북한 가짜 IT 인력 문제는 어디에나 존재함

(theregister.com)

1P by GN⁺ 12시간전 | ★ favorite | 댓글 1개

북한 출신의 가짜 IT 구직자 문제가 대부분의 대기업에서 널리 확인됨
이들의 침투 방식은 AI, 딥페이크, 위조 신원 등 다양하며, 심지어 내부 자료 절취 및 몸값 요구까지 이어짐
최근에는 미국뿐만 아니라 유럽 기업도 표적이 되고 있으며, 대부분 원격 근무 직무에서 발생함
기업들은 채용 프로세스 중 문서 확인, 대면 온보딩, 지표(IoC) 공유 등 다양한 방어 전략을 도입 중임
범죄 수법이 진화하고 조직 범죄로 확산되고 있어, 보안·채용팀 협력 및 교육, 인적 방화벽 강화가 필수임

개요와 현황

최근 북한계 가짜 IT 구직자 문제는 글로벌 대기업에서 보편적으로 발생 중임
Fortune 500 기업의 CISO 다수가 이 문제를 겪었음을 언급하며, Google, Snowflake 등의 보안 담당자 역시 내부 채용 과정에서 해당 사례를 확인함
미국 법무부는 최근 6년간 이들로 인한 피해액이 8,800만 달러에 달한다고 발표함
일부 경우 이들이 내부 시스템 접근을 통해 소스코드·기밀정보 탈취 및 몸값 요구로 이어지는 사례 보고됨
미국 기업의 경계 강화로, 현재는 유럽 시장 targeting도 급증 중임

채용 과정에서의 특징적 경향

Socure 등의 기업에서는 최근 수 천 건에 이르는 비정상 지원서가 몰려들고 있음
LinkedIn 프로필이 얕거나 연결 인원이 적은데 비해 경력이 화려하며, 전화번호·이메일·VPN 사용 등에서 부정합 현상 감지됨
화상면접 시 서구식 이름에 동아시아 외모, 억양 등 인구통계적으로 부조화 사례가 반복됨
지원자 답변이 ChatGPT 등 AI 도구의 응답과 유사함이 다수 감지됨
실제로도 친근하고 정상적인 인상이나, 심층 확인 시 다수 의심 정황 발견됨

보안·채용팀 협력의 필요성

채용 담당자 대부분은 사이버보안이나 신원관리 지식이 부족하며, HR-보안팀 간 소통 부재가 문제임
Netskope 등은 보안·HR·법무부서 간 회의, 현지 FBI 브리핑 등 다자 협력체계 마련 중임
원격 근무 환경에서는 PC 수령을 위한 오프라인 방문·주소 검증 등 실제 확인 과정이 중요하게 작동함
문서 검증 요구시 가짜 지원자가 중도 포기하는 현상도 반복 관찰됨

AI 및 정보 공유의 대응 방안

AI, 딥페이크 등 신기술을 악용하는 사례가 늘고 있으나, Snowflake 등에서는 IoC(침해지표) 데이터셋 구축 및 파트너와의 정보 공유를 활용함
IoC에는 이메일, 실제 주소, 전화번호 등 위조 가능성이 높은 정보가 포함됨
인적 방화벽(채용 담당자 교육) 전략으로 이력서 과장, 면접 답변 지체, 기술 혼동, 콜센터 환경 등 단서 탐지법을 주입함
궁극적으로 대면 인터뷰와 부득이한 이유로 대면이 불가하다는 변명은 강한 의심 사유로 간주함
기업, 파트너, 정부기관 간 협력으로 사전 스크리닝에서 의심 지원자의 진입 자체를 차단

조직화·범죄화의 확산 전망

범죄 조직은 수익성 있는 수법이 확인되면 신속히 모방 및 확산하는 경향임
북한 주도의 현상에 국한되지 않고, 타국·조직범죄까지 확대될 가능성 높음
모든 채용 프로세스에서 보안과 채용팀 협력 강화, 최신 사례 교육 필요성이 커지고 있음

▲

GN⁺ 12시간전 [-]

