북한 위장 취업, 속은 미국 기업 309곳이 월급을 내보냈다

라자루스·안다리엘·김수키, 이름이 곧 조직도일까

북한 해킹 뉴스에는 라자루스, 안다리엘, 김수키가 번갈아 나온다. 세 이름을 북한군 부대 이름처럼 읽기 쉽지만 그렇지 않다. 보안업체마다 공격 활동을 추적하며 따로 붙인 분류명이 섞여 있다.

마이크로소프트의 명칭표에서 김수키는 에메랄드 슬리트, 안다리엘은 오닉스 슬리트, 라자루스는 다이아몬드 슬리트와 같은 대상으로 올라 있다. 업체별 이름을 맞춰 보는 용도일 뿐 조직도가 아니다.

미국 재무부는 2019년 9월 13일 라자루스, 블루노로프, 안다리엘을 제재 대상으로 지정하며 북한 정찰총국의 통제를 받는 조직이라고 밝혔다. 라자루스는 정부·군·금융기관·제조업체에서 정보와 금전을 노렸고, 블루노로프는 해외 금융기관의 자금 탈취를 맡았다는 것이 재무부의 지목이다.

국내에서도 같은 구도가 확인됐다. 경찰청 국가수사본부는 2024년 4월 23일 세 조직의 공격으로 방산업체 10여 곳이 피해를 봤다고 발표했다. 공격에 쓰인 IP, 악성코드, 수법이 판단 근거였고, 협력업체나 유지보수 업체를 먼저 뚫은 뒤 방산업체로 들어간 경로도 있었다.

집 한 채에 노트북 90대, '노트북 농장'은 실물이었다

위장 취업은 남의 신분이나 허위 신원으로 기업의 원격 일자리를 얻는 수법이다. 문제는 회사가 지급한 노트북이 어디에 있느냐다. 미국인 조력자가 노트북을 대신 보관하고 해외 인력의 접속을 도우면, 회사 화면에는 미국 안에서 일하는 직원이 뜬다.

애리조나의 크리스티나 마리 채프먼은 이 역할을 맡았다. 2023년 10월 압수수색에서 그의 자택에서 노트북 90대 이상이 나왔고, 49대는 이미 북·중 국경 인근 중국 도시 등 해외로 발송된 뒤였다.

피해 기업에는 포천 500대 기업이 들어 있었다. 5대 방송사, 항공우주 제조사, 자동차 회사, 명품 유통사가 속했다. 미 법무부는 2025년 7월 채프먼에게 징역 102개월이 선고됐다고 밝혔다.

채프먼이 북한 IT 인력의 취업을 도운 미국 기업은 309곳이다. 채용 담당자가 서류와 화상 면접만 보고 뽑았다면 걸러내기 어려웠을 규모다.

월급은 어떻게 북한으로 흘러가나

위장 취업의 돈은 훔친 돈이 아니라 정상적으로 지급된 급여다. 채프먼은 급여를 자기 미국 계좌로 직접입금 받았고, 도용한 신원 명의의 급여수표를 위조했다. 수익은 해외 개인에게 송금됐다.

이 사기로 채프먼과 북한 쪽에 발생한 불법 수입은 1,700만 달러 이상으로 파악됐다. 법원은 채프먼에게 징역형과 함께 28만4,555.92달러 몰수, 17만6,850달러 배상도 명령했다.

기업 입장에서는 월급 지급 체계가 그대로 송금 통로가 된 셈이다. 속은 회사는 정상 직원에게 주는 것과 똑같은 절차로 돈을 내보냈고, 그 돈이 제재 대상 정권으로 흘러갔다. 피해는 급여 지급 자체에서 시작된다.

도용당한 미국인 68명의 이름에는 무슨 일이 생겼나

이 사건에서 신원이 도용된 미국인은 68명이다. 북한 인력이 번 소득은 도용되거나 빌린 신원으로 미 국세청과 사회보장국에 신고됐다. 아무것도 모르는 사람 이름으로 소득이 잡힌 것이다.

당사자는 일한 적 없는 회사의 소득이 자기 세금 기록에 얹힌 상황을 나중에 알게 될 수 있다. 위장 취업의 피해자 목록에 개인이 들어가는 이유다.

