북한 해킹 조직 'WaterPlum(워터플럼)'이 주도하는 '전염성 인터뷰(Contagious Interview)' 캠페인이 100개국 이상에서 기기 3만 대를 감염시키고, 암호화폐 지갑 7,000여 개에서 총 1,071만 달러(약 140억 원) 상당의 암호화폐를 탈취한 것으로 드러났습니다. 공격자들은 구직자에게 채용 담당자인 척 접근해 가짜 코딩 과제를 수행하게 한 뒤, BeaverTail·InvisibleFerret 등 악성코드를 심어 시스템을 장악했습니다. 피해는 암호화폐·블록체인·Web3 분야 개발자와 엔지니어에 집중되었으며, 감염 이후 기업 내부망 침투와 지식재산 절취로 이어질 수 있습니다. 최근에는 Discord를 통해 미국·유럽·중남미 일반인을 '대리 면접인'으로 모집하는 새로운 수법도 확인됐습니다. 일본·미국·호주·독일 사이버보안 당국이 공동으로 경고를 발령했습니다.
북한 연계 위협 그룹 WaterPlum이 2022년부터 '전염성 인터뷰' 캠페인을 운영하며, LinkedIn 등 SNS에서 채용 담당자로 위장해 개발자·암호화폐 전문가에게 접근한 뒤 가짜 코딩 테스트로 악성코드를 배포했다. 100개국 이상 기기 3만 대 감염, 7,000여 암호화폐 지갑에서 1,071만 달러 탈취.
피해자의 자격증명·암호화폐 직접 탈취에 그치지 않고, 감염된 개발자가 재직 중인 기업의 내부망 침투·지식재산 절취·추가 횡이동까지 이어질 수 있다. 탈취된 신분증 이미지는 북한 IT 위장취업자의 신원 도용에도 활용된다.
구직자의 신뢰를 악용한 사회공학(소셜 엔지니어링) 공격. 채용 면접 과정에서 악성 코딩 과제를 수행하게 해 BeaverTail, InvisibleFerret 등 다단계 악성코드 체인을 실행시킨다.
일본·미국·호주·독일 사이버보안 기관이 공동 권고문 발령. 일본 내 노트북 팜(원격 기기 관리 거점) 한 곳이 적발·해체됐다.
채용 과정에서 외부 코드 실행·원격 데스크톱 허용 요청에는 각별히 주의해야 한다. 특히 암호화폐·블록체인·Web3 분야 재직자는 LinkedIn·Discord 등 SNS로 들어오는 채용 제안을 반드시 검증해야 하며, 기업은 개발자 엔드포인트 보안과 이상 행위 탐지를 강화할 필요가 있다.
본문
전염성 인터뷰(Contagious Interview) 캠페인을 주도하는 북한 위협 행위자들이 100개국 이상에서 최소 3만 대의 기기를 감염시키고, 7,000개 이상의 암호화폐 지갑에서 자금 또는 계정 자격증명을 탈취했다고 새로운 공동 사이버보안 권고문이 밝혔다.
이 캠페인의 주요 표적은 웹 디자이너, 엔지니어, 그리고 암호화폐·블록체인·Web3 기술 전문가 개인들이다. 위협 행위자들이 피해자로부터 탈취한 암호화폐는 최소 1,071만 달러에 달하는 것으로 추산된다.
이번 경고는 일본, 미국, 호주, 독일의 사이버보안 및 정보기관이 공동으로 발령했다. 해당 활동은 더 넓은 사이버보안 커뮤니티에서 CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, Gwisin Gang, PurpleBravo, Tenacious Pungsan, UNC5342, Void Dokkaebi, WaterPlum 등 여러 명칭으로 추적되고 있다.
이 사이버 위협 그룹은 "경계심이 낮은 구직자의 컴퓨터 네트워크에 침투해 민감한 정보를 수집하고 암호화폐를 탈취하는 방식으로 사이버 공격을 수행한다"고 권고문은 밝혔다.
WaterPlum과 일부 북한 IT 위장취업자(PurpleDelta 또는 Wagemole로도 알려짐)는 모두 313총국(군수공업부 산하)의 통제를 받는 것으로 의심되며, 이는 DTEX의 2025년 6월 평가를 뒷받침한다. 나아가 두 집단은 긴밀히 연계되어 있으며, 일부 경우 노트북 팜에 접속하거나 일본 암호화폐 거래소에 지원할 때 동일한 IP 주소를 사용하는 것으로 확인됐다.
Contagious Interview는 Palo Alto Networks Unit 42가 최초로 공개한 장기 캠페인으로, 최소 2022년부터 진행 중이며 소프트웨어 개발자와 IT 전문가를 대상으로 LinkedIn 등 소셜 미디어에서 잠재적 고용주나 채용 담당자로 위장해 고액 취업 제안을 미끼로 접근한다.
