북한의 채용 면접 사기는 양방향으로 작동한다

공격자들이 Rust 프로젝트 구성원과 널리 사용되는 크레이트(Rust 코드 라이브러리) 관리자들을 표적으로 삼아, 매력적인 기회를 미끼로 그들의 기기와 계정을 침해하고 궁극적으로 악성코드를 배포하려 하고 있습니다.

이 경고는 지난 주 Rust 프로젝트의 crates.io 팀과 보안 대응 워킹그룹에서 발표한 것으로, 반복되는 패턴을 설명합니다. 표적은 취업, 계약, 또는 협업 기회로 포장된 화상 통화에 초대된 뒤, 무언가를 설치하거나 공격자가 제공한 명령어를 실행하도록 유도됩니다.

Rust Foundation의 소프트웨어 개발자 Adam Harvey는 "이 공격자들은 표면적인 확인을 통과하기 위해 그럴듯한 LinkedIn 프로필을 포함한 신뢰할 만해 보이는 새 회사 프로필을 구축하고 있습니다"라고 설명했습니다.

Rust 개발자들은 지난 6월에도 유사한 공격 물결에 피해를 입었으며, 지난달에는 arrayref 크레이트가 동일한 방식의 공격으로 잠시 침해되었습니다. 다만 이번 최신 공격이 동일한 캠페인의 일부인지는 아직 확인하기 어렵습니다.

Contagious Interview(일명 WaterPlum) 소개

Rust 개발자만이 이 방식의 표적이 되는 것은 아닙니다. 다른 소프트웨어 개발자, 패키지 관리자, 웹 개발자, IT 전문가, 그리고 일반 구직자들도 위험에 처해 있습니다.

이 수법은 북한 국가지원 공격자들에게 인기 있는 방식입니다. 이른바 Contagious Interview(일명 WaterPlum) 위협 그룹은 암호화폐, 각종 계정의 자격증명, 지식재산, 특정 조직 침투 경로 등을 노립니다.

이 공격은 수년간 지속되어 왔으며, Rust의 경고 발표 바로 다음 날 국제 당국은 이 위협 그룹이 2025년 12월부터 2026년 7월 사이에 100개국 이상에서 3만 대 이상의 기기를 감염시키고, 7,000개 이상의 암호화폐 지갑에서 자금 또는 계정 자격증명을 탈취했다고 밝혔습니다.

당국은 또한 Contagious Interview의 해커들과 북한 IT 노동자 운영 조직이 인프라와 인력을 공유하고 있음을 확인했습니다.

최초 접촉부터 침해까지

Contagious Interview 공격자들은 개인을 표적으로 삼으며, 주로 AI·블록체인·NFT 관련 기업의 채용 담당자로 위장합니다.

이들의 일반적인 수법은 다음과 같습니다:

• LinkedIn, 소셜 미디어, 또는 온라인 취업 플랫폼을 통해 표적에게 접근합니다.
• 온라인 면접(보통 코딩 과제 포함) 또는 협업 가능성을 탐색하는 일반 통화에 참여하도록 표적을 설득합니다.
• 기술적 문제, 면접 요건 등 다양한 술책을 사용해 피해자가 악성 코드를 실행하거나, 악성코드를 설치하거나, 공격자에게 자격증명을 전달하도록 설계된 페이지에 계정 정보를 입력하도록 유도합니다.

일본, 미국, 호주, 독일 당국은 "탈취된 자격증명은 피해자의 고용주, 고객, 또는 계약 상대방으로부터 암호화폐 자산, 개인정보, 영업비밀 등을 빼내는 데 활용될 수 있습니다. 행위자들은 탈취한 민감 정보를 갈취(extortion)에도 사용할 수 있습니다"라고 경고했습니다.

탈취된 신분증은 북한의 IT 노동자 계획에도 활용되어, 제재를 받은 북한 정권으로 급여가 흘러들어가는 통로가 됩니다.

DPRK IT 노동자들은 도용된 신원을 사용해 원격 직무에 지원하며, 사칭 대상인 실제 LinkedIn 계정으로 채용에 응모하고, 취업 면접 중에는 대리인을 고용해 카메라 앞에 앉혀 답변을 불러주고 기기를 원격 조종합니다.

