북한 해킹 조직 '워터플럼'이 가짜 채용 면접을 미끼로 구직자 기기에 악성코드를 심어 암호화폐를 훔치는 캠페인을 8개월간 벌였습니다. 100개국 이상에서 기기 3만 대를 감염시키고 암호화폐 지갑 7,000개 이상을 털어 약 1,071만 달러를 탈취했습니다. 공격자는 실제 AI·암호화폐 회사를 사칭하고 코딩 테스트나 화상회의 오류를 빌미로 악성코드를 실행시켰으며, 면접 중 AI 얼굴 변환 소프트웨어까지 사용해 신원을 속였습니다. 사용된 악성코드는 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle 등 다양하며, 원격 조종과 정보 탈취 기능을 갖추고 있습니다. 기업은 지원자 신원 검증을 강화하고, 개발자는 출처 불명 코드를 격리 환경 밖에서 실행하지 않도록 주의해야 합니다.
북한 해킹 조직 워터플럼이 2025년 12월~2026년 7월 사이 가짜 채용 면접·코딩 테스트를 이용해 구직자 기기에 악성코드를 배포하는 'Contagious Interview' 캠페인을 전개했다. AI·암호화폐·NFT 기업을 사칭하거나 프리랜서 플랫폼을 통해 접근했다.
100개국 이상에서 기기 3만 대 감염, 암호화폐 지갑 7,000개 이상 탈취, 피해액 약 1,071만 달러(17억엔)가 북한으로 유출됐다.
출처 불명 npm 패키지·악성 Visual Studio Code 프로젝트·화상회의 오류를 가장한 실행 유도로 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle 등 다단계 악성코드가 설치됐다.
일본·미국·호주·독일 수사당국이 공동 권고문을 발표했다. FBI와 일본 경찰은 조직원을 북한 군수공업부 산하 313총국 소속으로 특정했다.
기업은 지원자 신원·소재지·경력을 철저히 검증하고 최소 권한 접근을 적용해야 한다. 개발자는 외부에서 받은 코드와 패키지를 반드시 격리 환경(샌드박스)에서만 실행하고, 추가 다운로드 명령 포함 여부를 사전에 점검해야 한다.
본문
북한 해킹 조직 '워터플럼'(WaterPlum)이 8개월 동안 100개국이 넘는 곳에서 구직자들의 기기를 감염시켜 암호화폐 지갑 7,000개 이상을 털어 간 정황을 네 나라 수사당국이 공개했다.
▲일본과 미국, 호주, 독일 수사당국이 낸 '워터플럼' 관련 권고문 [출처: 일본 외교부]
일본과 미국, 호주, 독일 수사당국은 함께 낸 권고문에서 워터플럼이 2025년 12월부터 2026년 7월 사이 기기를 최소 3만 대 감염시켰다고 밝혔다. 이렇게 모은 암호화폐 17억엔(1,071만 달러)어치가 북한으로 넘어갔다.
워터플럼은 일자리를 미끼로 썼다. 실재하는 AI와 암호화폐, 대체불가토큰(NFT) 회사를 사칭하거나 채용·프리랜스 플랫폼에서 구직자에게 말을 걸었다. 그런 다음 면접과 코딩 테스트를 빌미로 프로젝트를 내려받게 하거나, 화상회의가 잘 안 된다며 문제를 푸는 방법이라고 속여 악성코드를 실행시켰다.
면접 자체도 꾸며낸 것이었다. 수사당국은 워터플럼 조직원이 화상 면접에서 AI 얼굴 바꾸기 소프트웨어로 다른 얼굴을 쓰다가, 도중에 카메라를 끄고 네트워크 문제라고 둘러대는 정황을 확인했다.
감염 뒤에 쓰인 악성코드는 여러 갈래다. npm 패키지에 숨겨 배포한 자바스크립트 악성코드 △BeaverTail(비버테일)과 파이썬으로 만든 백도어(시스템에 몰래 남겨두는 원격 접속 통로) △InvisibleFerret(인비저블페럿)이 확인됐다. 여기에 원격 조종과 정보 탈취를 함께 하는 △OtterCookie(오터쿠키), 원격 조종 기능을 더 얹은 △OtterCandy(오터캔디)가 더해진다. 악성 Visual Studio Code 프로젝트로 퍼뜨린 모듈형 악성코드 △StoatWaffle(스토트와플)도 있다.
배후도 구체적으로 지목됐다. 미국 연방수사국(FBI)과 일본 경찰은 워터플럼 조직원과 일부 북한 IT 인력이 북한 군수공업부 산하 313총국 소속으로 움직인다고 판단했다. 군수공업부는 북한의 무기 연구와 생산을 맡는 조직이다. 워터플럼의 활동은 수년째 이어져 온 'Contagious Interview(컨테이저스 인터뷰)' 캠페인과도 연결돼 있다.
수사당국은 권고문에서 기업과 개발자가 할 일을 각각 짚었다. 기업은 지원자의 신원과 소재지, 경력을 꼼꼼히 확인하고 업무에 필요한 시스템과 데이터에만 접근을 허용해야 한다. 개발자는 출처가 불분명한 코드를 격리된 환경 밖에서 실행하지 말고, 건네받은 파일과 코드에 추가 악성코드를 내려받는 명령이 들어 있지 않은지 살펴야 한다.
