“해킹 기술이 세계 수준으로 알려져 있는 북한은 미국의 가장 크고 수익성이 높은 기업에 서비스를 제공하는 계약업체 및 하청 업체에 IT 직원을 침투시켰다.”

외교 전문 매체인 ‘더 디플로매트’는 21일(현지 시간) 북한을 ‘닭장 안의 여우(Fox in the Henhouse)’라는 표현으로 ‘북한은 수천 명의 정보 기술(IT) 전문가들의 해악(害惡)’을 구체적으로 다뤘다.

이들 전문가들은 미국 또는 제3국의 허위 신원을 바탕으로 활동하고 있다. 이 IT 군대의 주요 목표는 늘 현금이 부족한 김정은 정권을 위해 돈을 벌어들이는 일이다. 이 자금은 북한의 탄도미사일과 핵 프로그램을 지원하고, 김정은 독재를 뒷받침하는데 이용된다.

게다가 북한 무기는 이제 전 세계의 분쟁 지역으로 진출하고 있다. 러시아는 우크라이나 내 공격을 수행하기 위해 북한 미사일을 사용하기 시작했고, 하마스는 가자지구에서 이스라엘군을 공격하는 데 북한 미사일을 사용했다. 이 모든 것은 IT 종사자들의 자금이 북한 정부 금고로 흘러 들어가기 때문에 가능한 것으로 보인다.

이러한 북한 침입자들이 미국 기업 내에서 얻은 접근권은 김정은 정권에게 지적 재산(IP) 절도, 몸값을 위한 미국 데이터 인질 보유, 중요 인프라 공격, 사이버 공격 개시를 위한 다양한 경로를 제공한다.

따라서 미국 기업들은 자신들의 타락과 파괴에 전념하는 적국(敵國)에 무의식적으로 자금을 지원하고 있는 셈이라고 글렌 차페츠(Glenn Chafetz)는 주장했다. 그는 미국 정부, 학계, 민간 부문에서 30년 이상의 경험이 있으며, 현재 서구 기업에 대한 국가 지원 간첩 활동에 초점을 맞춘 비영리, 비당파 연구기관인 “2430 그룹”의 이사로 재직하고 있다.

* 위험 요소

북한은 적어도 지난 2015년부터 전 세계 기업에 취업하기 위해 원격 IT 근로자를 활용해 왔다. 이 IT 근로자들(IT workers)의 주요 목적은 국제 제재를 우회하며 수익을 창출하는 것이다. IT 및 소프트웨어 개발 아웃소싱은 2024년에 5,000억 달러(약 683조 원)를 초과할 것으로 예상되는 대규모 시장이기 때문에, 이는 크고 체계적인 문제이다. 미국 기업의 거의 2/3가 IT 및 소프트웨어 엔지니어링 요구 사항 중 적어도 일부를 아웃소싱하고 있다.

위험은 독재자에게 단순히 송금하는 것 이상이다. 정보기술은 김정은이 정권에 자금을 조달하는 여러 방법 중 하나 일 뿐이다. 그러니 IT는 특별할 수밖에 없다. 북한의 원격 IT 작업자는 네트워크에 액세스할 수 있다. 이는 독점 IP, 데이터 아카이브, 생산, 내부 도구, 계획, 프로세스 및 인력에 대한 액세스를 의미한다. 북한 침입자들의 목표는 발각되지 않은 채로 남아 있는 것이다. 하지만 만약 발각됐다면, 그들은 이미 중요한 시스템을 손에 쥐고 있다는 것을 의미한다.

한 업계 소식통은 발각돼 해고된 북한 주민들이 강탈로 대응했다고 전했다. 해고된 직원들은 회사가 잃을 수 없는 중요한 코드나 시스템에 대한 액세스 권한을 유지하고 있었다. 이는 거의 논의되지 않은 형태의 랜섬웨어(ransomware) 공격이다.

