22개월 추적해 약 5TB 내부자료 확보…가짜 채용면접·외주 개발자·클라우드 권한 노린 ‘사람 중심 해킹’의 충격적 실체
전 세계 기업을 상대로 암호화폐와 기업 내부정보를 노려온 북한 연계 해킹세력의 활동이 예상보다 훨씬 광범위했다는 조사 결과가 공개됐다.
미국 사이버보안업체 쿠미오(Kumio)의 최고기술책임자(CTO)이자 그리스 기반 보안연구원 방겔리스 스티카스는 약 22개월 동안 북한 해커들이 사용하던 명령제어 서버와 관련 시스템을 추적해 약 5테라바이트(TB)에 달하는 자료를 분석했다.
그 결과 북한 해킹 작전의 영향을 받은 것으로 파악된 기업과 기관은 57개국 1,640곳에 달했다. 이 가운데 약 700~800곳은 서버 최고관리자 권한, 클라우드 인프라, 개발자 자격증명, 암호화폐 관련 접근권한 등이 노출될 정도로 심각한 침해 정황이 발견됐다는 것이 연구원의 설명이다.
하지만 이번 사건에서 정말 주목해야 할 것은 숫자만이 아니다.
북한의 사이버 공격 방식이 전통적인 ‘해커가 방화벽을 뚫는 공격’에서 벗어나 채용·외주개발·원격근무·클라우드·암호화폐라는 현대 기업의 업무구조 자체를 공격하는 형태로 진화했다는 점이다.
해커를 잡으러 들어갔더니 해커가 자기 악성코드에 감염돼 있었다
이번 사건이 더욱 이례적인 이유는 공격자들이 오히려 보안연구원에게 내부를 노출했다는 점이다.
스티카스는 북한 해커들이 사용하는 여러 명령제어 서버에 접근했고, 일부 공격자는 자신들이 배포하던 악성코드에 스스로 감염된 것으로 파악됐다.
그 결과 해커의 업무용 컴퓨터뿐 아니라 내부 커뮤니케이션과 공격 관련 자료까지 관찰할 수 있는 상황이 만들어졌다.
연구원은 공격자들이 사용하는 Slack과 Discord 등 협업채널과 여러 데이터베이스에서 장기간 자료를 수집했다고 밝혔다. 다만 공격 서버에 접근한 구체적인 기술적 방법은 추가 악용 가능성 때문에 공개하지 않았다.
세계적으로 고도화된 국가 지원 해킹조직으로 평가받는 북한 해커가 기본적인 ‘작전보안(OPSEC)’에서 허점을 드러냈다는 점은 흥미롭다.
그러나 이것을 북한 해킹 역량 자체가 낮다는 의미로 해석해서는 곤란하다.
오히려 이번 자료가 보여주는 것은 일부 공격자의 허술함과 별개로 공격망 자체는 대단히 넓고 반복적이며 산업화돼 있었다는 사실이다.
핵심 공격 수법은 ‘가짜 면접’…방화벽보다 사람을 먼저 뚫었다
북한 해커들이 가장 적극적으로 활용한 수법 가운데 하나는 이른바 ‘Contagious Interview’, 즉 ‘전염성 면접’ 방식이었다.
소프트웨어 개발자에게 높은 연봉의 일자리를 제안하고 온라인 면접이나 코딩 테스트를 진행한다.
지원자는 실제 기업의 채용절차라고 믿는다.
이후 코딩시험 또는 개발과제라는 명목으로 파일이나 프로그램을 내려받도록 유도한다.
그러나 해당 프로그램에는 악성코드가 숨어 있다.
개발자가 실행하는 순간 공격자는 개발자의 PC와 각종 개발환경에 접근할 수 있는 발판을 얻게 된다.
이 공격 방식이 위험한 이유는 개발자 PC에는 일반 직원과 비교할 수 없을 정도로 중요한 권한이 들어 있기 때문이다.
소스코드 저장소 접근권한, 클라우드 인증정보, API 키, 테스트 서버, 배포 시스템, 데이터베이스 계정 등이 한 개발자의 컴퓨터에 동시에 존재할 수 있다.
즉 공격자는 회사의 거대한 보안장비를 정면으로 뚫을 필요가 없다.
