[DX브리핑] 북한 해킹 용병 "가짜 면접 30분만에 지갑 털렸다"

그룹아이비 “합성 신원으로 위장 취업 후 내부 전산망 침투

카스퍼스키 ”북한 해킹 그룹 줌 회의 위조해 악성코드 설치 유도“

취업 지원서에 사용된 북한 IT 근로자 활동과 관련된 합성 신원 정보 중 한 장의 사진. / 사진 = 그룹아이비

[시사저널e=송주영 기자] 생성형 AI와 정교한 ‘합성 신원(Synthetic Identities)’을 무기로 북한 해킹 조직의 침투가 거세지고 있다. 가짜 신분으로 기업에 위장 취업해 내부 인프라를 장악하는 것은 물론, 가짜 화상회의와 채용 면접을 통해 암호화폐 지갑과 클라우드 권한을 통째로 가로채는 ‘산업화된 사이버 범죄’를 벌이고 있다.

그룹아이비는 보고서를 통해 북한 IT 인력들이 사기성 원격 고용 방식을 통해 글로벌 기업에 침투하는 ‘인력 활용 접근 모델’을 포착했다고 지난 13일 밝혔다. 이들은 최소 2021년부터 깃허브와 프리랜서 마켓플레이스 등에서 가짜 개발자 생태계를 운영해 왔다.

이들은 생성형 AI 도구를 활용해 입사 지원서를 작성하고 기술 프로필은 유지한 채 세부 이력만 수정한 ‘재사용 가능 신원 패키지’를 활용한다. 위조 문서와 체계적인 고용 워크플로우가 담긴 저장소를 운영하며 공작을 벌였다. 일단 채용되면 합법적인 권한을 이용해 기업의 소스 코드나 핵심 인프라에 접근했다.

또 다른 보안업체 카스퍼스키는 북한 해킹 그룹 ‘블루노로프’의 최신 탈취 작전인 ‘고스트콜’과 ‘고스트하이어’ 캠페인을 분석했다. 이번 분석은 카스퍼스키가 소속 북한 전문 한국인 연구원이 수행했다.

고스트콜은 정교하게 위조된 줌 회의로 시작된다. 피해자가 접속하면 AI나 딥페이크가 아닌, 과거 다른 피해자들로부터 몰래 녹화한 ‘실제 영상’이 재생된다. 피해자는 실시간 회의라고 믿지만 그사이 시스템은 오류 메시지를 띄우며 악성코드 설치를 유도한다.

특히 맥OS의 핵심 보안 체계인 개인정보 보호 시스템(TCC)을 무력화해 사용자 동의 없이 카메라와 마이크, 개인 문서에 접근하는 기술적 정교함을 보였다.

채용 면접을 위장한 ‘고스트하이어’ 캠페인에서 공격자는 미국 금융 기업의 채용 담당자로 위장해 웹3 개발자들에게 접근한 뒤, 기술 역량 평가를 빙자해 약 30분의 시간 제한을 두고 악성 코드가 포함된 프로젝트 실행을 유도한다.

이 과정에서 가상자산 지갑뿐만 아니라 이메일, 텔레그램, AWS·GCP 등 클라우드 설정, 챗GPT 계정까지 포함한 ‘디지털 업무 환경 전체’를 장악하는 모듈형 악성코드 체인을 사용한다. 특히 이들은 GPT-4o를 이용해 프로필 사진을 보정하고 악성 스크립트 작성에도 AI를 활용하는 등 공격 효율을 극대화하고 있는 것으로 나타났다.

보안 전문가들은 북한 IT 인력의 위협이 단순한 외부 해킹을 넘어 기업의 ‘보안 경계 내부’에서 시작된다는 점에 주목한다. 위장 취업한 인력을 무의식적으로 고용할 경우, 기업은 국제 제재 위반에 따른 법적 책임까지 질 수 있다.

이효은 카스퍼스키 한국지사장은 “블루노로프는 가짜 화상회의와 위장 채용 면접이라는 정교한 사회공학 기법에 생성형 AI까지 결합해 공격 성공률을 지속적으로 높이고 있다”며 “웹3·블록체인 업계 종사자라면 텔레그램을 통한 갑작스러운 투자 제안이나 채용 제안, 특히 짧은 시간 내 코드 실행을 요구하는 상황에서 각별한 주의가 필요하다”고 강조했다.

그룹아이비 관계자도 “현재 이 캠페인은 미국, 유럽, 아시아 등 전 세계 기업을 표적으로 삼고 있다”며 “기업들은 채용 과정에서 디지털 이력의 진위 여부를 검증하는 프로세스를 대폭 강화해야 한다”고 권고했다.