2015년 10월 28일, 북한 조선중앙통신(KCNA)이 평양에서 공개한 날짜 미상의 사진. 김정은 북한 국무위원장이 과학기술전당을 시찰하고 있다. (사진=KCNA/로이터)



북한이 전 세계 IT 생태계의 허점을 활용해, 미국의 대표 기술기업들에 조용히 침투하고 있는 정황이 미국 수사당국과 보안 전문가들에 의해 포착됐다.

최근 몇 년간 수천 명의 북한 IT 노동자들이 도용하거나 허위로 만든 미국 신원을 사용해 서구권 개발자, 엔지니어, 기술 컨설턴트로 위장하고, 이를 통해 매년 수억 달러를 평양의 군사 프로그램으로 유입시켜왔다. 

사이버 보안 회사 DTEX의 내부 위협 조사 책임자 마이클 반하트(Michael Barnhart)는 "그들은 포춘 500대 기업 전체에 퍼져 있다"며 위장 잠입 규모와 심각성을 강조했다. 

북한인들은 중국, 라오스, 러시아 등지에서 AI 오픈소스와 실시간 얼굴 합성 소프트웨어까지 활용해 화상통화 중 자신의 실제 정체와 위치를 숨긴다. 이들의 미국 기업 침투 능력은 단순한 위장에 그치는 정도가 아니라 훨씬 정교하다.

그럼에도 미국 내의 조력 없이는 미국 기업 침투는 불가능한 일이다.  

CNN은 북한 컴퓨터에서 확보한 독점 데이터, 법원 기록, 사이버 보안 전문가 및 미국 당국자들과의 인터뷰를 바탕으로, 북한이 원격 근무 문화를 어떻게 외화벌이와 무기 개발 자금 조달 수단으로 전환했는지 그 면면을 드러냈다. 

◆ 어떻게 작동했나?

미국 여성 크리스티나 마리 채프먼(Christina Marie Chapman)은 지난달 북한 공작원들이 300개 이상의 미국 기업에 취업하는 데 도움을 주고 김정은 정권에 1,700만 달러 이상의 자금을 유입시킨 혐의로 징역 8년 6개월형을 선고받았다.

틱톡에서 인기를 끈 채프먼은 공공 영상에서 “컴퓨터 관련 사업” 덕분에 빈곤에서 벗어나 해외여행을 다니게 된 자신의 성공담을 공유했으며, 미국 수사당국은 이 영상들을 증거로 활용했다.

채프먼 외에도 다른 미국 내 인물들이 이 작전에 가담했다. 최근 공개된 연방 기소장에 따르면, 이들은 급여를 세탁하고 신원을 도용했으며, 북한인들이 미국 내에서 근무 중인 것처럼 보이게 하는 ‘노트북 농장(laptop farms)’을 운영했다.

이 은밀한 작전은 북한, 즉 조선민주주의인민공화국(DPRK)이 국제 제재를 회피하고 원격 근무 체제를 악용하며, 매년 수억 달러를 조용히 벌어들이는 수단이 되고 있다고 미국 법무부는 밝혔다. 고용주들은 자신들이 북한인을 채용했는지도 모른 채 미국 제재 위반 위험에 노출되는 것이다.

이에 대해 DTEX의 마이클 반하트는 “그들을 정부가 아니라 마피아 조직처럼 본다면 모든 것이 설명된다."고 말했다. 

지난 7월 북한 외무성은 미국이 북한 IT 노동자들에 대한 제보에 최고 500만 달러의 보상금을 내건 것에 대해 “터무니없는 비방 캠페인”이라며, 미국이 “근거 없는 사이버 드라마를 날조하고 있다”고 반박했다.

◆ 북한 원격 근무 부대

북한의 사이버 작전 중 일부는 암호화폐 탈취나 랜섬웨어 공격처럼 고도화된 수법으로 잘 알려져 있다. 그러나  IT 노동자 위장 작전은 서방 기업에 ‘직원’으로 스며드는 국가 주도형 공작이라는 점에서 다르다.

CNN에 따르면 이 작전은 1990년대 김정일 정권 시절의 위조 100달러 지폐 사기 등으로부터 진화한 것으로, 그의 아들 김정은이 이를 온라인화한 것으로 분석된다.

반하트는 “김정은은 밀레니얼 세대이기 때문에 부친보다 기술에 훨씬 더 많은 관심을 갖고 있다. IT 노동자들은 북한이 계속해서 키우고자 하는 아주 큰 세력이다.”고 전했다. 

