[뉴스스페이스=김정영 기자] 북한 연계 IT 인력 조직이 생성형 AI와 위조 신원, 원격접속 인프라를 결합해 1,100개 이상 기업에 원격 일자리를 지원하고 최소 10개 조직에 실제 취업했을 가능성이 제기됐다.

securitybrief, rocketcitynow, waff.com, itpro.com에 따르면, 단순 임금 편취를 넘어 소스코드·내부 회의·수출통제 기술에 접근할 수 있는 ‘채용 경로의 내부자 위협’이 현실화되고 있다는 분석이다.

북한 공작원들, AI로 만든 가짜 신원으로 1,100개 기업에 입사 지원

8월 17일(현지시간) Recorded Future 산하 인식트그룹(Insikt Group)이 발표한 보고서에 따르면, 북한의 국가 주도 공작 조직이 최소 22개의 허위 신원을 이용해 1,100개 이상의 기업에 원격 근무 지원서를 제출했으며, 하루 최대 60건의 지원서를 넣은 것으로 나타났다. 해당 위협 인텔리전스 회사는 이 조직을 '퍼플델타(PurpleDelta)'로 명명하고, 공작원들이 10개 이상의 기업에 실제로 채용돼 내부 위협이 현재진행형임을 시사한다고 밝혔다.
 

‘가짜 이력서’가 아니라 AI 기반 채용 공정

퍼플델타의 핵심은 개별 지원자의 사기보다 ‘대량·반복 가능한 채용 자동화 체계’다. 이들은 미국·독일·브라질 거주자로 위장한 신원을 만들고, 특히 미국 플로리다 거주자라는 설정을 다수 사용했다. 지원은 Indeed, Upwork, ZipRecruiter, PeoplePerHour, Remote OK, SEEK 등 다수 플랫폼에서 이뤄졌으며, 운영자들은 다계정 브라우저와 별도 크롬 프로필, 구글 캘린더, 지원 현황 스프레드시트를 사용해 페르소나별 활동을 분리·관리했다.

AI는 채용 전 과정에 투입됐다. 보고서에 따르면 이들은 AI 생성 프로필 사진과 유료 신분증 생성 서비스에서 조달한 신분증을 사용했고, 가짜 인물별로 맞춤형 챗GPT 어시스턴트를 구성했다. 해당 AI는 면접 때 인물의 경력·말투·기술 스택을 일관되게 재현하도록 설계됐으며, 채용 공고에 맞춰 실제 기업 경력처럼 보이는 고급 소프트웨어 엔지니어 이력서를 제작하는 용도로도 활용됐다.

화상 면접도 방어막이 되지 못했다. 운영자들은 음성 전사 프로그램으로 면접 질문을 실시간 텍스트화한 뒤 챗GPT에 입력하고, 생성된 답변을 그대로 읽는 방식으로 대응했다. Recorded Future는 일부 사례에서 답변 내용이 틀렸음에도 이를 그대로 반복한 정황을 확인했다고 밝혔다. 이는 영어 구사력이나 실무 전문성이 부족한 운영자가 AI를 통해 면접을 통과하려 했을 가능성을 시사한다.

노린 곳은 IT만이 아니었다

지원 대상 기업의 약 41%는 IT·소프트웨어 서비스 업종이었지만, 인력소개·컨설팅 업종도 약 26%, 헬스케어·바이오 업종도 약 10%를 차지했다. 금융 부문도 표적 범위에 포함됐다. 기업 소재지는 북미가 약 80%로 가장 많았지만, 지원은 전 세계 모든 지역의 기업을 상대로 이뤄졌다고 Recorded Future는 분석했다.

이는 원격 인력 채용이 활발하고 외주·프리랜서 활용 비중이 큰 업종일수록 위험이 커질 수 있음을 보여준다. 특히 채용 대행사나 외주 플랫폼을 거치면 고용 기업이 지원자의 신원 검증을 제3자 절차에 의존할 가능성이 높아진다. 이 경우 가짜 신원은 채용 단계에서만 문제가 되는 것이 아니라 회사 계정, 코드 저장소, 협업 툴, 내부 문서 관리 체계로 들어가는 접근권한의 출발점이 된다.

실제 퍼플델타 운영자들은 최소 10개 조직의 AI·핀테크·IT서비스·미디어·비영리 분야에서 고용됐을 가능성이 높은 것으로 분석됐다. 한 운영자는 AI 기업에 재직 중인 ‘패트릭’이라는 페르소나의 이메일과 슬랙 업무공간을 열어 둔 상태에서, 별도의 ‘마이클 브라운’ 신원으로 물리치료 기술기업 면접을 진행한 정황도 포착됐다. 한 사람이 최소 4개 신원을 동시에 관리한 사례도 확인됐다.

‘노트북 농장’과 조력자, 국경을 지운 우회망

취업 이후에는 내부 정보 유출 위험이 본격화된다. Recorded Future는 운영자들이 화상회의와 업무 세션을 녹화하고, 개인 기기와 개인 은행계좌 사용을 정당화하기 위한 문구를 구글 번역으로 미리 작성해 둔 사실을 확인했다. 또 텔레그램과 슬랙을 통해 다른 인력과 업무를 조율한 정황도 발견됐다.

