북한 해킹 조직, 가짜 채용으로 130억 원 탈취
Decrypt2026년 9월 23일 21:154
북한 해킹 조직이 가짜 채용 공고를 미끼로 개발자들의 암호화폐 지갑에서 130억 원(1,071만 달러) 이상을 탈취한 것으로 드러났다. 일본, 미국, 호주, 독일 등 4개국 7개 기관은 18일(현지시간) 공동 발표를 통해 이 같은 사실을 밝혔다.
이 해킹 조직은 '워터플럼(WaterPlum)'으로 불리며, 보안 업계에서는 '컨테이저스 인터뷰(Contagious Interview)'라는 이름으로도 알려져 있다. 이들은 2025년 12월부터 2026년 7월까지 약 8개월 동안 전 세계 100여 개국에서 3만 대 이상의 기기를 감염시켰다. 주요 표적은 암호화폐, 블록체인, 웹3 분야의 웹 디자이너, 엔지니어 및 전문 개발자들이었다.
이번 수사에는 일본 경찰청, 일본 국가사이버안전국, 미국 연방수사국(FBI), 미국 국방부 사이버범죄센터(DC3), 호주 신호사령부 산하 호주사이버보안센터, 독일 연방정보국(BND) 및 국내정보국(BfV)이 참여했다. 이러한 국제적인 공조는 북한의 사이버 범죄 활동이 국경을 초월해 광범위하게 이루어지고 있음을 방증한다.
일본 경찰청과 FBI는 워터플럼과 북한의 원격 IT 근로자들이 노동당 중앙위원회 산하의 '군수산업부 313 총국'에 보고하는 것으로 추정하고 있다. 또한, 두 작전 그룹이 노트북 농장(laptop farm)에 접근하고, 크라우드소싱 서비스를 이용하며, 구직 활동에 나설 때 동일한 IP 주소를 사용한 정황은 이들이 하나의 조직으로 활동하고 있음을 시사한다고 분석했다.
북한의 해킹 방식은 매우 치밀하고 정교하다. 이들은 인공지능(AI), 암호화폐 또는 대체불가토큰(NFT) 관련 기업을 사칭하여 소셜 미디어, 구인 구직 게시판, 프리랜서 마켓플레이스를 통해 개발자들에게 접근한다. 이후 기술 면접이나 코딩 과제를 제시하며 피해자를 유인한다. 면접 과정에서 개발자들에게 과제 수행이나 화상 통화 오류 수정을 이유로 특정 개발 플랫폼에서 파일을 다운로드하도록 유도한다.
이번 발표에서 수사 당국은 이 과정에서 사용된 다섯 가지 악성코드 패밀리 이름을 명시했는데, 여기에는 '비버테일(BeaverTail)', '인비저블퍼릿(InvisibleFerret)' 등이 포함되며, 특히 '스토트와플(StoatWaffle)'은 블록체인 테마의 저장소에 숨겨져 있는 것으로 확인되었다.
해커들은 화상 면접 시 AI 얼굴 합성 기술을 사용하여 자신의 신원을 위장하는가 하면, 면접 도중 갑자기 영상 통화를 끊고 피해자에게도 동일한 조치를 취하도록 요구하며 통신 문제 때문이라고 둘러댔다. 또한, 텍스트 음성 변환(TTS) 도구를 사용하여 일본어 발음을 연습하고, 무료 기계 번역 및 AI 서비스를 꾸준히 활용한 것으로 파악되었다. 심지어 북한의 공휴일에는 업무 대신 게임을 하거나 축구 영상을 시청하는 등 조직적인 범죄 활동을 이어간 것으로 조사되었다.
이러한 수법은 피해자가 숙련된 개발자일수록 더욱 정교하게 접근하여 심리적 허점을 파고들기 때문에 일반 사용자들에게도 큰 위험이 될 수 있다. 특히 암호화폐 및 블록체인 분야는 높은 기술력과 전문성을 요구하는 만큼, 관련 종사자들이 채용 관련 제안에 대해 더욱 경계심을 가져야 할 필요가 있다.
이번 사건은 북한이 핵·미사일 개발 자금 마련을 위해 암호화폐를 포함한 사이버 범죄에 적극적으로 나서고 있음을 다시 한번 보여준다. 또한, 국제 사회의 제재 속에서도 기술력을 바탕으로 새로운 범죄 수익원을 창출하려는 북한 정권의 의도를 분명히 드러낸 사례로 평가된다.
일본 당국은 이번 수사 과정에서 국내 최초로 북한 해커들을 위한 '노트북 농장'을 해체하는 성과를 거두었다. 이는 북한 해킹 조직의 국내 활동 거점을 파악하고 이를 무력화하는 데 중요한 역할을 할 것으로 기대된다.
이번 사건을 계기로 각국 정부와 보안 기관은 북한발 사이버 위협에 대한 경계를 더욱 강화하고, 국제적인 공조 체계를 더욱 공고히 할 필요가 있다. 또한, 개발자 및 암호화폐 관련 종사자들에게는 출처가 불분명한 채용 제안이나 파일 다운로드 요구에 대해 각별한 주의를 당부하고 있다. 잠재적인 사이버 공격으로부터 자산을 보호하기 위한 지속적인 보안 인식 강화와 기술적 조치가 필수적이다.
이번에 탈취된 자금은 북한의 핵·미사일 개발 프로그램 자금으로 전용될 가능성이 높다는 점에서 국제사회의 우려가 커지고 있다. 각국은 북한의 사이버 공격 능력과 자금 조달 방식에 대한 면밀한 분석을 바탕으로 더욱 강력하고 효과적인 대응 방안을 모색해야 할 것이다. 또한, 암호화폐 거래소 및 관련 업계는 국제적인 규제 강화와 자체적인 보안 시스템 강화에 더욱 힘써야 할 시점이다.