한국 포함 11개국 공동경보...북한 위장취업, IT 넘어 의료·영업까지 확산

북한 연계 위장취업 의심 인력이 신원 확인 과정에서 제출한 전기요금 청구서. 서로 다른 청구서에서 부자연스러운 문구와 동일한 표현이 확인돼 위조 의심 정황으로 지목됐다. 이미지=헌트리스(Huntress)

북한 연계 인력의 해외 기업 위장취업 활동이 기존 IT 분야를 넘어 의료와 영업·마케팅, 금융서비스 분야까지 확대된 사례가 확인됐다. 가짜 또는 도용된 신분증을 이용해 정상적인 구직자로 위장하고, 가상사설망(VPN)과 프록시 서버를 통해 실제 접속 위치를 숨기는 방식이 사용됐다.

최근 조사에서는 생성형 AI를 이용해 이력서와 프로필 사진을 만들고, 온라인 면접 과정에서 실시간 답변을 생성하는 사례까지 확인됐다. 해외 기업에 취업한 뒤에는 회사가 지급한 장비를 원격으로 조작하거나 내부 회의를 녹화하는 정황도 발견됐다.

기존 사이버공격처럼 외부에서 시스템을 침입하는 방식과는 성격이 다르다. 정상적인 채용 절차를 통과한 뒤 직원 계정을 받아 기업 내부로 들어가는 방식이다. 채용과 인사 관리가 새로운 보안 경계가 되고 있다는 지적이 나오는 이유다.

의료회사 직원 3명, 북한 인력 의심

보안기업 헌트리스(Huntress)는 8월 공개한 조사 결과에서 올해 여러 기업에서 북한 연계 원격근무자로 의심되는 인력을 확인했다고 밝혔다.

대표적인 사례는 지난 2월 호주의 한 의료기업에서 발생했다. 이 회사에서 근무하던 직원 3명이 중국인으로 신분을 위장한 북한 인력일 가능성이 제기됐다.

조사 과정에서는 이들이 아스트릴(Astrill) VPN과 아이피로열(IPRoyal) 프록시를 반복적으로 사용한 사실이 확인됐다. 제출한 여권과 신분증에서도 위조가 의심되는 흔적이 발견됐다.

직원들이 거주지 확인 자료로 제출한 전자요금 청구서에서는 일반적인 문서에서 보기 어려운 단어와 표현도 확인됐다. 서로 다른 직원이 제출한 여권 사이에서도 유사한 부분이 발견됐다.

헌트리스는 신분증에 사용된 이름이나 사진 자체가 제3자로부터 도용됐을 가능성도 배제하지 않았다. 완전히 새로 만든 신분이 아니라 실제 존재하는 사람의 개인정보를 가져와 얼굴이나 일부 내용을 변경했을 수 있다는 설명이다.

금융회사 PC에서 원격제어 장비 발견

8월에는 한 금융서비스 기업에서 근무하던 직원의 컴퓨터에서 파이KVM(Pi-KVM)이 발견됐다.

파이KVM은 인터넷을 통해 컴퓨터의 화면과 키보드, 마우스를 원격으로 제어할 수 있는 장비다. 운영체제가 실행되기 전 단계부터 컴퓨터를 조작할 수 있다는 특징이 있다.

이 장비는 북한 원격 IT 인력들이 해외에 설치된 회사 노트북을 원격으로 조작하는 이른바 '노트북팜(laptop farm)' 방식에서 여러 차례 확인된 바 있다.

해당 컴퓨터에서는 7월 31일 파이KVM이 처음 연결된 기록이 확인됐다. 직원은 이후 자신의 외부 IP 주소를 확인한 뒤 줌(Zoom) 회의에 접속했다.

며칠 뒤에는 거목(Geekmoo) USB 영상 캡처 장비도 연결됐다. 이 장비를 사용하면 다른 영상 신호를 웹캠 영상처럼 온라인 회의 프로그램에 전달할 수 있다.

거목 USB 자체가 악성 장비는 아니다. 그러나 파이KVM과 연이어 연결됐다는 점이 조사 과정에서 주목됐다.

직원은 센드GB(SendGB) 파일공유 서비스를 통해 이미지 파일을 내려받기도 했다. 조사 결과 해당 사진은 정상적인 깃허브(GitHub) 사용자 사진을 가져와 얼굴을 변경한 것으로 분석됐다.

회사 측은 조사 이후 해당 직원이 화상회의에서 주변 공간을 보여달라는 요구를 거부했고 카메라 출연에도 소극적이었다고 확인했다.

영업·마케팅 직군도 위장취업

별도의 조사에서는 입사한 지 13일밖에 되지 않은 영업·마케팅 직원이 다른 사람의 신분을 이용해 취업한 것으로 의심되는 사례도 발견됐다.

