동향 요약
북한 연계 정보기술(IT) 인력은 원격 채용 시장의 신원 확인 공백을 이용해 해외 기업의 개발·IT 직무에 위장 취업하고, 임금 수익과 내부 시스템 접근권한을 동시에 확보하려는 활동을 이어가고 있다. 이 위험은 채용 사기만으로 끝나지 않는다. 소스코드 저장소, 클라우드 콘솔, 협업 도구, 고객 정보, 지급 계정에 접근하는 내부자·공급망 위험으로 이어진다.
미 국무부·재무부·연방수사국(FBI)은 2022년 5월 16일 공동으로 발간한 「Guidance on the Democratic People’s Republic of Korea Information Technology Workers」에서 북한 IT 인력의 해외 원격 고용이 제재 회피와 수익 창출 위험을 만들 수 있다고 안내했다. 조직은 국적이나 개인의 외형을 근거로 판단하지 말고, 지원자 신원·근무 위치·지급 수취인·업무 계정의 일관성을 검증하는 통제로 대응해야 한다.
배경 및 현황
원격 근무는 채용 풀을 넓혔지만, 채용 담당자·외주 관리 부서·개발 조직이 서로 다른 증빙을 보관하는 구조를 만들었다. 이 구조에서는 이력서의 이름, 화상 면접의 인물, 노트북을 실제 사용하는 사람, 급여를 받는 계좌가 서로 다른 경우를 한 단계에서 발견하기 어렵다. 북한 IT 인력 활동은 이 분리를 악용한다.
공동지침은 가명 또는 타인 신원 사용, 제3자 수취 계좌, 원격 접속 환경의 불일치 같은 위험 신호를 고용주가 확인하도록 권고한다. 미 재무부 해외자산통제국(OFAC)의 북한 제재 프로그램 안내와 함께 적용하면, 채용·조달·지급 절차에서 제재 준수 위험을 별도로 검토할 수 있다. 이 글에서 다루는 통제는 특정 국적을 판별하는 수단이 아니라, 신원·업무 수행·권한·지급 정보의 불일치를 조사하는 절차다.
이 사안의 통제 목표는 특정 개인을 배제하는 데 있지 않다. 고용 관계의 네 가지 연결점, 즉 신원, 실제 근무 수행자, 접근권한, 지급 흐름이 일치하는지 확인하고 불일치가 있으면 조사하는 데 있다. 정규직뿐 아니라 계약직, 프리랜서, 외주 개발사, 인력 공급업체를 같은 기준으로 다뤄야 한다.
주요 사례
가짜·도용 신원과 화상 면접 대리
공동지침은 지원자와 계약·지급 정보가 서로 다를 수 있는 위험을 설명한다. 면접 통과만을 목적으로 한 일회성 확인은 충분하지 않다. 입사 후 신원 확인을 다시 수행하고, 계정 수령자와 실제 업무 수행자가 동일한지 확인해야 한다. 신분증 이미지만 받는 방식은 위조·도용 문서를 가려내지 못할 수 있으므로, 신뢰 가능한 신원확인 서비스와 인사 기록의 교차 검증이 필요하다.
원격 접속 환경의 공유·우회 사용
공동지침은 원격 근무 환경과 업무 수행자의 불일치를 확인해야 한다고 안내한다. 회사가 지급한 장비가 승인되지 않은 장소에서 사용되거나, 하나의 업무 계정에 서로 다른 지역·기기 특성이 반복적으로 나타나면 확인 대상이다. 다만 IP 주소만으로 개인의 신원이나 의도를 단정해서는 안 된다. 여행, 기업 VPN, 네트워크 장애 같은 정상 사유를 기록하고, 장비 관리·다중 인증·세션 로그·관리자 승인을 함께 확인해야 한다.
개발 자산과 지급 경로의 악용
개발 직무는 저장소, 패키지 레지스트리, CI/CD, 클라우드 비밀정보에 접근할 가능성이 있다. 처음부터 광범위한 관리자 권한을 부여하면 신원 문제가 확인되기 전에 소스코드 반출, 비밀정보 노출, 빌드 파이프라인 변경 위험이 커진다. 지급 측면에서는 계약서의 수취인, 세금·사업자 정보, 실제 급여 계좌, 청구서의 법인·주소가 일치하는지 확인해야 한다. 수취인 변경 또는 제3자 계좌 요청은 인사·재무·보안이 공동으로 검토할 신호다.
산업·기술 영향
원격 개발자와 외주 인력을 많이 활용하는 소프트웨어, 핀테크, 암호화폐, IT 서비스, 방위산업 공급망은 우선 점검 대상이다. 그러나 위험은 업종만으로 결정되지 않는다. 고객 데이터, 소스코드, 운영 콘솔 또는 자금 승인 권한을 가진 직무라면 규모와 무관하게 같은 통제가 필요하다.
채용 단계의 검증 실패는 입사 이후 IAM(Identity and Access Management) 운영 실패로 전환된다. 개인 계정과 공유 계정을 구분하지 않거나, 퇴사·계약 종료 시 권한을 제때 회수하지 않거나, 외주 인력에게 영구 토큰을 발급하면 조사와 차단이 어려워진다. 소프트웨어 공급망 관점에서는 최소 권한, 단기 자격증명, 코드 검토, 서명된 빌드, 비밀정보 관리가 위장 취업 위험의 피해 범위를 줄이는 방어선이다.
재무·조달 부서도 보안 통제의 일부다. 지급 수취인 검증을 인사 온보딩과 분리하면 위장 신원 또는 중개 계좌 사용 여부를 놓칠 수 있다. 반대로 보안팀이 지급정보를 불필요하게 광범위하게 열람하면 개인정보 위험이 생긴다. 필요한 것은 역할 기반 검토와 예외 승인 기록이며, 전체 급여 정보를 보안팀에 복제하는 방식이 아니다.
전망 및 시사점
조직은 아래 점검표를 채용, 온보딩, 운영, 계약 종료 과정에 적용할 수 있다.
- 채용 전: 신뢰 가능한 절차로 신원·근무 가능 지역·경력 정보를 확인한다. 면접 참석자, 신원 증빙의 소유자, 계약 당사자가 일치하는지 기록한다. 외주사에는 하도급 인력의 신원확인과 재위탁 통제를 계약상 요구한다.
- 온보딩 시: 회사 관리 장비, 피싱 저항성 다중 인증, 개인별 계정, 최소 권한을 기본값으로 적용한다. 소스코드·클라우드 관리 권한은 업무 필요성과 승인 절차를 거쳐 단계적으로 부여한다.
- 운영 중: EDR, MDM, IdP, VPN, 코드 저장소, 클라우드 감사 로그를 보존하고, 불가능한 이동(impossible travel), 승인되지 않은 장비, 반복된 다중 인증 재설정, 비정상적 토큰 발급을 상관 분석한다. 탐지 결과는 인사·법무와 함께 검토해 오탐과 차별 위험을 줄인다.
- 지급·조달 시: 계약 당사자와 지급 수취인 정보의 변경을 이중 승인으로 처리한다. 계좌 변경, 제3자 수취, 국가·주소 불일치, 촉박한 예외 요청은 보안·재무 공동 검토 대상으로 분류한다.
- 의심 징후 발생 시: 계정을 즉시 삭제하기 전에 세션·인증·저장소·클라우드·지급 관련 증적을 보존하고, 토큰과 비밀정보를 순차적으로 회전한다. 법무 자문을 거쳐 내부 조사 범위를 정하고, 미국 관할의 피해 또는 단서가 있으면 FBI IC3 신고 경로를 검토한다.
가장 먼저 할 일은 현재 원격 인력의 관리자 권한, 장기 액세스 토큰, 지급 수취인 변경 이력을 확인하는 것이다. 다음 단계는 채용·보안·재무가 공유하는 예외 처리 절차를 만들고, 외주 계약에 신원확인·장비관리·접근권한 회수·감사 협조 조항을 넣는 일이다. 통제의 기준을 신원이나 출신이 아닌 검증 가능한 행위와 권한으로 유지해야 보안 효과와 공정성을 함께 확보할 수 있다.
참고문헌
- U.S. Department of State, U.S. Department of the Treasury, and Federal Bureau of Investigation, Guidance on the Democratic People’s Republic of Korea Information Technology Workers — 2022-05-16
- U.S. Department of the Treasury, North Korea Sanctions
- 보안뉴스, 북한 연계 IT 인력 위장취업 관련 보도
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!