초기 신뢰 관계가 형성되면 위협 행위자들은 표적에게 채용 과제나 코딩 테스트를 완료하도록 유도하는데, 이 과정에서 BeaverTail, InvisibleFerret, FlexibleFerret, GolangGhost, PylangGhost, OtterCookie, RATatouille, OtterCandy, StoatWaffle 등 다양한 악성코드 패밀리가 배포되는 다단계 감염 체인이 작동한다.
이렇게 확보한 백도어 접근권은 공격자가 원격 접근 트로이목마(RAT)를 추가 배포하여 지속적인 접근과 데이터 유출에 활용된다.
"일부 WaterPlum 행위자들은 고객사의 기업 웹 시스템에서 웹 시스템 설계 및 개발 업무를 수행하는 북한 IT 위장취업자로도 활동한다"고 관련 기관들은 밝혔으며, 일본의 한 조력자가 운영하던 노트북 팜이 적발·해체됐다고 덧붙였다.
또한 WaterPlum은 온라인 채팅 플랫폼을 통해 미국 및 일본 개발자들과 소통하면서, 일본·미국 및 기타 국가의 조력자들을 활용해 원격 기기 관리를 위한 노트북 팜을 구축·운영하는 것으로 관찰됐다.
"즉각적인 자격증명 탈취를 넘어, 감염에 성공하면 WaterPlum 행위자들은 표적이 된 개발자를 고용한 조직에 침투할 기회를 얻게 되어 기업 환경 내 스파이 활동, 지식재산 절취, 추가 횡이동이 가능해진다"고 기관들은 지적했다. "탈취된 신분증 이미지는 북한 IT 위장취업자들이 피해자를 사칭해 외화를 획득하는 데도 활용될 수 있다."
프록시 모집을 위한 IT 위장취업자 위협, Discord로 확산
북한의 공세적 사이버 역량을 보완하는 것은 악명 높은 IT 위장취업 계획으로, 가짜 신원을 이용해 서구 기업 등에 취업함으로써 체제를 위한 불법 수익을 창출하는 임무를 맡고 있다. 이 작전은 인공지능(AI)을 활용해 허구의 신원을 생성하고 전 세계적으로 활동을 확장하는 경향이 점점 심화되고 있다.
Sekoia는 북한 사이버 작전 개요에서 IT 위장취업 프로그램을 "1960~70년대 소련 극동 지역 벌목을 시작으로 러시아·중국·걸프·아프리카 전역의 건설·섬유·요식업으로 확대된 해외 북한 노동자 파견 관행"을 디지털 시대에 맞게 적용한 것으로 설명했다.
위협과 연계된 내부 인프라에 대한 2026년 7월 분석에 따르면, Kudelski Security는 주요 표적이 미국과 일본으로 나타났으며, 위협 행위자들이 Astrill VPN, Mullvad 등 VPN 서비스를 이용해 해당 국가의 출구 노드를 확보하고 있다고 밝혔다.
지난주 공개된 Silent Push의 보고서에 따르면, "Mouse Review"라는 이름의 Discord 서버를 통해 북한 IT 위장취업자가 가짜 채용 사기를 유포하고 있음이 확인됐다. 이들은 제재·지역 차단·규정 준수 검사를 우회하기 위해 미국·유럽연합·중남미에 거주하는 개인들을 대리인으로 채용해 취업 면접에 참석하게 한다.
AI가 생성한 채용 광고에는 다음과 같이 적혀 있다: "당신의 역할은 단순하지만 매우 중요합니다. 당신은 소통과 면접을 담당하고, 저는 뒤에서 모든 기술적인 작업을 처리합니다. 당신은 소통 업무에 대해 꾸준히 보수를 받게 됩니다."
취업에 성공한 조력자는 3,000달러에서 5,000달러를 받을 수 있다고 광고는 이어서 밝히고 있다. "실시간 코딩 과제의 경우, 제가 원격으로 당신의 화면에 접속해 코딩 작업을 완료하는 동안 당신은 대화를 자연스럽게 이어가면 됩니다."
"북한 IT 위장취업자의 주된 목표는 대리 채용으로, 제재·KYC(신원확인) 통제·지역 채용 제한을 우회하기 위해 서구 또는 중남미(LATAM) 시민을 '얼굴'이자 법적 신원으로 활용하는 것"이라고 Silent Push는 밝혔다. "채용 광고 사기는 외국 시민이 금융 및 신원 대리인 역할을 하도록 유인하기 위해 수익 분배(프록시 35%, 북한 IT 위장취업자 65%)를 제안한다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
