가짜 스타트업 설립한 뒤 북한 해커들 채용해 활동 추적

[서울=뉴시스] 강영진 기자 = 글로벌 사이버보안 연구진이 가짜 스타트업을 설립한 뒤 북한 연계 IT 인력을 실제로 채용하는 함정 조사를 벌였다고 미국의 소리(VOA)가 14일 보도했다.

연구진은 북한 인력들이 취업 뒤 위조 신분증과 원격접속 프로그램을 동원해 회사 내부 시스템에 접근하는 것을 실시간으로 포착했다고 밝혔다.

글로벌 사이버 위협 분석업체 ‘애니런(ANY.RUN)’과 위협정보업체 ‘비씨에이 엘티디(BCA LTD)’, ‘노스스캔(NorthScan)’ 연구진은 최근 북한 IT 인력 추적 합동 조사 결과를 공개했다.

기존 연구가 대부분 북한 IT 인력의 이력서나 구직 활동을 외부에서 분석하는 방식이었다면, 이번에는 연구진이 실제로 가짜 회사를 차리고 이들을 직접 채용해 취업 이후의 행동까지 내부에서 추적·관찰했다는 점이 특징이다.

연구진은 이를 위해 스페인어로 ‘푸른 고래’를 뜻하는 '바예나 아술(Ballena Azul)', 영어로 '블루 웨일(Blue Whale)'이라는 가상의 탈중앙화 금융(DeFi) 스타트업을 만들었다.

대규모 가상화폐 자산을 다루는 금융 프로토콜을 개발하는 회사로 꾸미고, 전문 웹사이트와 기업 브랜드, 기술 문서와 온라인 활동 기록까지 만들어 실제 스타트업처럼 보이도록 했다.

연구진은 북한 연계 해킹조직 라자루스 산하로 지목된 '페이머스 천리마(Famous Chollima)'의 모집책과 접촉해 3명을 채용하는 데 성공한 뒤 이들의 활동을 면접부터 업무 수행 과정까지 관찰했다.

채용 과정에서 신분을 위장한 구체적 정황이 곳곳에서 포착됐다.

개발자들은 텍사스주 오스틴과 패서디나에 거주한다고 밝혔으나 실제 제출한 신분증은 각각 다른 주의 운전면허증과 은행 계좌였다.

한 면허증의 이미지에서는 구글 생성형 인공지능 AI 제미나이로 처리된 흔적과 AI 조작 콘텐츠 식별 워터마크 SynthID가 발견됐다. 신분증을 위조했음을 보여주는 정황이다.

연구진은 또 도용된 사회보장번호와 자금 수령용 '머니 뮬' 은행계좌, 가상화폐 지갑 등도 확인했다.

연구진은 이렇게 채용한 인력들에게 통제된 가상 데스크톱을 업무용으로 제공해, 이들이 여는 파일과 네트워크 연결, 거의 모든 클릭을 실시간으로 기록해 이들의 활동 범위를 광범위하게 추적했다.


◎공감언론 뉴시스 [email protected]