반하트는 북한 IT 노동자 추적에 나선 사이버 보안 전문가 및 인터넷 탐정 그룹의 일원으로, 그거 검거한 북한 사이버 부대는 부대마다 문신을 새기는 것으로 알려졌다.

북한 내부는 구식 기술과 제한된 인터넷 환경 때문에 대부분의 작전은 국외에서 수행된다. 미 수사관과 보안 전문가들에 따르면, 동남아시아 및 북한 접경 중국·러시아 지역이 주요 거점이다. 이 지역들은 지리적 접근성과 북한 정권과의 우호적인 관계 등을 고려해 선택됐다.

◆ AI로 꾸민 이력서, 연습된 대화

연구자들이 오픈소스 분석을 통해 확보한 10여 대 북한 컴퓨터의 브라우저 기록과 ChatGPT 검색 기록에 따르면, 북한 IT 인력들은 AI를 활용해 가짜 이력서를 만들고 구직자 페르소나를 구축한다.

이 데이터에 따르면, 이들은 수개월간 수천 번에 걸쳐 링크드인 등 구직 플랫폼을 검색하고, 일부 프로필은 수십 개의 일자리에 지원했다.

이력서와 브라우저 기록을 보면 얼굴 합성 소프트웨어, VPN, 원격 근무 도구를 지속적으로 사용하며, ChatGPT와 구글 번역기를 적극 활용하고 있는 것으로 나타났다.

단순히 코드를 작성하거나 업무를 자동화하는 수준이 아니라, 정체성을 꾸미고, 면접을 준비하며, 문화적 유창함을 흉내 내고, 자동화된 지원서 제출까지 수행하고 있다.

또한 ChatGPT 기록에 의하면, ‘새해 인사말’, ‘추수감사절 용어’, ‘미식축구 규칙’ 등을 AI에 질문하며 ‘미국인처럼 보이기’ 위한 학습을 병행한 것으로 알려졌다.





사무실 내부에서 촬영된 북한 기술 인력. (사진=DTEX, CNN)



◆ 개인적인 질문에 취약

북한인을 식별할 줄 알게 되면, 구직 사이트에서 그들을 쉽게 찾아낼 수 있다. 하지만 이들이 자동화된 방식으로 수없이 많은 이력서를 제출하기 때문에 인사 담당자들은 대응에 어려움을 겪는다.

인간 리스크 관리 기업 KnowBe4는 작년 한 해 동안 북한 IT 노동자로 의심되는 이들로부터 100건 이상의 지원서를 받았으며 작년 여름에는 실수로 한 명을 채용하기까지 했다고 밝혔다. 

KnowBe4는 사내 AI 팀의 소프트웨어 엔지니어를 채용하기 위해 공고를 냈고, 정상적인 절차를 거쳐 채용 후 노트북을 발송했다. 그런데 노트북이 수령된 직후 악성코드를 다운로드하기 시작했다.

브라이언 잭(Brian Jack) 정보보안책임자(CISO)는, 미국 내 조력자가 원격근무 소프트웨어를 설치하는 과정에서 내부 경보가 작동했다고 보고 있다.

이후 잭은 북한인을 걸러내는 임무를 맡게 됐으며, KnowBe4는 북한 IT 노동자 추적 선도 기업으로 알려지게 됐다.

잭은 면접에서 김정은이나 북한 체제에 대해 직접 묻는 대신, “좋아하는 음식점은?” “취미는?” 등의 질문으로 대응한다. “정체를 묻기만 하면 바로 무너집니다.”라고 잭은 말했다. 북한인들은 외부 세계와 단절된 상태에서 살아왔기 때문이다.

북한 IT 노동자들은 일반 주민에 비해 자유와 특권을 누리는 편이지만, 전문가들은 이들이 얼마나 감시당하고 있는지, 또는 가족이 인질로 잡혀 있는지 알기 어렵다고 말한다.

DTEX가 공유한 북한 IT 사무실 사진에는 흰 벽으로 된 작은 방에 CCTV 카메라가 설치돼 있고, 몇몇 인원이 책상에 앉아 컴퓨터를 사용하는 모습이 담겨 있다. 방 한켠에는 정수기와 빨래 건조대가 놓여 있었다.

◆ 미국 내 조력자

기소장에 따르면, 채프먼은 2020년 10월 무렵 코로나19가 미국을 휩쓸던 시기에 이 작전에 연루됐다. 당시 기업들은 급속히 원격근무 체제로 전환 중이었다.

그 무렵 채프먼은 틱톡에서 자신의 경제적 어려움을 토로하고 있었다. 마침 누군가가 링크드인 메시지를 통해 그녀에게 “미국 내 대표 얼굴 역할”을 제안했고, 채프먼은 IT 업계 경험이 전무했음에도 이를 수락했다.