회사에 이미 정상적으로 들어갈 수 있는 열쇠를 가진 사람을 뚫으면 된다.
‘직원 한 명’이 아니라 ‘외주 개발자 한 명’이 더 위험할 수 있다
이번 조사에서 특히 심각하게 봐야 할 부분은 외부 계약직과 외주 개발자다.
일부 외부 개발자는 한 회사만 상대하지 않는다.
여러 고객사의 프로젝트를 동시에 담당하면서 복수의 기업 서버와 개발환경에 접근한다.
스티카스는 자신이 확인한 사례 가운데 한 외부 계약자가 최대 약 30개 기업의 시스템에 접근할 수 있었던 경우도 있었다고 설명했다.
이것은 현대 기업 보안의 치명적인 약점을 보여준다.
기업 A의 보안 수준이 아무리 뛰어나도 기업 A와 연결된 외주업체, 프리랜서 개발자 또는 협력업체의 컴퓨터가 감염되면 공격자는 정상 계정을 이용해 내부에 들어갈 가능성이 생긴다.
사이버보안에서 오래전부터 강조돼 온 ‘공급망 공격’이 이제 소프트웨어 부품뿐 아니라 ‘사람의 공급망’까지 확장된 것이다.
1,640개 기업이 모두 완전히 털렸다는 의미는 아니다
여기서 숫자를 정확하게 해석할 필요도 있다.
1,640개 기업·기관 모두에서 데이터가 대량 탈취됐거나 핵심 시스템 전체가 장악됐다는 뜻은 아니다.
연구원은 공격 흔적이나 접근권한 확보 등 북한 해킹 활동의 영향을 받은 조직을 폭넓게 집계했고, 그 가운데 약 700~800곳을 특히 심각한 침해 사례로 평가했다.
실제로 공개된 일부 기업들은 자체 조사 결과를 통해 피해 범위를 제한적으로 설명했다.
보스턴 어린이병원은 문제가 된 장비가 전직 외부 계약자의 개인 기기였으며 병원 시스템에 대한 무단접근 증거는 발견하지 못했다고 밝혔다.
Coinbase 역시 문제가 된 계약자를 조사했지만 고객 데이터나 민감한 정보가 유출됐다는 증거는 찾지 못했다고 설명했다. 반면 일본 측 대응기관은 관련 신고를 확인하고 피해기업과 복구조치를 진행했다고 밝혔다.
따라서 이번 사건의 의미는 “1,640곳이 모두 완전히 장악됐다”는 식의 단순한 숫자보다 북한 해킹세력이 얼마나 많은 기업의 주변부와 내부 접근경로까지 들어가 있었는지를 처음으로 대규모 데이터로 확인했다는 데 있다.
병원·정부기관·스마트폰 기업·암호화폐 회사까지 표적은 국경이 없었다
연구원이 공개한 사례에는 의료기관과 기술기업, 금융 관련 조직, 정부기관 등이 포함됐다.
보스턴 어린이병원, 일본 AEON Smart Technology, 중국 스마트폰 업체 Oppo, 암호화폐 분야의 Coinbase와 Uniswap Labs, 이탈리아 사법 관련 기관, 벨기에 플란데런 정부기관 등이 조사 과정에서 언급됐다. 다만 앞서 설명했듯 각 기관의 실제 피해 수준은 서로 다르며 일부 기관은 핵심 시스템 침해를 부인하거나 제한된 노출이라고 설명했다.
여기서 더욱 중요한 사실은 공격자들이 확보할 가능성이 있던 정보의 가치다.
의료기관은 개인 의료정보를, 정부기관은 행정·정책정보를, 기술기업은 소스코드와 제품정보를, 금융·암호화폐 업체는 실질적인 자산 접근권한을 가지고 있다.
그럼에도 연구원이 관찰한 공격자들은 상당수 사례에서 암호화폐와 직접적인 금전 탈취 가능성에 특히 강하게 집중한 것으로 나타났다.
북한 사이버전의 독특한 특징…‘첩보전’과 ‘외화벌이’가 하나로 합쳐졌다
중국이나 러시아와 비교할 때 북한 사이버전의 특징 가운데 하나는 국가안보 목적과 경제적 목적의 경계가 매우 흐리다는 점이다.
