발각될 때쯤이면 사기 채용자의 98%는 이미 회사 자격증명을 손에 쥔 상태

한 줄 요약

기업이 직원을 채용한 뒤 실제 입사까지 걸리는 약 90일의 공백 기간에 사기 채용(신분을 속기거나 AI로 만들어진 가짜 지원자)이 파고들고 있다는 조사 결과가 나왔습니다. 보안회사 HYPR의 보고서에 따르면, 사기 채용이 발각될 때쯤에는 이미 98%의 경우에서 회사 계정과 내부 시스템 접근 권한이 발급된 상태였습니다. 자동화된 보안 도구가 탐지하는 비율은 53%에 불과하고, 나머지는 직원 신고나 내부 감사 같은 수작업에 의존하고 있습니다. 특히 HR(인사)팀과 IT·보안팀 사이에 책임 공백 구간이 존재해 공격자가 이를 틈타 조직에 침투할 수 있습니다. 신원 확인 기술과 MFA(다중 인증) 등 보안 투자의 약 60%가 사고 발생 후에 이루어지는 사후 대응 방식이라는 점도 문제로 지적됩니다.

사건

가짜 신원이나 AI 생성 프로필로 원격 면접을 통과한 사기 채용자가 실제 회사 자격증명(계정·접근 권한)을 발급받아 내부 시스템에 침투하는 사례가 광범위하게 발생하고 있다. HYPR 보고서에 따르면 HR 담당자의 98%가 실제 후보자 사기를 경험했다.

영향

사기 채용이 탐지될 시점에 이미 98%는 회사 자격증명을 보유한 상태로, 기업은 정보 유출·내부 접근 권한 남용·컴플라이언스 위반에 노출된다. 해결까지 평균 1~3주가 소요되며 생산성 손실과 보안 사고 비용이 발생한다.

원인

채용 전(HR)과 입사 후(IT·보안) 사이에 신원 책임 공백 구간이 존재하고, 신원 확인 도구가 계정 생성·민감 거래 등 특정 이벤트에만 국한되어 연속적 검증이 이루어지지 않는다. AI 생성 지원자와 합성 신원의 등장으로 기존 수동 심사 방식이 무력화되고 있다.

대응

채용 플랫폼과 지원자 추적 시스템(ATS)에 신원 확인 기능이 통합되기 시작했으며, 기업들은 평균 2.52가지 대응 조치를 시행하고 있다. 다만 투자의 60%가 사고 후 반응적으로 이루어진다는 점이 한계다.

실무 포인트

HR·IT·보안팀 간 신원 책임 공백 구간을 명확히 정의하고, 채용~온보딩 전 과정에 걸친 연속적 신원 검증 체계를 구축해야 한다. 사고 전 선제적 투자와 자동화 탐지 비율 제고가 핵심 과제다.

본문

HYPR의 HR 신원 사기 탐지 현황(State of HR Identity Fraud Detection) 보고서에 따르면, 채용과 온보딩 사이의 90일 공백 기간이 기업 신원 보안의 사각지대를 만들고 있다.

HYPR CEO 보얀 시미치(Bojan Simic)는 "공격자들은 더 이상 네트워크를 뚫을 필요가 없다. 원격 면접을 통과하기만 하면 IT 부서로부터 진짜 자격증명을 직접 받을 수 있기 때문"이라며 "인간의 직관은 보안 통제 수단이 아니다. 보고된 수치가 낮다는 이유로 문제를 과소평가하는 시각도 있지만, 전용 검증 기술이 없다는 것은 업계가 단순히 문제를 보지 못하고 있다는 뜻이다. 조직 내에 숨어 있는 사기 직원은 현재 집계된 데이터보다 훨씬 많다"고 말했다.

사기 탐지 체계의 단절

HR 리더의 98%가 후보자 사기를 직접 경험했지만, 96%는 자기 조직이 이를 탐지할 수 있다고 믿는다. 사전 채용 단계의 탐지를 피한 사기 채용자는 식별되기 전에 회사 자격증명과 내부 네트워크 접근 권한을 발급받을 수 있다.

조직이 후보자 사기를 식별한 지점 (출처: HYPR)

스크리닝과 면접이 가장 흔한 탐지 지점이며, 온보딩·재직 중·기술 평가 단계에서도 발견된다. 기업들은 사기 사건당 평균 2.2개의 체크포인트에서 발견했는데, 이는 일관된 1차 장벽 없이 각 단계에서 단절된 방식으로 탐지가 이루어짐을 보여준다.

신원 확인 도구는 계정 생성, 민감 거래, 계정 복구 등 특정 이벤트에만 적용되는 경우가 많다. 이 체크 외 구간에서는 사기 채용자가 탐지되지 않을 수 있으며, 기업은 의심 행동 식별을 직원이나 수동 프로세스에 의존하게 된다.

채용 플랫폼과 지원자 추적 시스템(ATS)은 합성 에이전트와 AI 생성 후보자가 만연한 지원·스크리닝 단계를 겨냥해 신원 확인 및 사기 방지 기능을 워크플로에 통합하기 시작했다.

신원 기반 공격과 AI 기반 공격 전반에서 서드파티 보안 도구의 탐지율은 53%에 불과하다. 나머지는 직원 신고, 내부 감사, 외부 알림을 통한 수동 방식에 의존한다. 자동화 통제가 의무화된 경우에도 거의 절반의 위협은 수동 방식으로만 발견된다.

자신감 격차

신원 및 채용 기술을 담당하는 리더들은 자기 조직의 사기 탐지 능력에 덜 자신감을 보였다. 연구 대상 중 기술적으로 가장 잘 갖춰진 IT·통신 분야는 다른 어떤 그룹보다 수동 관찰에 더 의존했다.

교육 분야는 채용 사기에 대한 우려와 기존 방어 체계에 대한 자신감 사이의 격차가 가장 컸다. 제조·유틸리티 분야는 우려와 자신감 모두 높은 수준을 보였으며, HYPR은 이를 대면 채용 및 직접 신원 확인 관행 덕분으로 분석했다. 영업·미디어·마케팅 분야는 자신감이 우려를 웃돈 유일한 분야였으며, 의심 사기를 직원 신고에 크게 의존했다.