FBI는 지난해 1월 위험이 신원 사기에 그치지 않는다고 경고했다. 북한 IT 인력이 기업의 민감한 자료를 빼내고, 탈취한 자료와 코드를 빌미로 금전을 요구한 사례가 있다는 것이다.

코인 탈취와 위장 취업, 돈의 성격은 어떻게 다른가

코인 탈취는 한 번에 크게 터진다. 2025년 2월 21일 공개된 거래소 바이비트 해킹에서는 14억 달러 이상이 털렸고, FBI는 2월 27일 북한 소행이라고 발표했다. 체이널리시스 집계로 2025년 상반기 북한 연계 탈취액은 21.7억 달러로, 2022년 같은 기간보다 약 17% 많았다.

훔친 코인은 세탁이 필요하다. 구글 산하 맨디언트는 2023년 3월 보고서에서 북한 APT43이 훔친 가상자산으로 채굴 연산 능력을 빌린 뒤, 새로 채굴한 가상자산을 지정한 지갑으로 받는다고 밝혔다. 처음 낸 코인과 받은 코인 사이에 블록체인상 직접 연결이 남지 않게 하려는 수법이다.

그렇게 마련한 돈은 활동에 필요한 인프라 구매 자금으로 쓰인다. 해킹은 대형 한 방, 위장 취업은 한 달에 한 번 들어오는 월급이라는 점이 두 돈줄을 가른다. 한 방은 터진 뒤 추적이 쏠리지만, 월급은 회사 급여 처리에 섞여 오래 간다.

한국 개인투자자에게 직접 바뀌는 것은 크지 않다. 해외 거래소나 지갑에 코인을 둘 때 거래소 같은 서비스 단위가 북한의 주된 표적이라는 점 정도다. 위장 취업은 원격근무를 쓰는 국내 기업의 채용과 접근 권한 통제 문제에 가깝다.

AI는 북한 해킹에서 무엇을 바꿨나

마이크로소프트 위협 인텔리전스는 지난 29일(현지시간) 보고서에서 북한 연계 조직이 표적 조사, 사칭용 콘텐츠 제작, 허위 신원 유지, 도구 개발, 반복 작업에 AI를 쓴다고 밝혔다. 취업·면접을 미끼로 표적에 접근하는 조직과 신분을 속여 실제 일자리를 얻는 조직도 구분했다.

쓰임새는 구체적이다. 맞춤형 유인 메시지, 이력서, 인물 소개, 면접 답변을 만들고 외국어 표현을 자연스럽게 다듬는다. 2025년 6월 마이크로소프트의 앞선 분석에는 신분증 사진을 얼굴 교체 도구로 바꾸고 이력서를 AI로 다듬는다는 내용이 있다.

평가의 결론은 절제돼 있다. 현재 증거로는 AI가 주로 기존 수법의 효율과 생산성을 높이는 데 쓰이며, 작전은 여전히 사람이 지휘하고 완전 자율화 단계는 아니라는 것이다.

그래서 위장 취업은 AI 시대에 더 위험해진다. 이력서와 면접 답변은 AI가 다듬어 주지만, 노트북을 받을 미국 주소와 급여 계좌는 사람 조력자가 있어야 한다. 병목이 줄어든 만큼 같은 조직이 더 많은 회사에 지원할 수 있다.

방어선은 시스템 밖 채용과 재직 관리까지 넓어진다

결론은 단순하다. 북한의 공격이 시스템을 뚫는 일에서 사람을 뽑는 일로 번졌으니 방어도 방화벽 밖으로 나가야 한다. 채용할 때만이 아니라 재직 중에도 신원을 확인하고, 비정상적인 원격 접속과 자료 반출을 감시해야 한다.

업무자료는 필요한 범위에서만 접근하게 하고, 원격 접속 프로그램을 설치할 수 있는 권한도 제한하는 것이 현실적인 방법으로 꼽힌다. 방산업체 해킹에서 협력업체와 유지보수 업체가 먼저 뚫린 사례를 보면, 이 기준은 외주와 협력사에도 똑같이 적용해야 한다.

이름이 도용된 68명, 노트북 90대가 쌓인 집, 309곳의 회사는 같은 사실을 말한다. 북한발 위협의 핵심은 새 기술이 아니라 우리 일상의 신뢰 절차, 곧 채용과 월급이 얼마나 쉽게 돈줄이 되느냐다. 해킹은 사건으로 남지만 월급은 습관으로 남는다.