이후 북한 측은 채프먼의 정보를 사용해 미 국토안보부에 허위 고용 증빙을 제출하고, 미국 기업과 정부 기관에 지원했다.

채프먼은 이들의 신원을 허위로 입증하며 회사에서 지급받은 노트북을 전달했고, 원격접속 소프트웨어를 설치해 북한에서 접근 가능하도록 만들었다.

경제적 어려움을 겪고있던 채프먼의 2023년 초 틱톡 영상은 완전히 다른 삶을 보여준다. 

새 소득원 덕에 후쿠오카와 도쿄까지 여행을 떠나 일본 보이밴드의 공연을 관람하고 만남을 가지기도 했다. 당시 그녀는 “시크한 로비”, “사랑스러운 호텔 객실”, “새로운 일본 음식”에 감탄하며 영상을 올렸다. 수사당국은 이를 증거로 활용했다. 

CNN은 채프먼과 북한 IT 노동자들이 도용한 68개의 신원 중 하나를 추적했다. 그 이름은 ‘브리언 코넬리어스(Breeyan Cornelius)’였다.

사이버 보안 회사 팔로알토네트웍스(Palo Alto Networks)의 위협정보 부문 유닛42(Unit 42) 자문 책임자 에반 고든커(Evan Gordenker)는 이 이름이 북한 IT 노동자 여러 명에 의해 사용됐으며, 실제 브리언 코넬리어스는 캘리포니아에 거주하는 버스 운전사라고 밝혔다.

CNN은 그에게 연락했지만 답변을 받지 못했다.

CNN이 분석한 ‘브리언 코넬리어스’ 명의의 컴퓨터 데이터에는 수십 건의 IT 관련 미국 기업 구직 활동과 검색 기록이 남아 있었다. 일부 기업은 인터뷰 제안까지 보냈다.

해당 이력서에는 “다양한 프로그래밍 언어에 능숙한 풀스택 개발자”로 기술돼 있었으며, 2014년 테네시대학교 채터누가 캠퍼스에서 컴퓨터공학 학위를 받았다고 되어 있었다. 경력에는 뱅크오브아메리카, 제약사 바이엘 근무 이력도 있었다.





비공개 장소에서 근무 중인 북한 IT 인력들. (사진= 미국 법무부, CNN)



◆ 위태로운 미국 국가 안보

2025년 6월 말, 미국 법무부는 16개 주에 걸친 29곳의 노트북 농장에서 약 200대의 노트북을 압수했다.

범죄국 임시 차관보 매튜 갈레오티는 북한 노동자들이 모두 미국 외 국가에 거주하고 있고, 이들 국가와 미국 간 범죄인 인도 조약이 없기 때문에, 이런 압수 수색이 유일한 물리적 대응 수단이라고 밝혔다.

미국 당국자들은 북한의 목표가 단지 돈만은 아니며, 시간이 지나면서 이들이 민감한 직책에 오르게 되면 악성코드나 랜섬웨어 공격에 나설 수도 있다고 경고했다.

2025년 7월 채프먼의 선고 후 열린 기자회견에서, 콜럼비아 특별구 연방검사 지닌 페리스 피로(Jeanine Ferris Pirro)는 미국 기업에 “지금은 코드 레드다. 북한이 귀사의 기술 부서를 침투하고 있다. 기업들이 검증 절차에 소홀할수록 미국의 안보는 위험해진다."고 경고했다. 

전문가들은 이 세력을 한 번에 소탕할 수 없다고 본다. 북한 정권은 조력자도 많고, 미국 50개 주 중 하와이를 제외한 모든 주에서 미국 내 협력자가 적발됐다고 전했다. 

고든커는 ‘브리언 코넬리어스’ 가명 사용자가 2025년 5월에도 미국의 대형 보험사에 지원한 사실을 언급하며 “우리가 한 명을 적발하고 FBI가 한 곳을 급습하더라도, 결국 두더지 잡기 게임.”이라고 덧붙였다.

법무부 범죄국의 매튜 갈레오티 차관보 대행은 기자회견에서 “해외 조직은 미국인을 자기들의 현금인출기로 여긴다. 우리는 더 이상 이를 방치할 수 없다.”고 선언했다. 

또한 미국 당국은 김정은 정권의 제재 회피를 돕는 미국 내 조력자들을 끝까지 추적하겠다고 공언하며, 제보에 수백만 달러의 포상금을 지급하기로 했다.