가짜 IT 채용 면접을 통해 북한이 수백만 상당의 암호화폐를 탈취하고 있다

미끼로 사용된 가짜 채용 면접

합법적인 기술 인재 채용으로 위장한 북한의 사이버 공격 캠페인이 최소 100개국에 걸쳐 3만 대 이상의 컴퓨터를 감염시켜, 수천 개의 암호화폐 지갑을 탈취하고 수백만 달러를 훔쳐 평양의 무기 프로그램에 자금을 조달했다고 6개국 법 집행 기관들이 경고했다.

9월 18일 발표된 공동 보안 권고문에서 일본 경찰청(NPA)과 미국 연방수사국(FBI)은 호주 및 독일의 사이버·정보 기관들과 함께 “Waterplum”으로 알려진 위협 행위자(국제적으로는 “Contagious Interview”로도 추적됨)의 전 세계적 작전에 대해 상세히 설명했다.

당국은 워터플럼과 관련 북한 IT 요원들이 북한의 군사 연구 및 무기 생산을 관리하는 조선로동당 군수산업부 제313국의 직접적인 감독 하에 활동하고 있는 것으로 평가했다.

일본 수사 당국에 따르면, 워터플럼은 합법적인 인공지능, 블록체인 및 기술 채용 회사의 채용 담당자로 위장하여 구인 플랫폼과 소셜 미디어에서 소프트웨어 개발자, 웹 디자이너, 암호화폐 전문가를 표적으로 삼았다.

가짜 기술 면접이나 코딩 평가 과정에서 표적 후보자들은 코딩 테스트나 화상 회의 문제 해결 도구로 위장한 악성 소프트웨어를 다운로드하라는 지시를 받았다. 이 코드가 실행되면 백도어 트로이목마와 정보 탈취 악성코드가 설치되어, 해커들이 개인 신분 증명 서류와 암호화폐 개인 키를 탈취할 수 있게 되었다.

당국자들은 2025년 말부터 2026년 7월 사이에 이 캠페인이 전 세계적으로 최소 3만 대의 기기를 침해했으며, 7,000개 이상의 암호화폐 지갑을 탈취하고 최소 17억 엔(1,071만 달러) 상당의 디지털 자산을 북한이 통제하는 지갑으로 유입시켰다고 밝혔다.

일본에서 적발된 ‘노트북 팜’

이번 수사는 또한 북한 요원들이 위치 확인 절차를 우회하고 일본 및 미국 기업에서 아웃소싱 IT 업무를 수행할 수 있도록 도운 ‘국내 공범자’들의 역할도 부각시켰다.

일본 법 집행 기관 사상 처음으로, 경찰은 원격으로 근무하는 북한 IT 근로자들이 현지 IP 주소를 통해 활동할 수 있도록 허용했던 국내 ‘노트북 팜’을 압수하고 해체했다. 당국은 이러한 수법을 통해 활동한 불법 IT 근로자들이 수억 엔 상당의 암호화폐 자산을 해외로 송금했다고 밝혔다.

국제 안보 기관들은 기술 기업과 긱(gig) 근로자들에게 온라인 면접 시 주의를 기울이고, 격리된 샌드박스 환경 밖에서 검증되지 않은 코드를 실행하지 말며, 신뢰할 수 없는 코드 저장소를 열 때 작업 공간 제한 제어 기능을 활용할 것을 촉구했다.