북한, 코인업계 프리랜서 위장 침투… 위장 신분으로 면접까지

수개월간 코인텔레그래프(Cointelegraph)는 의심되는 북한 정보원과 관련된 조사에 참여해왔다. 이번 조사를 통해 북한과 연계된 것으로 추정되는 위협 행위자들이 암호화폐 업계에서 프리랜서 일자리를 확보하려는 정황이 포착됐다.

이번 조사는 스페인 통신사 텔레포니카(Telefónica) 소속 사이버 위협 인텔리전스 전문가 하이너 가르시아(Heiner Garcia)가 주도했다. 그는 VPN도 사용하지 않고 온라인 채용 플랫폼에서 프리랜서 일감을 따내는 북한 정보원들의 방식에 주목했다.

가르시아는 GitHub에서 활동하는 여러 계정과 위조된 일본인 신원 정보를 조합해, 이를 북한과 연계된 네트워크로 연결지었다. 지난 2월 그는 ‘모토키(Motoki)’라는 이름을 사용하는 의심 인물과의 모의 면접을 설정하고 여기에 코인텔레그래프 한국 기자를 초청했다.

결국 모토키는 의도치 않게 북한 위협 행위자들과 연결된 네트워크의 정황을 드러낸 뒤 면접 중 분노하며 인터뷰를 중단했다.

가르시아가 처음 모토키라는 인물을 발견한 시점은 올해 1월 말, ‘bestselection18’이라는 GitHub 계정을 추적하던 중이었다. 해당 계정은 숙련된 북한 IT 공작원이 운영하고 있을 가능성이 높은 것으로 분석된다. 이 계정은 OnlyDust 같은 프리랜싱 플랫폼을 통해 암호화폐 업계로 침투한 정황이 있는 그룹의 일부였다.

다수의 북한 공작원 계정들이 프로필 사진을 사용하지 않는 것과 달리, 모토키는 얼굴 사진을 사용하고 있어 가르시아의 주목을 끌었다. 이후 그는 자신을 인재 발굴 회사의 헤드헌터라고 소개하며 텔레그램을 통해 모토키에게 직접 연락했다. 기업명조차 언급하지 않았음에도 연락은 용이하게 이뤄졌다.

2월 24일, 그는 코인텔레그래프 한국 기자에게 자신이 설정한 가짜 회사의 면접에 동참해달라고 요청했다. 목표는 영어로 진행되는 면접 말미에 한국어로 질문을 던져 북한 인물임을 확인하는 것이었다.

다음 날인 2월 25일 진행된 화상 인터뷰에서 가르시아와 코인텔레그래프는 웹캠을 끈 상태였지만, 모토키는 웹캠을 켜고 참여했다. 면접 내내 그는 서로 다른 질문에 동일한 대답을 반복하며 대화는 어색하게 흘러갔다.

무엇보다 그는 자신을 일본 개발자라고 주장하면서도 일본어를 전혀 구사하지 못했다. 이에 코인텔레그래프 기자가 일본어로 자기소개를 요청하자, 모토키는 카메라 화면에 비친 얼굴빛을 통해 당황하며 화면 속 스크립트를 찾고 있는 모습을 드러냈다.

긴 정적이 흐른 뒤, 다시금 일본어 요청이 반복되자 그는 표정을 일그러뜨리며 헤드셋을 벗고 면접 통화에서 이탈했다.

이번 조사는 북한의 사이버 작전이 단순히 해킹에 국한되지 않고, 점점 더 정교하게 프리랜싱 시장을 파고들고 있다는 점을 방증한다. 업계는 이러한 침투를 방지하기 위해 계정 검증 시스템과 다중 언어 확인 절차의 필요성을 강조하고 있다.