북한 취업 사기, IT를 넘어 의료·영업 분야로 확대

민주주의 인민공화국(DPRK, 북한)과 연계된 위협 행위자들이 정보기술(IT) 분야를 넘어 다른 직군에서도 일자리를 노리고 있는 것으로 확인되었다. 최근 조사에서는 영업·마케팅 및 의료 전문직에 취업한 것으로 의심되는 사례들이 발견되었다.

이 지속적인 내부자 위협은 이른바 'IT 워커 스킴(IT worker scheme)'의 일환으로, 북한이 국내외의 숙련된 IT 인력 네트워크를 활용해 Fortune 500 기업과 전 세계 민간 기업에 사기로 취업한 뒤, 원격으로 수입을 올려 평양의 불법 핵무기·탄도미사일 프로그램 자금을 조달하는 수법이다.

이 과정에서 훔치거나 위조한 신분증, VPN, 프록시 서비스를 동원해 실제 신원과 위치를 숨긴다. 수년에 걸쳐 진행된 이 캠페인은 Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta(구 TAG-121), UNC5267, Wagemole 등의 별칭으로도 추적되고 있다.

Huntress는 분석 보고서에서 다음과 같이 밝혔다. "DPRK 워커들은 방어자들에게 독특한 탐지 난제를 안겨준다. 계정을 침해하거나 조직 환경의 취약점을 뚫고 침입하는 것이 아니라, 기업을 속여 원격으로 고용되는 방식을 택하며, 실제로 채용된 업무를 정상적으로 수행하는 경우도 많다."

2026년 2월에 발생한 한 사례에서는 호주 헬스케어 기업 직원 세 명이 중국인을 사칭한 북한 공작원으로 의심된다고 판단되었다. 이들이 Astrill VPN과 IPRoyal Proxy를 반복적으로 사용하고, 위조된 신분증을 제출하며, 직원 두 명의 여권 간 유사성이 발견되었고, 입사 온보딩 과정에서 거주지 증명으로 제출한 전자 청구서에 명백한 단어 오류가 나타났기 때문이다.

Huntress는 이렇게 덧붙였다. "여권과 거주 신분증이 위조일 가능성이 높지만, 해당 서류에 실제 정보나 사진이 포함되어 있을 가능성도 배제할 수 없다. 신원 정보나 사진이 도용되거나 빌려온 타인의 것일 수 있다."

두 번째 사례는 이달 익명의 금융 서비스 기업에서 발생했으며, 해당 기업의 기기에서 PiKVM이 발견되었다. PiKVM이나 TinyPilot 같은 KVM 스위치 사용은 이전부터 북한 IT 워커 스킴과 연관된 것으로 알려졌으며, 원격 위협 행위자들이 랩톱 팜(laptop farm)에 설치된 기기에 접속하는 수단으로 사용된다.

해당 '직원'은 제3자 파일 공유 서비스 SendGB에 접속해 정상적인 GitHub 프로필을 수정한 버전을 내려받은 것으로도 확인되었는데, 이는 사내 커뮤니케이션 도구의 프로필 사진으로 사용하기 위한 것으로 보인다.

PiKVM 설치 며칠 후, 같은 기기에는 Guermok USB 캡처 카드도 연결되었는데, 이는 "Zoom 등 화상회의 애플리케이션에서 웹캠 입력으로 전송할 수 있도록 영상을 스트리밍"하기 위한 목적이었다. Guermok 자체의 사용은 의심스럽지 않지만, PiKVM 설치와 Guermok USB 연결이 연달아 발생했다는 점이 의심 신호로 작용했다.

2026년 8월 Huntress가 조사한 세 번째 사례에서는, 13일 전에 온보딩을 마친 영업·마케팅 신입 직원이 기존 인물의 신원을 도용하거나 차용한 정황이 확인되었다. 해당 인물이 법 집행 기관에 체포된 후 이름·생년월일·위치와 함께 머그샷이 온라인에 공개되었고, 신입 직원은 그 개인정보를 활용하되 사진만 북한 공작원 본인의 얼굴로 교체한 것으로 드러났다.