Hacker News 의견

대면 신원 확인 절차를 필수로 하면 이런 문제를 막을 수 있다고 생각함
LinkedIn의 연결 수가 25개밖에 안 되는 프로필로 진짜/가짜를 구분한다고 하는데, 사실 해킹된 LinkedIn 계정도 있음 동료의 계정이 해킹당했는데, 1,000명 이상의 실존 인맥이 있는 상태였음 사진과 이름이 동아시아스럽게 바뀌고, CV도 미국 국방 계약업체 경력으로 변경됨 운 좋게 자동 계정 잠금 기능 덕분에 걸렸지만, 이런 상태로 오래 방치되었을 가능성도 있었음 수천 명과 연결된 사람이라도 모든 인맥을 일일이 기억하지는 못하니까, 이름 변경 알림도 없고 이런 해킹된 프로필이 북한 IT 인력에게 팔려서 악용되는 게 충분히 가능함
- 나처럼 아예 LinkedIn 계정이 없는 사람도 많음 "직접 노트북을 받으러 와야 한다"는 오프라인 확인 아이디어가 훨씬 더 실효성 있다고 생각함
Jeff Geerling이 최근에 FBI로부터 연락받은 경험을 공유함, 내용은 북한 IT 위장 구직자들이 전략적으로 사용하는 미니 KVM 장비에 대한 것임 관련 영상
- 여기서 KVM 장치는 여러 대의 노트북에 연결해서, 사람들의 집 지하실이나 방 같은 곳에서 실제로 운영되고 있다고 들음 누군가 회사에서 제공한 노트북 1대당 한 달 기준 일정 금액을 받고, 그 노트북에 작은 KVM을 꽂아서 원격 근로자가 접속하도록 해줌 이 과정에서 추적이 훨씬 어려워짐
- 내가 잘 몰라서 그러는데 KVM이 정확히 뭘 하는 장치임? 그냥 Ethernet과 HDMI 포트가 있어서 원격 제어가 가능한 건가? 그리고 북한 사람들이 실제로 남의 집에 침입해서 이걸 끼우는 게 흔한 일처럼 이야기되는데 별로 상상이 안 감 FBI가 왜 Jeff Geerling한테 연락한 건지도 이해가 안 감 솔직히 난 KVM이 리눅스 커널 가상화란 의미로만 알았음
"미국 IT 회사들이 가짜 지원자를 잡아내기 더 잘하기 시작하면서, 이제는 유럽 기업이 새로운 타깃이 되고 있다"는 내용이 있었음 미국에서 근무한 모든 회사가 내 신원을 아주 철저하게 검증했음 거의 모든 회사가 백그라운드 체크를 기본으로 함 유럽 회사는 오히려 조금 느슨한 것 같음
- 미국 회사의 백그라운드 체크가 내 사생활까지 침해할 정도로 지나칠 때가 있음 예를 들어 채용 전에 신용도 조사, 카드·차·집의 잔여 대출, 월 상환액, 지난 7년간 연봉 모두 확인까지 요구함 이건 너무 심하다고 생각함 내 처지를 전부 아는 상황이라 연봉 협상 등에서도 불리함
- 실제로 기업에서 누군가에게 "네 신원을 빌려 쓰게 해 줄래?"라고 제안을 하는 사례도 보고됨 외형은 그 사람을 사용하되 실제 업무는 자신들이 처리함 월급을 나눠 갖는 구조임 당연히 엄청 위험하거나 불법적인 요소가 많지만, 그래도 쉽사리 돈을 벌고 싶은 사람들은 꽤 있음
- 많은 유럽 기업은 대부분 원격 근무 자체를 제공하지 않거나 아주 드물고, 만약 화상면접이나 전화면접을 해도 거의 항상 오프라인 면접을 요구함 그래서 최소한 해당 국가 안에 실제로 거주하고 있을 것을 기본으로 기대함 그리고 현지 언어 사용 능력을 요구하기도 해서, 북한 IT 인력이 이런 과정을 넘기는 게 훨씬 어려움