팔로알토(Palo Alto)의 유닛42(Unit 42) 위협정보팀이 최근 조사한 결과, 북한의 전통적인 간첩 및 침입 행위자 그룹이 협력하고 있을 수 있다는 증거가 밝혀졌다. 이것은 무엇을 의미하는가? 라자루스 하이스트(Lazarus Heist) 유형의 도난이나 미국 주요 기업 내에서 IT 직원으로 활동하는 악의적인 내부자가 활성화한 소니(Sony) 해킹을 상상해 보면 알 수 있다.

이러한 IT 근로자들을 고용한 미국 기업은 제재 회피에 대한 책임을 지게 된다. 대부분의 미국 기업이 자신도 모르게 북한의 IT 지원을 활용하는 것은 사실이다. 그러나 이는 미국 정부가 액면 그대로 받아들일 수 있는 주장이 아니다. 북한에 대한 미국 및 국제 제재를 위반하면 재무부 해외자산통제국(OFAC)은 물론 기타 국내 및 국제 규제 기관, 법 집행 기관을 포함한 다양한 책임이 발생할 수 있다.

* 광범위

이 작전의 은밀한 성격을 고려할 때, 미국 시스템 내에서 활동하는 북한 IT 전문가의 정확한 수를 파악하는 것은 불가능하다. 그러나 북한 근로자로 알려진 한 사람과의 인터뷰에 따르면, 4,000명 이상의 북한 IT 및 소프트웨어 근로자가 전 세계에 배치되어 있는 것으로 나타났다. FBI는 이들 근로자 각 개인이 연간 최대 30만 달러를 벌어들일 수 있으며, 연간으로 300만 달러(약 41억 원)가 넘는 것으로 추산했다. (예를 들어, 1인 당 연간 40억 원씩, 총 10,000명이 벌어들인다면, 총액은 40조 원 상당)

이제 북한은 코로나19 팬데믹 이후 경제 활동을 재개했고, 이전의 성공을 고려하면, 북한 정권이 해외에 추가 인력을 파견하는 것이 논리적으로 설득력이 있어 보인다.

위협에 대해 잘 알고 있는 업계 소식통은 북한에 배치된 IT 전문가의 수가 아마도 8,000~12,000명 정도일 것이라고 주장한다. 그리고 이들 근로자 중 상당수는 원래 러시아와 중국에서 사업을 시작했지만, 동남아시아, 아프리카, 중동에서도 확인됐다. 업계 소식통에 따르면, 미국 회사 내부의 이러한 근로자를 찾아내려는 노력을 통해 이들이 해당 지역의 인터넷 인프라에서 활동하고 있는 것으로 나타났다.

* 탐지의 어려움

북한의 원격 IT 인력을 고용하는 데 따른 위험은 대부분의 기업이 의사결정시 고려하는 사항이 아니다.

많은 미국 대기업이 부주의한 활동과 악의적인 활동을 모두 탐지하고 완화하도록 설계된 내부자 위협 프로그램을 구축했지만, 이러한 프로그램의 효율성은 매우 다양하다. 더 중요한 것은 계약직 직원에게 검사 프로세스를 적용하는 기업 내부자 위협 프로그램이 거의 없다는 것이다.

많은 회사는 원격 계약 직원의 신원이나 시민권조차 알지 못한다. 특히 해당 직원이 해외에 있는 경우 더욱 그렇다. 일단 프로젝트에 고용되면 북한 사람들은 내부 위협 팀의 관심을 끄는 모든 활동을 피하기 위해 노력한다.

* 북한의 일부 전술과 기법

침입자가 직면하는 첫 번째 과제는 채용 프로세스이다. 그들은 문에 발을 들여놓아야 한다. 이 주제에 대한 FBI의 두 가지 권고는 이것이 어떻게 달성되는지에 대한 몇 가지 기본 정보를 제공하지만, 업계 소식통에 따르면, 북한 사람들은 종종 계약 IT 회사에 취업을 추구한다고 한다. 이러한 회사의 수는 코로나19 팬데믹 이후 급격히 증가했으며, 대기업만큼 엄격한 심사 과정을 거치지 않았을 수도 있다. 또는 북한 사람들은 주요 직업 플랫폼에서 프리랜서 IT 업무를 구하기도 한다.

