북한 해커, 가짜 채용 사칭 3만대 감염... 140억원 상당 암호화폐 탈취

북한 연계 해킹 조직 '워터플럼(WaterPlum)'이 가짜 채용 공고를 미끼로 전 세계 3만 대 이상의 기기를 감염시키고, 1,070만 달러(약 140억 원) 상당의 암호화폐를 탈취한 것으로 드러났습니다. 이는 특히 암호화폐, 인공지능(AI), 대체불가토큰(NFT) 분야의 개발자 및 IT 전문가를 대상으로 한 정교한 사이버 범죄의 일환입니다.

이 사건은 일본, 독일, 호주, 미국 등 4개국의 사이버 보안 당국이 공동 발표한 경고문을 통해 세상에 알려졌습니다. 워터플럼은 '콘테이저스 인터뷰(Contagious Interview)'라는 이름으로도 알려져 있으며, 전 세계의 소프트웨어 개발자와 IT 전문가들을 주요 표적으로 삼았습니다. 이들은 합법적인 암호화폐, AI, NFT 기업으로 위장하거나 유명 채용 플랫폼을 이용하여 피해자들에게 접근했습니다.

당국은 “주요 표적은 암호화폐, 블록체인, 웹3 기술 분야의 개인 웹 디자이너, 엔지니어, 전문가들이었다”고 밝혔습니다. 이번 공격은 단순히 암호화폐 탈취를 넘어, 북한의 외화벌이 수단으로 IT 인력을 해외 기업에 침투시키려는 광범위한 전략의 일부로 분석됩니다. 일본 및 미국 당국은 워터플럼 조직원 및 일부 북한 IT 인력이 북한의 군수산업부 산하에서 활동하는 것으로 평가하고 있습니다.

워터플럼은 소셜 미디어, 온라인 채용 사이트, 긱 워크 플랫폼, 프리랜서 마켓플레이스 등을 통해 구직자들을 유인했습니다. 채용 과정에서 피해자들은 코딩 과제나 화상 회의 오류 수정과 같은 명목으로 악성 파일 다운로드 및 실행을 지시받았습니다. 이 악성 파일은 결국 피해자의 컴퓨터에 백도어 접근을 허용했으며, 공격자들은 원격 액세스 트로이 목마(RAT)와 정보 탈취 악성코드 등을 이용해 민감한 데이터와 암호화폐를 빼돌렸습니다.

성공적인 감염은 워터플럼이 unsuspecting 개발자들이 속한 조직에 직접 침투할 수 있는 기회를 제공하기도 했습니다. 보고서에 따르면, 워터플럼은 2025년 12월부터 2026년 7월까지 100개국 이상에서 최소 3만 대의 기기를 감염시켰으며, 7,000개 이상의 암호화폐 지갑에서 자금 또는 계정 정보를 추출했습니다. 하지만 암호화폐 탈취 이상의 피해도 예상됩니다. 도난당한 신분증 정보는 북한 IT 인력이 피해자를 사칭하여 수입을 얻거나, 민감한 정보는 협박에 사용될 수 있습니다.

구체적인 사례로, 의심되는 북한 IT 인력이 위조된 이력서를 제출하여 일본의 한 암호화폐 거래소에 엔지니어 직무에 지원한 경우도 있었습니다. 해당 거래소는 면접 과정에서 이력서에 기재된 기술에 대한 상세한 설명을 요구했으나, 지원자가 제대로 설명하지 못하는 등 불일치를 발견하고 지원자를 거절했습니다. 이는 북한 IT 인력 침투 시도의 흔한 패턴 중 하나로 지적됩니다.

더 최근의 사례로는 올해 7월, 컨센시스(Consensys)가 인지하지 못한 채 북한 연계 개발자와 컨설턴트로 일한 사실이 코인텔레그래프에 의해 보도되었습니다. 컨센시스는 위협을 발견한 후 해당 개발자의 접근 권한을 즉시 종료했으며, 자체 조사 결과 자산이나 데이터 도난, 악성코드 배포, 사용자 안전에 대한 영향은 없었던 것으로 파악되었습니다. 이 사건은 북한의 사이버 공격이 여전히 고도화되고 있음을 보여주는 동시에, 기업들의 철저한 보안 감사 및 공급망 리스크 관리의 중요성을 다시 한번 강조하는 계기가 되었습니다.

전문가들은 이번 워터플럼의 공격이 특정 국가나 산업을 가리지 않고 민감한 기술과 자산을 노리는 북한의 사이버 역량이 날로 강화되고 있음을 시사한다고 분석합니다. 특히 암호화폐와 AI 분야는 높은 수익성과 전략적 중요성 때문에 북한의 주요 타겟이 될 가능성이 높습니다. 이에 따라 관련 기업들은 채용 과정에서의 신원 확인 절차를 강화하고, 임직원을 대상으로 한 사이버 보안 교육을 확대하는 등 다층적인 방어 체계를 구축해야 할 필요성이 제기되고 있습니다. 또한, 국제 사회의 공조를 통해 북한의 사이버 공격에 대한 억지력을 강화하고 피해를 최소화하기 위한 노력이 지속되어야 할 것입니다.