 IT 면접 대리

북한 연계 조직이 이란·레바논 등 제3국 IT 인력 일부에게 월 500달러(약 67만원) 상당의 암호화폐를 제안해 미국 기업의 원격직 면접을 대신 보게 한 뒤, 채용된 직무를 북한 측 인력에게 넘기는 수법을 활용한 정황이 전해졌다.

대리면접에 참여한 일부 인력은 지원자 신분으로 기술 면접과 신원 확인 절차를 통과하고, 채용 계약이 체결되면 실제 업무에서 빠지는 방식이다. 이후 북한 측 인력이 원격으로 업무를 수행하며 기업 내부 시스템에 접근할 수 있다.

NBC는 북한 연계 조직이 링크드인에서 이란과 레바논 등 제3국 개발자에게 접근해 ‘면접 대리인’으로 고용했다고 보도했다. 일부 대리인은 자신의 이름으로 미국 기업의 원격 근무직에 지원하고 화상 면접에 참여한 것으로 전해졌다.

일부 대리인에게는 매달 500달러 상당의 암호화폐가 제안된 것으로 전해졌다. 가짜 신원 사용과 업무 인계가 이뤄진 사례도 전해졌다.

제3국 인력을 앞세우면 북한 국적 지원자를 대상으로 한 기업의 직접적인 신원 확인을 피할 수 있다. 지원자와 실제 업무 수행자가 달라지는 만큼 일반적인 이력서 검증과 기술 면접만으로는 차이를 발견하기 어렵다.

미 연방수사국(FBI) 산하 인터넷범죄신고센터(IC3)는 7월 31일 경보에서 북한 IT 노동자를 기업 내부 위협으로 지목했다. 북한 IT 인력이 계약을 확보한 뒤 임금을 북한 내 상위 기관으로 송금하려 하며, 데이터 유출·암호화폐 탈취·민감 정보 절취에 관여할 수 있다는 내용이다.

IC3 경보에는 채용 과정에서 지원자와 다른 사람이 면접에 참여하거나 실제 업무를 수행하는 사례도 포함됐다. 법적 고용 관계를 이용해 내부 권한을 확보한다는 점에서 외부 해킹과 다른 위험으로 분류된다.

기업이 노트북과 계정을 직원의 실제 거주지가 아닌 제3의 장소로 보내거나, 신원 확인이 끝나기 전에 시스템 접근 권한을 부여하는 과정도 위험 요인으로 제시됐다. 장비와 계정이 실제 업무 수행자에게 넘어가는 순간 기업 내부 정보에 대한 접근 범위가 넓어질 수 있다.

IC3는 신분증 주소와 장비 배송지를 대조하고, 화상 면접에서 지원자의 얼굴과 주변 환경을 확인하라고 권고했다. 가상자산 지급에 사용되는 계정과 실제 근무지, 시스템 접근 시점도 함께 점검해야 한다는 취지다.

북한의 원격채용 침투가 가상자산 업계의 채용 보안 문제로 이어지고 있다는 본지의 앞선 보도에서도 원격 개발자 검증과 면접 절차의 중요성이 다뤄졌다. 이번 사례는 대리면접이 채용 사기를 넘어 기업 내부 접근권 확보 수단으로 활용될 수 있음을 보여준다.

크라우드스트라이크는 2026년 금융서비스 위협 보고서에서 북한 연계 공격자들이 2025년 디지털 자산 20억2000만달러(약 2조7110억원)를 훔쳤다고 밝혔다. 전년보다 51% 증가한 규모다.

보고서는 북한 연계 조직이 인공지능으로 만든 신원과 채용 담당자 계정을 활용해 암호화폐 거래소와 핀테크 기업에 침투했다고 설명했다. 채용 단계에서 얻은 접근권이 가상자산 탈취와 기업 정보 절취로 이어질 수 있다는 분석이다.

가상자산 기업의 원격·국경 간 채용에서는 기업별 신원 검증 절차와 실제 업무 수행자 확인 여부를 별도로 점검할 필요가 있다.

국내 가상자산 기업도 해외 개발자와 원격 인력을 활용하는 경우가 있는 만큼, 면접 참석자와 실제 업무 수행자의 일치 여부를 확인하는 절차가 보안 범위에 포함된다. 특히 지갑·거래소·고객정보 시스템에 대한 권한은 채용 직후 일괄 부여하지 않는 방식이 요구된다.

이번 사례와 관련해 개별 기업의 피해 규모와 실제 침해 여부는 각 기업별로 확인해야 한다. 기업들은 신분증 주소, 장비 배송지, 화상 면접 참석자, 지급 계정, 시스템 접근 시점을 대조하는 방식으로 채용 절차를 점검할 필요가 있다.