이들 근로자는 미국을 포함한 전 세계 국가에서 도난, 위조, 조작된 신분증을 사용하여 가짜 이름으로 활동한다. 그들은 종종 VPN, 호스팅 IP 및 주거용 프록시의 조합을 사용하여 실제 위치를 숨길 뿐만 아니라 서부 시간대의 원격 통화 및 회의에 참석할 수 있도록 복잡한 일정 및 물류 프로그램을 제작한다.

북한 근로자들은 지불을 위해 어느 정도 암호화폐 및 디지털 통화 결제 플랫폼에 의존함으로써 전통적인 금융 산업 사기탐지 도구를 피한다.

최근 북한 주민들은 챗지피티(ChatGPT)와 같은 생성형 인공지능(AI) 도구를 활용하여, 보다 현실적이고 이해하기 쉬운 영어 콘텐츠를 구축하고, 많은 사기 방지 도구를 통과하는 신원 확인 문서를 개발하는 것으로 의심되고 있다.

* 위협의 적응과 진화

업계 관계자들은 북한의 무역 기술과 기술적 감각이 성숙해지고 있다고 주장한다. 북한은 여전히 ​​해외, 특히 러시아와 중국에 육체노동자를 파견하고 있지만, 노동자들의 기술 레퍼토리도 확대해 왔다. 북한의 초기 IT 직원들은 다른 나라의 동료들에 비해 그다지 좋지 않았다. 이것이 바뀌었다. 오늘날 북한의 IT 근로자들은 최첨단 AI 및 ML 제품에 대한 지식을 포함해 수요가 많은 코딩 언어를 배워 최첨단 기술을 사용하는 유명 기업에 취업할 수 있다.

계약 고용주에 의해 해고된 일부 IT 직원은 뛰어난 작업 결과물을 제공하는 우수한 코더로 간주되었다. 업계 소식통은 일부 기업이 자사의 생산량이 사업 운영에 크게 기여했다면, 북한 근로자의 계약고용을 간과할 수도 있다고 주장한다.

더욱이 북한 IT 전문가들은 자신의 신원을 숨길 수 있는 새로운 방법을 찾아냈다. 이러한 근로자는 취업 면접이나 팀 회의에서 자신을 가장하기 위해 서양 국적자를 고용하고, 심지어 미국 인터넷 인프라를 사용하여 온라인으로 가짜 페르소나(fake personas online)를 운영하는 경우가 많다. 이 모든 것은 내부자 위협 및 사이버 보안 팀의 탐지를 피하기 위한 것이다.

북한의 IT 종사자들 중 일부는 외국에서 합법적인 사업체를 설립하고, 현지인을 고용하고, 원격 IT 인력 파견업체로 운영되기도 했다. 이들 회사는 미국이나 서구 기업에 절대 손을 대지 않으며, 해당 국가 내 운영을 통해 수익을 창출하는 데 전적으로 집중한다.

다른 진취적인 북한 사람들은 서방 국가의 대학생들에게 기숙사 방에서 노트북을 사용하거나 학교 노트북에서 가상 컴퓨터를 사용할 수 있도록 돈을 지불했다. 이는 모두 미국 외부의 악의적인 네트워크 활동을 탐지하기 위해 배포된 보안 제어를 우회하기 위한 것이다.

북한 사람들은 많은 엔지니어링 작업의 가상 특성으로 인해 원격 IT 역량으로 작업을 확보할 수 있다. 모호하고 다양하며 널리 분산된 위치에서 작업하는 것은 이 업계에서 드문 일이 아니므로 경보를 울리지 않는 경우가 많다.

그러나 많은 회사에서는 기업 고객이 엔드포인트(endpoint : 端點)에 대한 제어를 유지할 수 있도록 모든 직원, 심지어 계약자에게도 기업 장치를 사용하도록 요구한다. 이런 경우 북한 주민들은 기업용 장치를 구입해야 한다. 우편이나 상업 배달을 통해 이를 수행한다.

