앵커: 글로벌 사이버 보안 연구진이 가짜 스타트업을 세워 북한 IT 노동자들을 채용하는 함정 조사를 벌였습니다. 마우로 로자노프스키 BCA LTD 연구원과 헤이너 가르시아 노스스캔 연구원은 이들을 실제 직원으로 고용한 뒤, 이들이 위조 신분증과 원격접속 프로그램으로 회사 내부 시스템에 접근하는 과정을 실시간으로 관찰했습니다. 박재우 기자가 이번 조사를 진행한 연구진을 직접 인터뷰했습니다.
기자: 이 프로젝트를 어떻게 시작하게 됐나요?
마우로: 저와 헤이너는 각자 다른 방식으로 연구를 하다가 만났습니다. 처음 만났을 때 저는 북한 악성코드를 분석하고 있었고, 헤이너는 제가 보지 못한 인적·경제 정보 기록들을 공유해줬습니다. 그러던 중 북한 IT 노동자 문제가 계속 화제가 됐고, 자연스럽게 “이들이 실제로 취업하면 어떻게 될까”라는 질문이 생겼습니다. 그래서 이들을 끌어들여 가짜 일자리를 주고 관찰하는 함정, 이른바 허니팟(Honeypot)을 만들기로 했습니다.
기자: 처음엔 북한 IT 노동자들에게 어떻게 접근했나요?
헤이너: 개발자들이 소스 코드를 공유하는 플랫폼 ‘깃허브’가 핵심이었습니다. 깃허브는 북한 IT 노동자들의 놀이터입니다. 2~3년 전, 링크드인에서 북한 IT 노동자로 보이는 한 명이 저에게 접근했고, 그때부터 그의 깃허브 계정을 추적하기 시작했습니다. 한 계정에서 시작된 연결이 수십 개로 퍼져 서로 팔로우하며 군집을 이루고 있었죠. 이 계정들을 하나씩 추적하면서 활동이 활발한 계정을 골라냈습니다.
기자: 북한 IT 노동자들과 실제로 접촉해보니 어떠셨습니까?
헤이너: 첫 접촉은 10분 정도였습니다. 물론 처음엔 그들도 카메라를 켜지 않았어요. 며칠에 걸쳐 신뢰를 쌓자 카메라를 켜기 시작했습니다. 이렇게 신뢰를 유지하는 게 정말 어려운 일인데, 저희는 그 관계를 4~5개월간 이어갔습니다.
기자: 기술적인 방식으로 접근하셨다고 했는데, 이들이 북한 IT 노동자라는 사실은 어떻게 확인하셨습니까?
헤이너: 마우로가 카나리 토큰(Canary Token ; 파일이나 링크에 접근하면 연구진에게 신호를 보내는 추적 장치) 즉 QR코드를 활용했습니다. 면접 참석 확인용이라며 코드를 스캔하게 했는데, 스캔하는 순간 상대측의 IP 주소가 저희에게 넘어옵니다. IP주소가 블라디보스토크 인근으로 확인됐고, 해당 IP의 소유주를 조사해 보니 러시아와 북한의 두 도시를 잇는 여객선 서비스를 운영하는 회사와 연관돼 있었습니다. 유엔 보고서에도 같은 위치, 같은 회사가 언급돼 있어서, 110% 북한 인력이라는 확신을 얻었습니다.
기자: 북한 노동자들의 특징은 어땠나요?
마우로: AI 도구를 아주 많이 썼습니다. 실시간 번역 덕분에 영어 실력이 좋아 보였고, 면접 질문에 답을 알려주는 실시간 보조 도구도 사용하고 있었습니다. 특히 챗지피티의 열혈 팬이었어요. 딥시크 같은 중국 모델은 쓰지 않고 서방 도구인 챗지피티를 선호했습니다. 심지어 무료 버전 계정 하나를 세 명이 함께 공유해 사용하기도 했습니다.
기자: 공개하신 보고서와 영상을 보면, 마지막에 변호사를 통해 이들이 가짜 신분으로 취업하려 했다는 사실을 밝히자, 이들이 화면에서 나가면서 마무리됐는데요. 그 이후에도 이들과 연락이 되나요?
헤이너: 재밌는 건, 이들이 외부 세계의 정보를 보지 않는다는 게 확실하다는 겁니다. 저희가 보고서와 영상을 공개한 뒤에도 여전히 연락이 닿고 있습니다. 어제도 연락을 했습니다.
Q. 이번 조사를 바탕으로 기업들에게 어떤 조언을 하고 싶나요?
마우로: 원격 근무를 하는 조직이라면 정기적으로, 그것도 불시에 신원 확인 절차(KYC)를 실시해야합니다. 신뢰할 수 있는 협력업체 사무실에서 직접 대면으로 신원을 확인하는 것도 필요합니다. 회사 장비는 회사 소유인 만큼 철저히 관리하고, 지정된 장소와 시간에만 사용하도록 제한해야 합니다.
헤이너: 저는 미국 기업들의 일반적 신원, 경력 조사 방식에 매우 비판적입니다. 대부분 49센트짜리 API 하나로 신원을 확인하는데, 연봉 12만 달러짜리 핵심 직책을 뽑는다면 최소한 10달러짜리, 그에 걸맞는 철저한 신원, 경력 검증을 해야 합니다.
에디터 이현주