Huntress는 다음과 같이 강조했다. "위조 직원에 대한 리스크 완화는 면접 단계에서 시작하여 온보딩 전 엄격한 신원 조회까지 이어져야 한다. 의심스러울 때는 일반적인 신원 조회, 온라인 검색, 경력 사항 검증 등을 통해 DPRK 워커를 채용 초기 단계에서 걸러낼 수 있다."

이는 고립된 사례가 아니다. Recorded Future의 Insikt Group은 2024년 말부터 2025년 초 사이 PurpleDelta와 연계된 한 클러스터가 1,100개 이상의 기업에 지원하는 것을 관찰했으며, 대상은 소프트웨어·기술, 인력 파견·컨설팅, 헬스케어·바이오테크 분야에 주로 집중되었다.

중국을 거점으로 한 것으로 추정되는 다수의 운영자로 구성된 이 위협 행위자들은 22개의 허구 페르소나를 유지한 것으로 의심되며, 일부는 AI로 합성 생성되었고 TrustID Card("trustidcard[.]com")라는 불법 신분증 생성 서비스에서 조달한 신분증을 사용했다.

PurpleDelta의 "높은 작전 속도"를 설명하며, 해당 위협 인텔리전스 기업은 위협 행위자들이 10개 채용 플랫폼에 걸쳐 하루 최소 60개 직책에 지원하고, 다중 계정 관리 브라우저와 별도의 Google Chrome 프로필을 사용해 각기 다른 페르소나를 관리하며, 광범위한 추적 스프레드시트로 여러 신원의 지원 현황을 조율했다고 밝혔다.

Recorded Future는 이렇게 덧붙였다. "면접 중에는 화면 녹화 소프트웨어와 함께 AI 전사(transcription) 및 챗봇 도구를 사용해 실시간 답변을 생성했으며, ChatGPT 응답을 그대로 반복하는 경우도 많았다. 취업 후에는 피해 조직 내부 회의를 녹화하고 Google 번역을 이용해 개인 기기와 은행 계좌를 업무에 사용하는 이유를 정당화하는 사전 작성 핑계를 만들었다."

또한 PurpleDelta 운영자들은 신원 중개 서비스, AnyDesk를 통한 계정 임대, 다중 계정 관리 도구 등을 활용하며, Telegram과 Slack으로 업무를 조율하고, 운영자를 대신해 기업 지급 하드웨어를 조달·관리하는 조력자들과 소통하는 것으로 파악되었다.

Recorded Future는 다음과 같이 설명했다. "PurpleDelta의 활동은 거의 확실하게 현재도 진행 중이며, 북한 IT 워커들이 높아진 인지도와 탐지 노력에 적응함에 따라 규모와 정교함이 계속 확대될 가능성이 매우 높다."

"AI 도구가 PurpleDelta의 수법에 점점 더 깊이 통합되면서 위험이 복합적으로 증가하고 있다. 맞춤형 ChatGPT 어시스턴트, 면접 중 실시간 AI 전사, AI 생성 프로필 사진의 사용은 그럴듯한 기만을 위한 진입 장벽을 낮추고, 운영자들이 완전히 이해하지 못하는 기술 직무에서도 신뢰할 수 있는 성과를 낼 수 있게 해준다."

이번 발견은 여러 관련 사태와 동시에 진행되고 있다.