신원 확인에 사용된 이름과 생년월일, 거주지역 등은 실제 존재하는 사람의 정보와 일치했다. 그러나 사진은 해당 직원의 얼굴로 바뀌어 있었다.

보안업계가 북한 위장취업을 IT 개발자만의 문제로 봐서는 안 된다고 지적하는 이유다.

실제 2026년 헌트리스가 조사한 의심 인력은 IT뿐 아니라 의료와 영업·마케팅 분야에서도 확인됐다.

1,100개 기업에 취업 시도…하루 60개 지원

위장취업의 규모도 커지고 있다. 레코디드 퓨처 인식트 그룹(Recorded Future Insikt Group)은 북한 IT 인력 활동을 추적하는 과정에서 '퍼플델타(PurpleDelta)'로 분류한 조직이 2024년 말부터 2025년 초 사이 1,100개가 넘는 기업에 입사를 시도한 사실을 확인했다.

지원 대상 기업 가운데 약 41%는 소프트웨어와 IT 서비스 기업이었다. 인력·컨설팅 분야가 약 26%, 의료·바이오 분야가 약 10%를 차지했다. 금융과 보험, AI·데이터·보안 분야도 포함됐다.

조사된 기업의 약 80%는 북미 지역에 있었지만 취업 시도는 전 세계에서 확인됐다.

퍼플델타 운영자들은 최소 22개의 가짜 신원을 관리했다. 일부는 하루에 60개 이상의 채용 공고에 지원했다.

동일한 채용 공고에 서로 다른 신분으로 여러 차례 지원한 사례도 있었다. 이들은 각 신분별 지원 현황을 구글 시트(Google Sheets)에 기록하고 별도의 구글 크롬(Google Chrome) 프로필과 캘린더를 이용해 관리했다.

AI로 프로필 만들고 면접 답변까지 준비

생성형 AI도 위장취업 과정에 적극적으로 사용됐다.

레코디드 퓨처 조사에서는 AI로 만든 프로필 사진과 별도로 설정된 챗GPT(ChatGPT) 도구가 확인됐다.

온라인 면접을 진행할 때는 화면 녹화 프로그램과 AI 음성·문자 변환 도구, 챗봇을 함께 사용했다. 질문이 나오면 AI가 만든 답변을 실시간으로 확인한 뒤 그대로 말하는 방식도 사용됐다.

취업에 성공한 뒤에는 회사 내부 회의를 녹화했다. 개인 컴퓨터나 개인 은행계좌를 사용해야 하는 이유를 설명하기 위해 구글 번역(Google Translate)으로 미리 답변을 만들어 놓은 사례도 확인됐다.

마이크로소프트(Microsoft)도 지난 3월과 4월 북한 연계 원격 IT 인력인 재스퍼 슬리트(Jasper Sleet)의 활동을 분석하면서 AI가 가짜 신원을 만드는 단계부터 채용공고 분석, 이력서 작성, 면접 대응, 취업 후 업무 수행까지 폭넓게 사용되고 있다고 밝혔다.

마이크로소프트 조사에서는 AI를 이용해 특정 국가에 맞는 이름과 이메일 형식을 만들고, 채용공고에서 요구하는 기술과 자격조건을 분석해 가짜 경력에 반영하는 방식이 확인됐다.

사진 편집과 얼굴 교체 기술로 도용된 신분증의 사진을 변경하거나 온라인 면접에서 억양을 숨기기 위해 음성변조 프로그램을 사용한 사례도 확인됐다.

채용사이트 직접 분석해 일자리 찾았다

북한 연계 인력은 단순히 공개 채용공고만 검색한 것도 아니었다.

마이크로소프트가 4월 21일 공개한 조사에서는 재스퍼 슬리트가 기업이 사용하는 인사관리 서비스 워크데이(Workday)의 외부 채용 시스템을 살펴본 정황이 확인됐다.

외부에 공개된 워크데이 리크루팅(Workday Recruiting) 웹 서비스를 통해 채용공고와 지원 절차, 지원서 관련 정보를 확인했다.

이후 일반 구직자처럼 이메일과 마이크로소프트 팀즈(Microsoft Teams), 줌(Zoom), 시스코 웹엑스(Cisco Webex)를 이용해 채용 담당자와 연락하고 면접을 진행했다.

채용에 성공하면 정상적인 직원 계정을 발급받았다. 워크데이 계정을 만들고 급여 지급 계좌까지 등록했다.

문제는 이 단계부터다. 정상 직원으로 등록됐기 때문에 마이크로소프트 팀즈와 셰어포인트(SharePoint), 원드라이브(OneDrive), 익스체인지 온라인(Exchange Online) 등 기업 내부 서비스에 접근할 수 있게 된다.

