북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 미끼로 전 세계 개발자들을 속여 악성코드를 심는 공격을 벌였습니다. 2025년 12월부터 2026년 7월까지 약 8개월간 100개국 이상에서 최소 3만 대의 PC가 감염됐으며, 암호화폐 7천 개 이상의 지갑에서 약 1,071만 달러 상당의 자산이 탈취됐습니다. 공격자들은 악성 NPM 패키지나 코딩테스트용 프로젝트 파일로 악성코드를 심은 뒤 브라우저 비밀번호, 암호화폐 개인키, 신분증 이미지까지 빼냈습니다. 감염된 개발자의 PC가 회사 시스템에 연결돼 있을 경우 기업 내부망 침투로 이어질 수 있어 기업 보안 위협으로도 매우 심각합니다. 미국 FBI, 일본, 호주 등 5개국 당국이 공동 경보를 발령했으며, 출처 불명 코드는 반드시 가상머신(VM)에서 실행하도록 권고하고 있습니다.
북한 연계 해킹그룹 워터플럼이 가짜 채용면접·코딩테스트를 통해 개발자에게 악성 NPM 패키지와 VS Code 프로젝트를 배포, 2025년 12월~2026년 7월 사이 100개국 이상에서 최소 3만 대 PC를 감염시켰다.
암호화폐 지갑 7천여 개에서 약 1,071만 달러 탈취, 브라우저 계정·비밀번호·클립보드·암호화폐 개인키·신분증 이미지 유출, 피해 개발자가 재직 중인 기업 내부망 침투 위험.
구직자가 채용 절차에서 코드를 검증 없이 업무용 PC에서 직접 실행하는 관행을 악용, 악성 NPM 패키지 및 VS Code 자동실행 설정(.vscode/tasks.json)을 통해 초기 감염 후 RAT 및 정보탈취 악성코드 추가 배포.
미국 FBI·일본 경찰청·ACSC·독일 정보기관 등 5개국 공동 사이버보안 경보 발령(2026년 9월 18일), 샌드박스·VM에서 외부 코드 실행 검증 권고, VS Code 'Restricted Mode' 사용 및 tasks.json 파일 점검 권고.
채용·외주 과정에서 전달되는 GitHub 저장소·NPM 패키지·코딩테스트 파일을 업무용 PC에서 직접 실행하는 관행을 즉시 중단하고, GitHub PAT·SSH 키·클라우드 API 키 등 중요 자격증명을 개발자 PC에 집중 보관하지 않도록 권한 분리 및 EDR 모니터링을 적용해야 한다.
본문
북한과 연계된 해킹그룹 '워터플럼(WaterPlum)'이 가짜 채용면접과 코딩테스트를 이용해 전 세계 개발자들을 공격하고 최소 3만대의 PC를 감염시킨 것으로 나타났다.
미국 FBI와 일본 경찰청·국가사이버통괄실, 호주 사이버보안센터(ACSC), 독일 정보기관 등은 9월 18일 워터플럼에 대한 공동 사이버보안 경보를 발표했다. 워터플럼은 보안업계에서 '컨테이저스 인터뷰(Contagious Interview)'로도 알려진 북한 연계 공격그룹이다.
미·일 당국은 워터플럼 공격자와 일부 북한 IT 노동자가 북한 노동당 중앙위원회 군수공업부 산하 313총국 소속으로 활동하는 것으로 평가했다. 이들은 사이버공격과 해외 IT 취업을 결합해 정보와 암호화폐를 탈취하고 외화를 확보하는 활동을 벌여온 것으로 조사됐다.
8개월간 100여 개국 최소 3만대 감염
공동 경보에 따르면 워터플럼은 2025년 12월부터 2026년 7월까지 일본과 미국을 포함한 100개 이상 국가에서 최소 3만대의 PC를 감염시켰다.
주요 표적은 웹 개발자와 소프트웨어 엔지니어, 암호화폐·블록체인·웹3 분야 기술자였다. 공격자들은 7천개 이상의 암호화폐 지갑에서 자금이나 계정정보를 빼냈으며, 북한 측으로 이전된 암호화폐 규모는 최소 17억엔, 약 1,071만달러로 파악됐다.
"코딩테스트 해주세요"…채용 절차가 악성코드 유포경로
공격의 핵심은 개발자들에게 익숙한 채용 절차를 악용하는 것이다.