• 미국 연방수사국(FBI)은 북한 IT 워커가 익명의 연방 정부 기관에 성공적으로 취업한 경위를 조사 중이다. 해당 원격 IT 직원은 직접 고용이 아닌 계약직으로 근무한 것으로 알려졌다.
• 운영자들은 서방에서 받은 급여를 미국에서 제재를 받은 Sobaeksu, Saenal, Songkwang 등 유령 회사와 중개자 네트워크를 통해 유통시키고 있다. DTEX에 따르면 이 스킴은 무기 제조 지원 및 러시아의 전쟁 지원 등 북한 정권의 목표를 위해서도 사용되고 있다. 2025년 12월부터 2026년 2월까지 제재 대상인 룡봉총공사(Ryongbong General Corporation)를 통해 흘러들어 간 금액은 총 약 197만 달러로 추산된다.
• 올해 5월, 미국인 Matthew Isaac Knoot와 Erick Ntekereze Prince는 북한 원격 IT 워커를 위한 랩톱 팜을 운영한 혐의로 각각 징역 18개월을 선고받았다. 두 건의 별개 스킴은 미국 기업 70여 곳에 피해를 입혔으며 합산 120만 달러의 불법 수익을 올렸다.
• 그 한 달 전에는 42세 Kejia Wang과 39세 Zhenxing Wang이 뉴저지 자택에서 유사한 랩톱 팜을 운영하고 IT 워커들이 100개 이상의 미국 기업에 원격으로 취업할 수 있도록 도운 혐의로 각각 징역 108개월과 92개월을 선고받았으며, 약 500만 달러를 벌어들이고 피해 기업들에 300만 달러 이상의 손실을 끼쳤다. 다른 남성 4명인 Oleksandr Didenko(29), Audricus Phagnasay(25), Jason Salazar(30), Alexander Paul Travis(35)도 2월과 3월에 선고를 받았다.
• Nisos의 일련의 보고서는 DPRK 공작원들이 암호화폐 기업을 표적으로 자산 절취를 목적으로 취업 사기를 활용하고 있음을 밝혔다. IT 워커 중 한 명은 인적 리스크 관리 기업에서 수석 AI 아키텍트 직책에 지원하다 적발되었으며, 이 과정에서 20대의 기기가 들어있는 랩톱 팜에 위치한 기기를 제어하는 데 PiKVM을 사용하고 있음이 의도치 않게 노출되었다.
• 4월에는 Microsoft가 Jasper Sleet 행위자들이 외부 채용 사이트를 통해 노출된 Workday Recruiting Web Service 엔드포인트에 접근해 공개 직책과 채용 절차에 관한 정보를 수집하는 것을 관찰했다고 공개했다. 채용 단계에서 적대 세력은 이메일과 Microsoft Teams, Zoom, Cisco Webex 등 합법적인 플랫폼을 통해 대상 조직의 채용 팀과 소통하는 것으로 알려졌다. 채용이 완료된 후에는 새로운 Workday 프로필을 생성하고 급여 정보를 업데이트하며, 이는 주로 조력자와 연결된다.

Group-IB는 다음과 같이 말했다. "합성 신원으로 활동하는 이들은 전 세계 각지 출신의 풍부한 경험을 가진 개발자로 자신을 포장해 수익성 높은 장기 원격 직책을 확보한다. 이것은 고전적인 악성코드 침투 체인이 아니다. 소셜 엔지니어링, 합성 신원 작전, 플랫폼 악용을 기반으로 구축된 노동력 기반의 접근 모델이다."

"즉각적인 데이터 유출 위험 외에도, 이러한 워커를 자신도 모르게 고용한 조직은 심각한 법적·컴플라이언스 리스크에 직면한다. DPRK IT 워커를 고용하거나 급여를 지급하는 행위는 UN, 미국, 영국의 금융 제재를 직접 위반하는 것일 수 있다."

이 위협의 지속성과 규모를 감안해, 지난달 말 약 10여 개국 정부가 공동 경보를 발령하며 모든 국가·기업 및 기타 기관들에 DPRK 워커 스킴의 범위를 파악하고 적절한 대응책을 강화할 것을 촉구했다.

"온라인 플랫폼을 운영하는 기업들은 신원 확인 절차 강화(신분증 엄격 검토, 대면 면접 의무화 등) 및 의심 계정 탐지(이상 정보 입력 시 알림 시스템 도입 등)와 같은 대응책을 지속적으로 강화해야 한다"고 미국, 일본, 한국, 호주, 캐나다, 프랑스, 독일, 이탈리아, 네덜란드, 뉴질랜드, 영국의 사이버보안 및 정보기관이 밝혔다.