미국 정부기관까지 취업 사례 조사

민간기업뿐 아니라 미국 연방정부와 관련된 사례도 확인됐다.

미 FBI 관계자는 7월 28일 미국 워싱턴에서 열린 행사에서 북한 원격 IT 인력이 미국 연방정부를 위해 일한 사례를 최근 확인해 조사하고 있다고 밝혔다.

해당 인력이 어느 기관에서 근무했는지는 공개되지 않았다.

정규 연방공무원보다는 외부 계약업체 소속으로 정부 업무에 참여했을 가능성이 제기됐다. 민감정보에 접근했는지 여부도 현재 공개되지 않았다.

'노트북팜' 운영자들 잇따라 실형

미국 사법당국은 북한 IT 인력의 원격근무를 지원한 현지 조력자도 계속 단속하고 있다.

미 법무부는 5월 6일 매슈 아이작 누트(Matthew Isaac Knoot)와 에릭 은테케레제 프린스(Eric Ntekereze Prince)에게 각각 징역 18개월이 선고됐다고 밝혔다.

이들은 미국 기업이 원격근무 직원에게 지급한 노트북을 자신의 집에서 대신 받은 뒤 북한 인력이 원격으로 접속할 수 있도록 지원한 혐의를 받았다.

누트는 미국 테네시주 내슈빌에 노트북을 보관하고 원격접속 프로그램을 설치해 중국에 있던 북한 인력이 미국에서 근무하는 것처럼 보이도록 했다.

4월 15일에는 비슷한 방식으로 노트북팜을 운영한 케지아 왕(Kezia Wang)과 전싱 왕(Zhenxing Wang)에게 각각 징역 108개월과 92개월이 선고됐다.

이들이 연루된 조직은 미국인 최소 80명의 신분을 도용해 100개 이상의 미국 기업에 취업했으며 약 500만 달러의 수익을 만든 것으로 조사됐다.

한국 포함 11개국 공동경보

한국과 미국, 일본 등 11개국 정부는 7월 31일 북한 IT 인력 위장취업에 대한 공동경보를 발표했다.

경보에는 한국과 미국, 일본을 비롯해 호주, 캐나다, 프랑스, 독일, 이탈리아, 네덜란드, 뉴질랜드, 영국이 참여했다.

각국 정부는 북한이 국내외에 배치한 IT 인력을 통해 가짜 신분으로 해외 기업에 취업하고, 여기서 받은 급여를 핵무기와 탄도미사일 프로그램 등에 사용하고 있다고 밝혔다.

기업에는 신분증 확인을 강화하고 필요하면 대면 면접을 실시할 것을 권고했다.

채용 과정에서 신분증 사진과 화상회의 참가자의 얼굴이 일치하지 않는 경우, 카메라 사용을 거부하는 경우, 짧은 시간에 여러 국가의 IP 주소에서 접속하는 경우도 확인이 필요하다고 설명했다.

AI를 이용해 자연스러운 외국어 문장과 프로필을 만들 수 있기 때문에 문법이나 억양만으로 지원자의 신원을 판단해서는 안 된다는 점도 강조됐다.

채용 단계부터 보안 점검 필요

북한 원격근무자 문제는 기존 사이버공격과 다른 대응이 필요하다.

공격자가 보안 취약점을 이용해 회사에 침입하는 것이 아니라 정상적인 채용 절차를 통과해 직원 자격으로 들어오기 때문이다.

채용팀과 인사팀, 보안팀이 따로 움직일 경우 이상 징후를 놓칠 가능성이 커진다.

신분증과 실제 얼굴을 함께 확인하고, 지원자의 과거 근무 이력과 온라인 활동을 검증해야 한다. 회사가 지급한 장비에서 예상하지 못한 원격제어 장비가 연결되는지도 확인할 필요가 있다.

신규 직원 계정에서 VPN이나 프록시 사용이 반복되거나 짧은 시간에 서로 다른 국가에서 로그인이 발생하는 경우도 점검 대상이다.

기업 입장에서는 단순한 채용 사기가 아니다. 위장취업에 성공한 인력은 정상 직원과 같은 권한으로 소스코드와 내부 문서, 클라우드 서비스, 고객정보에 접근할 수 있다.

북한 연계 인력을 고용하거나 급여를 지급한 사실이 확인되면 국가별 대북 제재 위반 문제로 이어질 수도 있다.

사이버보안의 출발점이 방화벽이나 계정 보안에만 머물 수 없는 이유다. 원격채용이 일반화된 환경에서는 지원자의 신원을 확인하는 채용 절차 자체가 기업 보안의 일부가 됐다.