취업에 성공하면, 노트북 팜(laptop farm) 운영자들이 사칭 대상자와 동일한 국가에 있는 것처럼 위장을 유지하도록 돕습니다.

개발자가 할 수 있는 일

가장 효과적인 방어책은 최초 접촉의 조건을 스스로 통제하는 것입니다. Rust의 권고문은 관리자들이 출처 불명의 접근에 경계하고, 가능하면 상대방이 보낸 링크를 수락하는 대신 자신이 직접 통화를 설정하도록 권고합니다.

그 외에도 다음 사항을 권장합니다:

• 채용 담당자와 회사를 독립적으로, 그리고 심층적으로 확인합니다.
• 소프트웨어 설치나 명령어 실행 요청은 아무리 일상적으로 들려도("이 코덱 설치하세요", "설정 오류 수정하려면 그냥 실행하세요", "저장소 클론 후 빌드 실행하세요") 레드플래그로 간주합니다.
• 과제물이나 낯선 코드는 자격증명, 키, 또는 서명 자료가 있는 기기가 아닌, 일회용 가상 머신(VM)이나 샌드박스에서만 실행합니다.
• 정확히 무엇을 하는지 이해하지 못한 스크립트는 실행하지 않습니다.
• 출처 불명의 VSCode 프로젝트는 열지 않거나, 열 경우 "제한 모드(Restricted Mode)"로 엽니다.

Harvey는 또한 Rust 개발자들에게 계정에 다단계 인증(MFA)을 활성화하고, 최근 로그인 기록을 확인할 수 있는 플랫폼에서 최근 로그인 내역을 검토하도록 권고했습니다. 피해를 입은 개인은 도움을 받기 위해 Crates.io 팀이나 Rust 프로젝트 보안팀에 연락해야 합니다.

기업이 할 수 있는 일

조직은 두 가지 측면에서 위협에 직면합니다. 소속 개발자가 침해될 수 있고, 채용 파이프라인이 북한 IT 노동자를 내부로 들이는 통로로 악용될 수 있습니다.

국제 당국의 권고문은 이 두 가지 위험 모두를 다룹니다.

기술적 측면에서는 악성 행동을 탐지하고 차단하기 위한 엔드포인트 탐지 및 대응(EDR, Endpoint Detection and Response) 도구 도입을 권장하며, 앞서 언급한 VS Code 및 신뢰할 수 없는 코드 관련 주의 사항을 기업 기기에도 적용할 것을 권고합니다.

채용 측면에서, 권고문은 일본의 한 거래소가 의심 공작원을 발견하고 채용을 거부한 실제 사례에서 도출한 심사 조치들을 나열합니다:

• 평소 지원자가 적던 직무에 갑자기 지원이 폭주하면 의심합니다.
• 지원자의 IP 주소가 신고된 거주 지역과 일치하는지 확인합니다.
• 연락처를 검증하고 자격증명을 확인합니다.
• 면접에서 이력서에 적힌 기술을 심층적으로 설명하도록 요청하고, 고향, 지역 날씨, 취미 등 사칭자가 대답하기 어려운 질문을 합니다.
• 암호화폐로 급여 지급 요청, 또는 타인 명의 계좌로 급여 이체 요청을 경고 신호로 처리합니다.
• 대면 미팅 거부, 반복되는 음성·화상 끊김, 배경 잡음, 두 번째 화면을 자주 힐끗 보는 행동에 주의합니다. 운영자들이 AI 얼굴 변환을 사용하다가 연결 문제를 핑계로 몇 분 후 영상을 끄는 사례도 있습니다.

일단 내부에 침투한 경우, 권고문은 피해 최소화를 강조합니다. 소스 코드, 자격증명, 시스템 접근 권한을 필요 최소한으로 제한하고, 계약직이나 하도급 업체가 북한 IT 노동자일 가능성이 발견되면 즉시 계정과 세션을 취소하고 법 집행 기관에 신고해야 합니다(이들에게 고의로 급여를 지급하는 행위 자체가 제재 위반이 될 수 있으므로).

참고 자료:

북한 원격 근무자들, IT 분야를 넘어 구직 범위를 확대하고 있다 당신은 원격 IT 노동자를 얼마나 잘 알고 있습니까?