미국의 컴퓨터 기업인 IBM 산하 사이버 분석업체 IBM X-포스와 캐나다에 본사를 둔 사이버 보안업체 플레어(Flare)가 18일 북한 정보기술(IT) 인력들이 위조 신분을 이용해 북미와 서유럽 기업에 조직적으로 침투하고 있으며, 이를 관리하는 내부 플랫폼까지 운영하고 있다는 연구 결과를 발표했습니다.

두 기관이 공동 발표한 보고서에 따르면 북한 정권은 수천 명의 숙련된 IT 전문 인력을 동원해 주로 재정 수입 창출을 목적으로 서방 기업에 침투시키고 있으며, 일부 경우 기업 기밀 탈취와 첩보 활동도 병행하고 있는 것으로 나타났습니다.

보고서는 특히 미국 재무부의 제재 대상인 조선룡봉총회사(Korea Ryonbong General Corporation)를 지칭하는 것으로 추정되는 'RB 사이트'라는 내부 관리 플랫폼을 북한이 운영하고 있다고 지적했습니다. 북한이 이 플랫폼을 통해 IT 인력들의 업무 현황 추적, 기기 관리, 소프트웨어 업데이트 배포 등이 이뤄지고 있는 것을 확인했다는 것입니다.

또한 북한 IT 인력 생태계가 '모집책', '중간 관리자', 'IT 인력', '서방 협력자'의 4개 계층으로 구성된 정교한 다단계 구조를 갖추고 있다면서, 특히 서방 협력자들은 자신의 신원을 제공하고 취업 약물 검사 대리 수검, 여권 및 운전면허증 취득, 신원조회 통과, 고용 서류 작성, 회사 지급 노트북 수령 등을 담당하는 것으로 확인됐다고 밝혔습니다.

보고서는 또 북한 IT 인력들의 일상적 업무 방식도 구체적으로 파악했는데, 이들이 매일 최대 300건의 프리랜서 입찰을 진행하고, 구글 번역을 통해 영문 업무 지시를 한국어로 역번역해 의미를 확인하며, 챗GPT를 활용해 기술적 문제를 해결하는 방식으로 업무를 수행하는 것으로 드러났다고 전했습니다. 아울러 내부 업무 추적 문서에는 각 인력의 업무 시간이 초 단위로 기록돼 있었으며, 성과 하위 인력은 동료들 앞에서 '자기비판' 처벌에 처해지는 것으로 나타났습니다.

보고서는 북한 IT 인력들이 취업 후 관리자로부터 성과 문제 지적을 받거나 화상 대면 회의 요구가 잦아지면 스스로 퇴직하거나 해고당한 뒤 즉시 새로운 가짜 신분을 만들어 동일한 과정을 반복한다고 밝혔습니다.

연구진은 기업들에 채용 및 입사 과정에서 철저한 신원 확인과 대면 인터뷰 실시, 직원 기기 내 넷키(NetKey)·오커넥트(OConnect) 등 북한 특정 소프트웨어 설치 여부 점검, 비정상적인 VPN 및 원격 접속 소프트웨어 사용 모니터링을 권고했습니다.