- 암호화폐 거래소 Kraken은 최근 북한 해커의 구직을 통한 침투 시도를 사전에 탐지하고 분석함
- 지원자는 다중 신원 사용, VPN과 원격 데스크탑 조합, 도용된 신분증을 이용하여 침입을 시도
- 보안팀은 그를 채용 과정에 일부러 참여시켜 탐지 및 정보 수집 작업을 진행
- 이메일, GitHub 계정, OSINT 분석 등을 통해 북한 해킹 그룹과의 연관성을 입증
- 이 사건은 생체 인증·실시간 검증의 중요성과 함께, 조직 전반의 보안 감수성 필요성을 강조
사건 개요
- Kraken의 보안 및 IT 팀은 일상적으로 다양한 공격 시도를 차단하고 있음
- 최근 채용 절차를 이용한 북한 해커의 침입 시도를 탐지하고 대응함
- 해당 지원자는 엔지니어 직무에 지원했고, 단순 채용 절차가 정보 수집 작전으로 전환됨
- 북한 해커는 2024년에 암호화폐 회사에서 6억 5천만 달러 이상을 훔친 것으로 추정됨
의심 정황
- 이름이 이력서와 다른 이름으로 온라인 면접 입장 후 중간에 변경됨
- 면접 도중 목소리가 바뀌는 등 실시간 코칭 가능성 식별
- 북한 해커들이 암호화폐 회사에 적극적으로 지원하고 있다는 정보를 받았고, 사전에 입수한 북한 해커 이메일 리스트 중 하나와 동일한 주소로 Kraken에 지원함
내부 조사와 발견
- Red Team이 OSINT 분석을 통해 공격자의 이메일 및 활동 이력 조사
- 데이터 유출 기록을 분석해 다수의 가짜 신원과 관련된 이메일을 확인함
- 다수의 가짜 신원이 다른 회사에도 채용되었으며, 일부는 제재 대상 외국 요원임
기술적 비정상 징후
- 후보자는 VPN과 원격 Mac 데스크탑을 조합해 위치를 은폐
- GitHub 계정에 연결된 이메일은 과거 유출된 데이터와 일치
- 제출한 신분증은 2년 전 도용된 정보 기반으로 변조된 것으로 의심
조직의 대응 방식
- 지원자를 탈락시키지 않고 일부러 채용 절차에 계속 참여시킴
- 보안 테스트, 기술 과제, 검증 요청을 통해 전술 파악에 주력함
- 최종 면접은 Kraken 보안 최고 책임자(CSO)와 진행되었으며, 실시간 검증 질문 삽입
실시간 검증 질문 예시
- 현재 위치 인증 요청
- 정부 발급 신분증 실물 확인 요청
- 거주 도시의 식당 추천 요구 등 즉흥적 질문을 실시간 삽입
- 결과적으로, 지원자는 검증을 통과하지 못함함
CSO 닉 퍼코코의 발언
- “신뢰하지 말고, 검증하라”는 원칙은 오늘날 더욱 중요해졌음
- 가치 있는 무언가를 다루는 모든 사람과 기업은 공격 대상이 될 수 있음
- 조직 차원의 보안 감수성과 사전 대응 전략이 핵심임
핵심 교훈
- 공격자는 정문으로 들어오려 한다: 기술적 침입 외에도 사회적 접근이 존재함
- 실시간 검증이 강력한 무기: 생성형 AI를 통해 속일 수 있어도 진짜 검증은 못 넘김
- 보안은 IT만의 문제가 아님: 채용팀 포함 조직 전체가 보안 감각을 가져야 함
의심스러운 지원서를 받을 때 기억하라: 가장 큰 위협은 기회로 가장해 온다