일반적인 국가 지원 해킹조직은 군사기밀·외교정보·산업기술을 확보하는 첩보활동에 집중하는 경우가 많다.
북한은 여기에 직접적인 돈벌이를 결합했다.
암호화폐를 훔치고, 해외기업에 위장 취업한 IT 인력이 급여를 벌고, 그 자금이 북한으로 흘러가는 구조다.
미 재무부와 국무부도 북한 IT 인력들이 다른 국가 출신으로 신분을 위장해 해외기업에서 원격근무를 하고, 일부 사례에서는 기업 내부정보를 탈취하거나 협박에 이용한다고 지속적으로 경고하고 있다. 미국 정부는 2026년에도 관련 네트워크에 대한 제재와 기업 대상 경보를 이어갔다.
다자제재모니터링팀이 공개한 조사에서도 북한이 해킹과 위장 IT 근로를 통해 막대한 자금을 확보하고 있으며, 이런 자금 조달이 핵·미사일 프로그램과 연결될 수 있다고 지적했다. 북한 연계 해커는 올해 초 암호화폐 거래소 Bybit에서 약 15억 달러 상당의 이더리움을 탈취한 사건과도 연계된 것으로 미국 당국은 보고 있다.
진짜 무서운 것은 ‘해커가 들어온 사실을 모르는 회사’다
이번 사건에서 가장 섬뜩한 대목은 공개된 피해기업 명단이 아니다.
오히려 아직 공개되지 않은 조직들이다.
연구원은 자신이 확인한 기업들에게 침해 가능성을 통보했지만, 일부 기업은 경고에 제대로 대응하지 않았다고 밝혔다.
사이버 공격은 침입 순간보다 장기간 발견되지 않을 때 더 위험하다.
공격자가 개발자 계정을 통해 내부에 들어간 뒤 즉시 행동하지 않고 접근권한을 유지한다면, 필요할 때 다른 공격조직이 해당 통로를 이용할 수도 있다.
특히 연구자들은 금전 탈취를 담당하는 조직이 암호화폐 지갑만 노렸다 하더라도, 동일한 내부 접근권한이 향후 첩보조직으로 넘어갈 가능성을 배제할 수 없다고 경고한다.
이것이 이번 사건의 본질이다.
사이버 침투의 가치는 훔친 데이터의 양만으로 측정할 수 없다.
오늘은 아무것도 훔치지 않았더라도 내일 다시 들어올 수 있는 열쇠를 가지고 있다면 이미 중요한 보안사고다.
이제 기업 보안은 ‘방화벽’보다 ‘채용 과정’에서 시작된다
이번 사건은 기업 보안조직에 매우 불편한 질문을 던진다.
“우리 서버는 안전한가?”만 물어서는 부족하다.
이제는 “우리 회사 코드를 만지는 사람이 누구인가?”, “외부 개발자가 어떤 기업에도 동시에 접근하고 있는가?”, “신규 채용자가 실제로 그 사람인가?”, “퇴사자와 외주계약자의 클라우드 키가 즉시 폐기되는가?”까지 확인해야 한다.
특히 원격근무 시대에는 인사팀과 정보보안팀이 완전히 분리돼 움직이는 기존 구조 자체가 취약점이 될 수 있다.
지원자의 신원확인은 HR 업무로 끝나는 것이 아니라 사이버보안 절차가 됐다.
개발자가 채용 과정에서 받은 코드를 회사 장비에서 실행하는 것도 단순한 면접 행위가 아니라 보안사고의 시작점이 될 수 있다.
미국 정부가 최근 북한 IT 인력 문제를 단순한 해킹 경보가 아니라 기업 채용·신원확인·원격근무 관리 문제로 다루는 이유도 여기에 있다.
AI 시대가 되면서 북한의 ‘가짜 직원’ 전략은 더 위험해질 수 있다
여기에 생성형 AI와 딥페이크 기술이 결합하면 문제는 더욱 복잡해진다.
과거에는 가짜 이력서나 위조 신분증만 확인하면 상당 부분 걸러낼 수 있었다.
하지만 지금은 AI로 자연스러운 프로필 사진과 이력서를 만들고, 음성과 영상까지 변형할 수 있다.