- 백그라운드 체크도 완벽하지 않음 이력서가 조작된 신분일 수도 있고, 미국인의 신원을 사서 쓰기도 함 I-9 신원 인증을 깰 수 있는 거의 유일한 방법임 백그라운드 체크 유형도 다양해서, 이전 근무지 확인처럼 번거로운 절차는 아예 생략하는 회사도 많음 추천인 체크도 의미가 없는데, 추천인 자체를 조작할 수 있기 때문임 결국 추천인에 대해서도 신원 검증이 필요함
- 그건 사기 유형 중 하나임 신입 미국 이민자라면 백그라운드 체크조차 무사 통과할 수 있음 흔한 수법 중 하나가 위조된 학위와 경력으로 계약직 프로그램 개발자로 취업해 일을 아시아로 밤사이에 외주 주는 경우임 ChatGPT 도움으로, 모니터 사진만 찍어도 바로 텍스트로 변환해 원격 작업이 더 쉬워짐 심지어 자기 업무 일부를 외부에 아웃소싱하는 개발자도 흔함, 이런 방식으로 여러 곳에 동시에 근무하는 사람들도 있음
이런 사기꾼들이 실제로 취업에 성공하면 그 다음 목적은 뭔지 궁금함 산업스파이처럼 첩보 정보만 수집하는 건지, 실제 맡은 업무도 하는 건지, 아니면 입사하자마자 최대한 자료나 돈을 빼돌리다 걸리면 도망가는 건지, IT 업무 능력 자체는 있는지 모든 게 궁금함
- 기사에서는 회사 데이터나 소스코드를 인질로 삼아 몸값을 요구하는 케이스도 언급됨 북한 소속이 아니더라도, 기본 전략이 최대한 여러 회사에서 월급만 받다가 걸리면 새 회사로 넘어가는 식임 평소에 한두 달밖에 못 버티는 회사도 있지만, 관리자가 관심이 적어서 특별한 문제 없이 몇 시간 일만 하고 여러 곳에서 월급을 받는 경우도 있음 이런 식으로 단기 수익만 뽑고, 팀 전체가 구조조정 당하면 다시 채용시장으로 가는 식임
어디서 본 트윗에 따르면, 지원자에게 김정은 비판을 시켜보면 북한 소속인지 걸러낼 수 있다고 함
- 이건 한두 번만 시도해도 금방 무력화될 방법임 만약 내가 스파이거나 비밀작전 중이라면, 조직 차원에서 어떤 말이든 다 하게 만들어 줄 것 같음
- 누가 나한테 김정은 비판해보라고 하면, 그냥 거기서 대화 끝임 난 내가 원할 때 자유롭게 비판함 그런 식이면 오히려 진짜 지원자가 걸러질 수도 있음
- 실제 이런 스크리닝이 많아지면 "아, 나는 들켰구나"라고 생각하거나 위험 부담이 커졌다고 보고 알아서 떨어져나가는 경향도 있을 것임 이메일 사기꾼들이 일부러 어설픈 문법을 쓰는 이유처럼, 애초에 어려운 지원자는 빨리 걸러내고 쉬운 케이스만 노리는 전략임
- 이런 질문은 신중하게 걸러야 함 인종이나 이민 신분과 관계없이 모든 지원자에게 똑같이 질문했다는 근거가 남아야 함 사실상 아시아인이 아니거나 네이티브 영미권 주민한테도 이런 질문을 해야 안전함, 왜냐하면 북한도 앞으로 이런 대행자나 외부인을 시켜서 지원시키는 방향으로 나아갈 수 있으니까
이런 사례가 계속 나오는 게 신기함 나야 평범하고 좋은 사람인데도 괜찮은 일자리 찾기가 힘듦 그런데 이런 가짜 지원자들은 줄줄이 채용된다는 게 이해가 안 감 도대체 기업들은 뭘 하고 있는 건지 궁금함