워터플럼은 AI와 암호화폐, NFT 관련 기업의 채용담당자를 사칭하거나 소셜미디어, 구직사이트, 프리랜서 플랫폼 등을 통해 개발자에게 접근했다.
이후 온라인 기술면접이나 코딩테스트를 진행한다며 프로젝트 파일을 내려받도록 하거나, 화상회의 프로그램에 문제가 발생했다며 문제 해결용 파일이나 명령어 실행을 요구했다.
특히 공격에는 악성 NPM(Node Package Manager, 자바스크립트 패키지 관리 도구) 패키지와 개발자 프로젝트가 활용됐다.
당국은 비버테일(BeaverTail), 인비저블페럿(InvisibleFerret), 오터쿠키(OtterCookie), 오터캔디(OtterCandy), 스토트와플(StoatWaffle) 등의 악성코드가 사용됐다고 밝혔다.
스토트와플의 경우 블록체인 관련 프로젝트로 위장한 VS Code 프로젝트 내부에 악성 설정파일을 넣어 사용자가 프로젝트를 신뢰하도록 설정하면 코드가 자동 실행되는 방식도 사용했다.
감염 이후에는 원격접속트로이목마(RAT, Remote Access Trojan)를 설치해 지속적으로 시스템에 접근하고 정보탈취 악성코드를 이용해 브라우저에 저장된 계정·비밀번호, 클립보드, 키 입력, 화면 캡처, 암호화폐 개인키와 시드 문구, 여권·운전면허증 이미지 등을 탈취했다.
단순 암호화폐 탈취 넘어 기업 내부 침투 가능
이번 공격은 개인 개발자의 암호화폐를 빼내는 데 그치지 않는다.
개발자의 PC가 기업 개발환경이나 Git 저장소, 클라우드 서비스에 연결돼 있을 경우 공격자는 탈취한 인증정보를 이용해 피해자가 근무하는 기업이나 고객사 시스템으로 공격 범위를 확대할 수 있다.
당국은 성공적인 감염이 기업 내부 침투와 지식재산 탈취, 추가적인 내부망 이동으로 이어질 가능성이 있다고 경고했다. 탈취된 신분증 이미지 역시 북한 IT 노동자의 신원 위장과 해외 취업에 악용될 수 있다고 설명했다.
북한 IT 노동자 활동과 연결 정황도 확인
워터플럼과 북한 해외 IT 노동자 조직 사이의 연계 정황도 확인됐다.
미·일 당국에 따르면 워터플럼 공격자와 북한 IT 노동자들이 해외에서 운영되는 '노트북 팜(Laptop Farm)'에 접속하거나 크라우드소싱 서비스를 이용하고 일본 암호화폐 거래소에 취업을 신청하는 과정에서 동일한 IP 주소를 사용한 사례가 발견됐다.
노트북 팜은 북한 IT 노동자가 실제 근무지와 다른 국가에 있는 것처럼 위장하기 위해 현지 협력자의 주거지 등에 노트북을 설치한 뒤 원격으로 접속하는 방식이다. 당국은 일본에서 이러한 노트북 팜을 적발해 해체한 사례도 이번 경보에서 공개했다.
개발자 채용·외주 과정도 '공급망 보안' 대상
이번 경보는 기업의 개발자 채용과 외주 업무 과정 자체가 새로운 공격표면이 되고 있다는 점을 보여준다.
공동 경보는 출처가 불분명한 코드를 업무용 PC에서 직접 실행하지 말고 반드시 샌드박스나 가상머신(VM)에서 검증할 것을 권고했다. 특히 출처가 확인되지 않은 VS Code 프로젝트는 'Restricted Mode'로 열고 .vscode/tasks.json 파일에 외부 파일 다운로드나 명령 실행 기능이 포함됐는지 확인해야 한다고 강조했다.
국내 기업도 개발자 채용과 프리랜서·외주 개발 과정에서 전달되는 GitHub 저장소, NPM 패키지, 코딩테스트 파일을 일반 업무용 개발환경에서 곧바로 실행하는 관행을 재점검할 필요가 있다.
특히 GitHub 개인접근토큰(PAT), SSH 키, 클라우드 API 키, 암호화폐 지갑 등 중요한 자격증명이 개발자 PC 한 대에 집중되지 않도록 권한을 분리하고, 개발환경에 대한 EDR(엔드포인트 탐지 및 대응) 모니터링과 최소권한 정책을 적용하는 것이 중요하다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