IT 부서와 외부 소싱 IT 공급업체는 정기적으로 인재 확보를 통해 제공한 개인 주소로 장치를 배송한다. 어떤 경우에는 해당 위치가 직원의 위치와 일치해야 한다. 분명히 중국 북서부, 러시아, 동남아시아는 이러한 상황에서 충분하지 않을 것이다. 이 문제를 해결하기 위해 북한은 미국 어딘가에서 이러한 장치를 수신하는 대리 서비스에 의존하고 있는 것으로 보인다.

더욱 어려운 문제는 결제다. 많은 고용주들은 임금을 지불하기 위해 미국 은행 계좌를 요구한다. 북한이 은행 부문의 엄격한 고객 파악 규정을 어떻게 회피하는지 명확하지 않다. 한 가지 가능성은 고품질 위조문서이다. 또 다른 방법은 수수료를 받는 대가로 지불을 받기 위해 프록시(proxies)를 사용하는 것이다.

* 위협 완화

북한의 IT 근로자 위협은 미국 기업과 유럽, 일본, 한국, 호주, 뉴질랜드 및 기타 민주주의 선진국의 기업에 고유한 위험을 제기한다. 북한은 IT 서비스 비즈니스 모델 진화의 독특한 순간을 이용하여 자신을 방어하기에 부적합한 목표물을 공격했다.

위협을 효과적으로 해결하기 위해 구성된 민간 기업은커녕 위협을 인지하고 있는 기업도 거의 없다. 그렇게 하려면 사이버 방어, 내부자 위협, 직원 심사, 지정학, 법률 및 직원 개인 정보 보호 규정의 조합을 숙지해야 한다.

그러나 위협은 완화될 수 있다. 전통적인 위험으로부터 기업을 보호하기 위해 고안된 기본적인 보안 관행의 개발과 성숙이 시작점이다. 다음 분야에 대한 표적 투자는 북한 근로자의 진입 및 운영비용을 증가시켜 궁극적으로 사업을 중단시킬 수 있다.

- 직원 채용을 설계, 배포 및 정기적으로 감사하고 검증 프로세스를 식별한다.

- 위협에 대한 인재 확보 및 인적 자원을 교육하고 악의적인 행위자를 제거하기 위해 검증 관행을 채택하도록 보장한다.

- 사이버 보안 및 IT 네트워크 방어 담당자가 위협에 대해 교육을 받고, 잠재적인 위험을 나타내는 변칙적 활동에 필요한 모니터링 도구를 보유하고 있는지 확인한다.

- 사이버 보안 전문가가 동료 및 IT-ISAC와 같은 다자간 조직을 통해 승인된 위협 정보를 교환할 수 있도록 한다.

- 내부 위협팀이 계약 인력에 대한 정기적인 검토를 수행하여 잠재적인 손상을 탐지할 수 있도록 권한을 부여한다.

- 사이버 보안 및 내부 위협팀에 북한 위협에 대한 정부 권고를 면밀히 조사하여 조사를 수행할 수 있는 최신 정보를 확보하도록 지시한다.

오늘날 북한이 존재하는 이유는 중국의 지원 때문이다. 중국은 북한의 IT군을 인지하고 있으며 이를 계속 허용하고 있다. 더욱이, 중국은 국익에 도움이 된다면 위기 상황에서 배치된 수천 명의 IT 인력을 활용할 가능성이 높다. 미국은 이미 중국으로부터 막대한 기술 및 IP 도난을 당하고 있다. 북한의 IT 인력은 또 다른 잠재적 무기이다.

미국과 다른 서방 기업들에게 더욱 긴박한 상황은 중국이 북한과 북한의 IT 인력 프로그램을 지원한다는 점인데, 이는 외교적 또는 정부적 해결책이 불가능하다는 것을 의미한다. 민간 부문이 스스로 방어에 앞장서야 한다는 것이다.