- 이런 사람들은 지원서부터 거짓말임 신분도 훔치고, 경력도 조작하고, 추천인도 가짜고, LinkedIn도 해킹함 사기와 인터뷰에 특화된 전문가임 취업 자체가 생계인 사람들이 조직적으로 움직이니까 어떤 식으로든 구직에 성공함 그리고 일자리 퀄리티는 신경도 안 씀 일단 가능한 데서는 최대한 오래 버팀 많은 회사에서는 이게 몇 년씩 걸릴 수도 있음
입사 첫 주를 아예 오프라인 근무로 강제하면 어떨까? 온보딩 명목으로 쉽게 포장도 가능하고, 그럼 이런 문제 해결된다고 봄
- 모든 회사에 사무실이 있는 건 아님 내가 다닌 전 직장은 입사 6개월이 지난 뒤에야 사무실이 생겼고, 국가 내 반수 이상이 사무실까지 3~4시간은 걸려야 하는 거리였음 실제로 팀원 중 일부만 오프라인에서 만나봄, 나머지는 전 세계 3개 대륙에 흩어져 있음
- 코로나 이후로 완전 원격 근무, 완전 원격 채용이 보편화됐기 때문에 현실적으로 오프라인 온보딩이 빠르게 사라졌음 하지만 이제 이런 문제 인식이 커지면서 오프라인 면접과 출근이 다시 표준이 될 가능성이 높아짐
- 가능함 모든 사람이 좋은 패스워드 쓰면 보안에 좋다는 것과 비슷함 현실적으로 많은 회사는 아직 그렇게 하고 있지 않음 또 하나의 이유는 1주차 오프라인을 강제하면 인재 풀이 줄어듦 심지어 요즘은 강제출근, 100시간 근무 하자는 분위기지만 그래도 단점은 있음
- 내가 다닌 직장에서는 3개월간 무조건 오프라인 출근해야 했음 오피스라고 해봐야 작은 원룸 수준이었지만, 목표 달성엔 충분했음
- 1주차 오프라인 근무를 강제하면 보다 개선될 거라고 생각함 물론 그럼에도 변명을 구구절절 대거나, 특정 음식만 DoorDash로 시켜먹겠다 등 핑계 많을 거임
동료 한 명쯤은 차라리 이런 사람이었으면 나았겠다는 생각 듦
뭔가 이상함 개발자들은 몇백 군데 지원해도 겨우 인터뷰 한 번 받을까 말까인데, 막상 영어도 서툰 북한 IT 인력은 일자리를 계속 잡고 있음 LinkedIn에서도 이제는 최고지도자 찬양이라도 해야 할 판임
- 사기는 정말 잘 하는 사람이 해야 성공함 완전 전문적으로 거짓말하고, 지원자 파이프라인 찾기, 합격시켜주는 팀, 인터뷰 대응 등 여러 역할이 나뉘어 있음 자동화도 많이 써서 효율도 대폭 높임 개인 개발자는 지원 포인트, 이력서, 인터뷰 등 수십 번 걸러지기만 하고 거짓말은 안 하려 하니 성공 확률이 적음 하지만 이런 사기조직은 하루 종일 오로지 이 일만 하니까 점점 더 잘하게 됨 실제 개발자는 취업 성공하면 더 이상 구직 안 하지만, 사기꾼은 계속 구직 기술을 갈고닦음
- 이들은 현실의 제약을 신경쓰지 않음 이력서에는 하버드 출신, Meta 재직 경험, 등 온갖 경력 다 붙임 그리고 채용담당자는 이런 이력이 눈에 띄어서 내 이력서보다 위에 올려버림
- 나도 이상한 이메일 주소에서 "내가 일자리 따줄 테니, 인터뷰만 니가 하고 나머진 다 해줄게. 가짜 이름과 거액의 돈 보장"이라는 메일을 여러 번 받아 봄 이 정도면 내 이력서가 워낙 좋아서 이런 타입 사기에 노출되기 좋은 거라고 판단됨 근데 이런 방식은 너무 대충 만들어진 사기임 엔지니어 99%는 이런 메일 신경도 안 쓰거나 바로 무시함
- 사실 이런 사람들이 실제로 일자리를 타기보다는, 그냥 인터뷰까지는 통과하는 수준임
- 아마 이런 사람들은 정체성을 여러 개 활용하는 것 같음

답변달기