원격근무 채용이 일반화된 개발업계에서는 지원자가 실제 누구인지 확인하는 비용이 과거보다 훨씬 커졌다.
따라서 앞으로 북한 연계 사이버 활동의 가장 강력한 무기가 고성능 악성코드가 아니라 ‘정상적인 사람처럼 보이는 능력’이 될 가능성도 있다.
이는 전통적인 보안제품만으로 해결하기 어려운 문제다.
역으로 털린 북한 해커…그러나 웃고 넘길 사건은 아니다
이번 사건만 놓고 보면 북한 해커들이 자신들의 악성코드에 감염되고 보안연구원에게 장기간 내부 작전을 노출했다는 점 때문에 다소 역설적인 상황처럼 보인다.
하지만 그 뒤에서 발견된 숫자는 전혀 웃을 일이 아니다.
57개국 1,640개 기업·기관.
그 가운데 수백 곳에서는 높은 수준의 시스템 접근권한이 확보된 정황.
그리고 외주 개발자 한 명의 계정을 통해 여러 기업이 동시에 위험에 노출될 수 있는 구조.
이것은 북한의 사이버 공격이 더 이상 특정 정부기관이나 대기업 보안팀만 신경 써야 할 문제가 아니라는 것을 보여준다.
북한은 관련 의혹을 부인…사이버 공방은 계속
북한은 미국과 한국 등을 중심으로 제기되는 해킹과 위장 IT 근로자 관련 비판에 대해 정치적 목적의 비방이라고 반박해왔다. 최근 미국 등이 북한의 사이버 활동과 해외 IT 노동자 문제를 경고한 데 대해서도 북한은 근거 없는 주장이라는 입장을 밝혔다.
따라서 개별 사건의 북한 연계 여부는 각국 수사기관과 보안기관의 기술적 분석 및 추가 검증이 필요하다.
다만 북한 연계 사이버조직의 암호화폐 탈취와 위장 IT 근로 문제가 미국·한국·일본을 포함한 여러 정부와 국제기구의 지속적인 조사 대상이 되고 있다는 점은 분명하다.
결론 — 북한 해킹의 가장 위험한 무기는 악성코드가 아니라 ‘신뢰’였다
이번 사건이 남긴 가장 중요한 교훈은 의외로 단순하다.
기업들은 그동안 해커가 회사 밖에서 안으로 침입한다고 생각했다.
그러나 북한의 최근 공격 방식은 정반대다.
채용 지원자로 들어오고, 외주 개발자로 연결되고, 정상적인 협력업체 계정으로 로그인하며, 개발자가 스스로 악성 프로그램을 실행하게 만든다.
즉 보안의 가장 약한 고리는 서버가 아니라 사람과 신뢰관계였다.
북한 해커들이 보안연구원에게 역으로 노출됐다는 사실보다 더 중요한 것은 그 과정에서 세계 각국 기업의 내부로 연결된 거대한 ‘신뢰의 취약점 지도’가 발견됐다는 점이다.
앞으로 기업의 사이버보안 경쟁력은 얼마나 비싼 방화벽을 가지고 있느냐만으로 결정되지 않을 것이다.
누구를 채용하는지, 누구에게 외주를 맡기는지, 그 사람이 어떤 권한을 갖는지, 그리고 그 권한이 정말 필요한지를 얼마나 철저히 확인하느냐가 새로운 보안의 최전선이 되고 있다.
이번 1,640개 조직의 흔적은 단순한 해킹 통계가 아니다.
현대 기업의 보안 경계선이 이미 회사 밖으로 무너져 나갔다는 경고에 가깝다.
#북한해킹 #북한해커 #사이버공격 #사이버보안 #해킹사건 #해킹그룹 #북한사이버공격 #정보보안 #기업보안 #보안사고 #사이버위협 #국가해킹 #해커추적 #악성코드 #랜섬웨어 #클라우드보안 #개발자보안 #원격근무보안 #가짜채용 #가짜면접 #외주개발자 #공급망공격 #암호화폐해킹 #기업침투 #사이버전쟁 #글로벌해킹 #보안연구원 #57개국 #1640개기업 #핫이슈 #국제뉴스 #IT뉴스 #NextInsightNews
NextInsightNews 김귤연 기자
nextinsightnews@gmail.com