북한 IT 인력, 미국 기업 70곳 넘게 영향…장비 약 187대 압수

미국 법무부가 2026년 10월 13일 발표한 북한 원격 IT 인력 수사에서 허위 채용 사건의 영향을 받은 미국 기업은 70곳이 넘고, 텍사스의 별도 작전에서 압수된 노트북과 KVM 원격제어 장치는 합쳐서 약 187대라고 로이터의 사건 보도는 전했다. 미국에서는 회사 지급 장비를 받아 보관하며 해외 인력의 접속을 도운 혐의로 마이클 제임스 보스텔과 후안 세실리오 페냐 카리요가 체포됐다.

법무부의 공식 발표에는 피고인 14명에 대한 기소와 텍사스의 주거지 40곳 넘게 대상으로 한 수사 내용이 담겼으며, 존 A. 아이젠버그 국가안보 담당 차관보는 이 수법이 “These schemes threaten the security of the IT systems and data of the deceived U.S. employers”라고 말했다. 기업이 채용 과정에서 확인한 신원은 회사 장비와 업무 계정의 접근 권한으로 이어졌고, 그 대가로 지급된 급여는 해외로 옮겨졌다는 것이 기소 내용이다. 기소는 법원의 유죄 판단이 아니다.

도용한 신원이 원격 채용의 출발점이 됐다

기소된 수법은 지원자의 신원과 실제 업무 수행자를 분리하는 데서 시작됐다. 북한을 위해 일한 것으로 지목된 인력은 도용하거나 위조한 신분 자료를 사용하고, 가상사설망과 프록시를 거쳐 미국 안에서 근무하는 사람처럼 보이게 한 뒤 원격 IT 직무를 얻은 혐의를 받는다. 기업이 확인한 이름과 접속 위치가 실제 작업자의 신원과 위치를 가리키지 않았을 수 있다는 뜻이다.

이력서와 채용 플랫폼의 계정이 자연스러워 보여도, 면접에 참여한 사람과 입사 뒤 회사 계정을 쓰는 사람이 같은지는 별개의 문제다. 신원 정보가 채용 단계에서 잘못 연결되면 계정 발급과 장비 지급은 그 오류를 정상적인 고용 관계처럼 굳힐 수 있다. 따라서 확인해야 할 대상은 제출된 서류만이 아니라 면접 참여자, 장비 수령자, 실제 계정 사용자 사이의 연결이다.

신원 도용은 다른 사람의 이름을 쓰는 데서 끝나지 않았다. 실제로 채용이 성사되면 기업은 허위 신원으로 등록된 직원에게 개발 업무에 필요한 계정과 자료 접근 권한을 부여한다. 입사 절차를 통과했다는 사실만으로 이후 접속을 모두 같은 사람의 행위로 간주하면, 신원 확인에서 생긴 오류가 업무 기간 내내 남게 된다.

이 사건의 피해 범위에는 고용주뿐 아니라 신원을 도용당한 사람도 포함된다. 회사가 작성한 인사·급여 기록에 피해자의 이름이 사용될 수 있고, 지원 과정의 행위가 본인에게 잘못 연결될 수도 있다. 채용 통제가 느슨하면 한 사람의 허위 입사가 기업 시스템 접근과 제삼자의 신원 피해를 동시에 낳는 구조다.

미국 내 조력자가 회사 노트북을 받아 보관했다

미국 현지 조력자가 주거지에서 회사 지급 노트북을 받아 해외 인력의 원격 근무를 가능하게 한 경로

해외에 있는 작업자가 미국 현지 직원처럼 보이려면 회사 장비를 미국 주소에서 받아 계속 연결해 둘 사람이 필요했다. 현지 조력자들은 피해 기업이 지급한 노트북을 주거지에서 수령하고 보관하며 원격 접속을 가능하게 한 혐의를 받는다. 여러 기업의 지급 장비가 놓인 이런 거점을 수사당국은 ‘노트북 팜’이라고 불렀다.

기업의 장비 관리 기록에는 배송이 완료되고 지급한 컴퓨터가 온라인 상태로 나타날 수 있다. 그러나 배송지를 제공한 사람과 채용된 사람, 컴퓨터를 원격으로 조작하는 사람이 다르면 배송 완료 사실은 사용자의 신원을 입증하지 못한다. 장비가 어디에 있는지와 누가 그것을 조작하는지를 따로 확인해야 하는 이유다.

조력자의 역할은 노트북 보관에만 한정되지 않는다. 신원이나 오래 사용한 온라인 계정을 빌려주고 면접에 대신 참여하거나, 지급 장비의 인터넷 연결을 유지하는 식으로 여러 단계에 관여할 수 있다. 인사 담당자는 지원자의 기록을, IT 담당자는 장비의 상태를 각각 정상으로 판단하더라도 두 기록을 대조하면 다른 사람이 개입한 흔적이 드러날 수 있다.

