포춘 500대 기업을 위협하는 북한 IT 노동자: 국가 지원 사기 침투 실태 (KO)

미국 내 거의 모든 포춘 500대 기업이 자신도 모르는 사이에 북한 IT 노동자를 고용했습니다. 이는 단순한 추측이 아닙니다. 정보 기관과 사이버 보안 연구원들이 추적한 역사상 최대 규모의 국가 지원 입사 사기 작전의 결과입니다.

약 10만 명의 북한 IT 노동자가 전 세계에 파견되어 평양의 무기 개발 프로그램에 매년 5억 달러 이상의 자금을 조달하고 있습니다. 이들은 도난당한 미국 신분증, AI 기반 사진, VPN 인프라, 국내 협력자 네트워크를 이용하여 면접을 통과하고, 신원 조회를 완료하며, 자신이 실제로 고용했는지 모르는 회사로부터 급여를 받습니다.

2025년, CrowdStrike는 북한 IT 노동자 침투 시도가 220% 증가했다고 보고했으며, 고객 기반에서 320건 이상의 사건을 조사했습니다. FBI는 공식 경고를 발표했고, 법무부는 14명의 북한 국적자를 기소했습니다. 그리고 OFAC는 2026년 3월까지 DPRK IT 노동자 네트워크에 대한 제재를 확대했습니다.

이것은 미래의 위협이 아닙니다. 이것은 활발하게 운영되고 있는 대규모 산업 작전이며, 기존의 채용 프로세스는 이를 막을 수 없습니다.

사기 수법

북한 IT 노동자 작전은 현대 원격 채용에 내재된 신뢰 가정을 악용하기 때문에 정교합니다. 일반적인 침투 과정은 다음과 같습니다.

1단계: 신원 확보

북한 요원들은 데이터 유출을 통해 입수한 개인 정보 또는 소셜 엔지니어링을 통해 얻은 미국 신분증(사회 보장 번호, 운전 면허증, 개인 정보 등)을 확보합니다. 어떤 경우에는 미국에 거주하는 협력자를 모집하거나 강요하여 자신의 신분증이나 신분증 문서에 대한 접근 권한을 제공받기도 합니다.

2단계: AI 기반 프로필 생성

도난당한 신분증을 기반으로 요원들은 설득력 있는 전문적인 프로필을 만듭니다. 사진은 AI 도구를 사용하여 생성하거나 향상시키며, 종종 스톡 사진을 시작으로 도난당한 신분증의 인구 통계 프로필과 일치하도록 수정합니다. LinkedIn 프로필, GitHub 계정, 전문 포트폴리오는 뒷받침되는 스토리를 만들기 위해 위조됩니다.

3단계: 면접 과정

또 다른 요원(주로 중국, 러시아 또는 동남아시아에 기반)이 실제 화상 면접을 진행합니다. 이들은 훈련을 받고 기술적으로 능숙하며 면접을 위해 연습합니다. 어떤 경우에는 여러 팀원이 단일 면접에 협력하여 한 명은 카메라에 나타나고 다른 팀원은 실시간으로 답변을 제공합니다.

4단계: 랩톱 농장

채용되면 회사는 미국 주소로 랩톱을 배송합니다. 그러나 해당 주소는 FBI가 "랩톱 농장"이라고 부르는 것을 운영하는 협력자에게 속합니다. 랩톱 농장은 수십 대의 회사에서 발급한 장치를 보관하는 장소입니다. 협력자는 원격 접속 소프트웨어를 설치하여 북한 노동자가 해외에서 접속하는 동안 미국 IP 주소로 작업하는 것처럼 보이도록 합니다.

5단계: 수익 환수

북한 노동자는 의심을 피할 만큼 충분히 능숙하게 작업을 수행하며 급여는 은행 계좌, 암호화폐 지갑, 송금 서비스를 통해 북한으로 다시 전달됩니다. 이러한 자금의 상당 부분이 북한의 탄도 미사일 및 핵무기 프로그램에 직접 지원됩니다.

KnowBe4: 보안 회사가 속았을 때

귀사의 채용 프로세스가 안전하다고 생각하신다면, 세계 최고의 보안 인식 교육 회사 중 하나인 KnowBe4에 무슨 일이 일어났는지 생각해 보십시오.

2024년 7월, KnowBe4는 내부 AI 팀의 원격 소프트웨어 엔지니어를 고용했습니다. 후보자는 표준 채용 파이프라인을 통과했습니다. 이력서 검토, 여러 차례의 화상 면접, 신원 조회 및 추천 확인. 모든 것이 확인되었습니다.

후보자는 도난당한 미국 신분증과 AI 기반 스톡 사진을 사용하여 의심을 불러일으키지 않고 화상 면접을 통과할 만큼 설득력이 있었습니다. 위조된 프로필은 기술적으로 능숙하고 전문적으로 다듬어져 있었습니다.

KnowBe4는 신규 채용자에게 회사 랩톱을 배송했습니다. 도착 후 몇 분 안에 운영자는 자격 증명 수집 도구, 원격 접속 트로이 목마 및 데이터 유출 유틸리티를 로드하기 시작했습니다. 활동은 미국 동부 표준시 9시 55분에 KnowBe4의 내부 보안 운영 센터에 의해 감지되었고 장치는 즉시 격리되었습니다.

데이터 손실은 없었습니다. 단일 랩톱을 제외하고 어떤 시스템도 손상되지 않았습니다. 그러나 함의는 엄청났습니다. 전체 비즈니스가 보안 인식인 회사가 자체 채용 프로세스를 통해 사회 공학적으로 공격을 받았다는 것입니다.

KnowBe4의 CEO인 Stu Sjouwerman은 이 사건을 공개적으로 공개하기라는 이례적인 결정을 내렸습니다. 그는 "우리에게 일어날 수 있다면"이라고 썼습니다. "거의 모든 사람에게 일어날 수 있습니다."