특히 현지 조력자가 기업 지급 노트북을 수령·관리하고, 북한 연계 운영자가 원격 데스크톱 도구로 해당 장비에 접속하는 이른바 ‘노트북 농장(laptop farm)’ 구조가 핵심 우회 수단으로 지목된다. 회사가 접속 IP나 장비 위치를 확인해도 노트북 자체가 미국 등 채용 국가에 있다면 실제 작업자의 해외 소재지를 식별하기 어렵기 때문이다.

미 법무부가 2025년 6월 공개한 수사 결과도 이 같은 구조의 실체를 보여준다. 법무부는 북한 IT 인력의 원격취업 사기와 관련해 미국 16개 주의 노트북 농장 29곳을 수색하고, 금융계좌 29개와 사기 웹사이트 21개, 컴퓨터 약 200대를 압수했다고 밝혔다. 이 가운데 FBI는 14개 주 21곳에서 노트북 약 137대를 확보했다.

법무부에 따르면 2021년부터 2024년 10월까지 한 공모 조직은 80명 이상의 미국인 신원을 도용해 100곳 이상의 미국 기업에 원격 IT 인력을 취업시켰다. 이 과정에서 피해 기업들은 법률비용과 네트워크 복구비 등을 포함해 최소 300만달러의 손실을 입은 것으로 조사됐다. 해당 조직은 미국 내 조력자들이 기업 노트북을 보관하고 키보드·비디오·마우스(KVM) 원격접속 장비를 연결하는 방식으로 해외 인력의 실제 위치를 감췄다.

임금 수익 넘어 기술·정보 탈취 위험

북한 IT 인력 조직의 목적은 임금 수취에 그치지 않는다. 미 법무부는 이들이 원격 취업 후 민감한 고용주 정보에 접근했고, 일부는 수출통제 대상 미국 군사기술 및 가상자산을 탈취했다고 밝혔다. 별도 사건에서는 북한 국적자들이 블록체인 연구개발 기업에 위장 취업한 뒤 스마트계약 코드 변경 등을 통해 당시 가치로 약 90만달러 이상의 가상자산을 빼돌린 혐의도 제기됐다.

Recorded Future 역시 퍼플델타가 확보한 AI·핀테크·IT서비스 분야의 자리가 독점 데이터, 소스코드, 내부 통신을 수집하는 통로로 활용될 가능성을 배제할 수 없다고 평가했다. 다만 해당 보고서의 ‘북한 연계’ 및 ‘국가 주도’ 평가는 민간 위협 인텔리전스 기업의 분석에 기초한 것으로, 개별 지원자와 기업별 침해 사실은 별도 포렌식 및 수사로 확인돼야 한다.

이 같은 위협은 일반적인 취업 사기 증가 흐름과도 맞물린다. 미국 연방거래위원회(FTC)에 따르면 취업 사기와 가짜 취업알선 관련 신고는 2020년부터 2024년까지 거의 3배로 늘었으며, 같은 기간 신고된 피해액은 9000만달러에서 5억100만달러로 증가했다. AI 기반 허위 프로필과 자동화된 지원 시스템이 확산될수록 구직자 대상 사기뿐 아니라 기업을 표적으로 한 ‘가짜 직원’ 사기 비용도 확대될 수 있다는 의미다.

기업의 방어선은 ‘채용 후’에도 필요하다

기업은 면접 영상 여부만으로 신원을 검증할 수 없다는 전제에서 채용 통제를 재설계해야 한다. 영상 면접에서 얼굴을 확인하더라도 AI 얼굴 합성, 실시간 답변 생성, 현지 조력자의 장비 대리 수령이 결합되면 전통적 비대면 검증은 쉽게 무력화될 수 있다.

우선 채용 단계에서 정부 발행 신분증과 영상 속 인물의 일치 여부를 검증하고, 학력·경력·근무 자격을 기재 기관에 직접 재확인해야 한다. 제3자 인력업체를 활용하는 경우에도 신원확인과 백그라운드 체크의 원자료 및 검증 절차를 확인할 필요가 있다.

온보딩 이후에는 지급 장비의 실제 수령인과 접속 위치를 지속 확인하고, 익명 우편함이나 지원자 명의와 다른 주소로 장비를 보내지 않는 통제가 요구된다. 상업용 VPN 사용 제한, 승인되지 않은 원격제어·원격관리 프로그램 차단, 최소권한 원칙, 소스코드·핵심 데이터에 대한 단계적 접근권한 부여도 필수적이다.

결국 원격 채용에서 신원 확인은 인사 부서의 행정 절차가 아니라 보안·제재 준수·내부통제의 문제로 바뀌고 있다. 퍼플델타 사례가 보여주는 것은 가짜 인물 한 명을 걸러내는 능력보다, 노출된 페르소나가 교체돼도 같은 조직이 다시 침투하지 못하도록 채용·장비·계정·결제 전 과정을 연결해 검증하는 기업의 역량이다.