텍사스 수사에서 압수된 수량은 노트북만의 수량으로 읽어서는 안 된다. 공식 발표는 노트북과 키보드·화면·마우스 입력을 원격으로 전달하는 KVM 장치를 합쳐 약 187대라고 설명했다. 두 종류의 장비가 함께 등장한다는 사실은 현지에 놓인 회사 컴퓨터를 외부에서 조작하게 하는 물리적 경로를 보여준다.

원격 접속이 업무 권한으로 이어졌다

회사 지급 노트북은 기업이 승인한 업무 환경에 들어가는 통로였다. 혐의 내용에 따르면 조력자들은 장비를 설치하고 원격 접속 소프트웨어를 사용해 해외 인력이 미국에 놓인 컴퓨터를 조작할 수 있게 했다. KVM 장치 역시 컴퓨터의 입력과 화면을 떨어진 곳으로 전달하는 수단이 될 수 있다.

이 구조에서 로그인 성공 기록만으로는 실제 작업자의 위치를 알기 어렵다. 회사 입장에서는 승인된 노트북과 직원 계정으로 접속한 것처럼 보이지만, 그 장비의 조작 권한은 다른 장소로 넘어가 있을 수 있다. 특히 개발 직무에 소스코드 저장소와 내부 자료의 접근 권한이 주어지면 허위 채용은 급여 손실을 넘어 정보보안 문제로 이어진다.

다만 영향을 받은 모든 기업에서 자료 유출이 확인됐다는 의미는 아니다. 이 사건에서 공통으로 드러난 것은 허위 신원으로 얻은 직무와 회사 지급 장비가 내부 시스템에 접근할 조건을 만들었다는 점이다. 어떤 자료에 실제로 접근했는지는 기업별 계정 권한과 접속 기록을 통해 구분해야 한다.

장비가 회사 관리 체계에 등록돼 있다는 사실과 장비를 조작하는 사람이 승인된 직원이라는 사실도 다르다. 지급 장비에 허용된 원격제어 방식, 설치된 프로그램, 접속 경로가 채용 당시 확인한 인물의 업무 방식과 맞는지 살펴야 한다. 이 연결이 끊기면 정상 장비를 통한 접속이 오히려 실제 작업자를 가리는 수단이 된다.

급여 경로와 채용 기록을 함께 봐야 한다

회사 지급 노트북의 실제 사용자와 KVM 원격제어 장치 사용 여부를 대조하는 장비 점검

급여는 허위 채용 경로의 마지막 단계다. 기소된 사건에서는 원격 업무로 얻은 수익이 북한이 통제하는 계좌로 옮겨졌고, 제재 대상 단체에 전달된 것으로 추정된다. 인사 정보와 지급 정보가 따로 관리되면 채용 당시 확인한 신원, 급여 수령인, 계좌 변경 내역 사이의 불일치를 놓치기 쉽다.

한국 기업의 채용 과정에도 같은 종류의 연결 확인이 적용된다. 채용 시 확인한 인물, 회사 장비를 받은 사람, 업무 계정을 사용하는 사람, 급여를 받는 사람이 하나의 고용 관계 안에서 설명되는지 대조하는 것이다. 이는 미국 사건의 피해를 국내 피해로 확대해 해석하는 일이 아니라, 원격 채용에서 신원 확인이 장비와 접속 관리까지 이어지는지 살피는 기준이다.

미 연방수사국의 기업 대상 안내는 단일 징후로 북한 IT 인력을 판별하기 어렵다며 채용부터 재직까지 여러 단계에서 신원과 접근 정보를 확인하도록 권고한다. 원격 접속 프로그램이나 KVM 장치의 사용, 주소와 계좌의 잦은 변경, 직무와 무관한 프로그램 설치는 각각 다른 설명도 가능하다. 인사·IT·보안 담당자가 기록을 함께 보면 개별 징후보다 그 사이의 관계를 판단하기 쉽다.

장비를 이미 지급한 기업이라면 수령 주소와 현재 접속 경로를 채용 당시 확인한 사람에게 연결할 수 있는지가 구체적인 점검 지점이다. 급여 계좌나 배송 주소가 바뀌었을 때 누가 요청하고 승인했는지도 같은 기록 안에서 확인할 수 있어야 한다. 이름이나 출신 배경만으로 지원자를 걸러내면 정상 지원자와 신원 도용 피해자를 잘못 의심할 수 있으므로, 판단의 근거는 서로 맞지 않는 행위와 기록이어야 한다.

이번 사건은 채용 이후에도 신원 확인이 끝나지 않는다는 점을 보여준다. 지원자 확인 기록과 장비 수령 기록, 계정 접속 기록과 급여 변경 기록이 같은 사람의 업무를 설명하지 못한다면 그 계정의 권한과 실제 사용자를 다시 확인해야 한다. 기업에 남는 과제는 허위 채용이 승인된 장비와 계정을 통해 계속 업무 접근으로 이어지는 경로를 끊는 일이다.

함께 읽기: