국가 차원의 사이버 외화벌이 시스템
북한 IT 위장 취업 내부 기록은 단순한 ‘해외 사기’가 아니라 국가 차원의 사이버 외화벌이·노동 체계가 어떻게 돌아가는지를 보여주는 사례다. 해외 펜팔·소개팅·프리랜서 플랫폼까지 동원해 신분을 사냥하고, 내부 감시 프로그램으로 인력을 통제하는 방식은 일반적인 범죄 조직과는 차원이 다르다. 북한이 아니면 의심하기 어려울 수준의 조직성과 은폐 기술이 결합된 구조라는 점에서, 사이버 안보 전문가들도 충격적이라고 평가한다.
펜팔 사이트까지 넓어진 ‘신분 사냥’
리성호(가명)의 사례는 이 시스템의 단면을 잘 보여준다. 그는 해외 펜팔 사이트에서 친구를 찾는 평범한 이용자로 가장하면서, 실제로는 돈을 주고 신분을 빌려줄 ‘파트너’를 모집하고 있었다. 자신이 북한 출신이라는 사실을 숨긴 채 해외 IT 원격 일자리를 구하는 ‘위장 취업자’였던 것이다. 상대가 “사기 아니냐”고 의심을 제기하자, 더 접근하지 못하게 막은 것도 북한 내부 감시 프로그램이었다는 점은 이 활동이 개인의 일탈이 아니라 통제받는 국책 사업임을 시사한다.
업무용 메신저가 보여준 조직의 실체
BBC 코리아가 입수한 컴퓨터 화면 기록과 업무용 메신저(IP 메신저) 채팅 로그는 위장 취업 활동 뒤에 더 큰 조직이 움직인다는 사실을 확인시켜 준다. IP 메신저는 북한 내부망에서 PC끼리 메시지와 파일을 주고받는 도구로, 기록에는 “모든 팀 매니저와 어시스턴트는 24시에 제3홀로 모이세요”, “비밀번호 Dandong****!” 같은 회의 소집·접속 비밀번호 공유가 그대로 담겨 있었다. 비밀번호에 중국 접경 도시 단둥이 포함된 것은, 그곳이 실제 운영 거점 혹은 은닉 루트와 연결된다는 점을 암시한다. 단일 프리랜서가 아니라 회의·지시·비밀번호 공유까지 갖춘 조직이라는 뜻이다.
다단계 계급 구조와 중국어 행위자
국내 보안업체 로그프레소 분석에 따르면, 해당 조직 내부에서는 최소 27개의 계정과 33대 이상의 컴퓨터가 확인됐고, 여러 아이디와 장비를 역할별로 배치·관리한 흔적이 발견됐다. 글로벌 보안업체 그룹-IB는 이 조직을 네 단계로 나눠 설명한다. 최하단에는 해외 기업에 원격 개발자로 위장 취업하는 IT 노동자들이 있고, 그 위로 전체 보안·규율을 관리하는 상위 관리자, 업무를 배정하는 중간 관리자, 가짜 이력서·계정을 준비하는 실무 지원자가 층을 이룬다. 연구진은 특히 실무 지원·IT 인력 가운데 중국어를 사용하는 행위자가 포함됐을 가능성을 지적하며, 중개자나 제3자와의 협력 구조를 강조한다.
탈북자가 증언한 ‘거실 작업장’과 합숙 생활
과거 중국에 파견돼 북한 IT 노동자로 일했던 탈북자 김현규(가명)는 이런 구조를 현장에서 확인했다고 증언한다. 그의 말에 따르면, 북한 IT 조직은 “보위원, 해외지사장, 단장, 조장, 개발자”로 이어지는 위계 구조를 갖고 있고, 전체 규모는 약 6000~7000명에 달한다. 이 중 3000명 안팎이 중국·동남아시아·러시아 등지에 상시 파견돼 있다고 추정했다. 노동자들은 수십 명 규모 팀으로 움직이며, 10명 안팎이 한 집에서 합숙하고, 그 집 거실을 작업장처럼 꾸며 컴퓨터 20대를 설치해 하루 종일 개발·위장 취업에 매달렸다고 설명했다.
‘신분 낚시질’과 드문 단속 사례
이들의 일상은 단순히 정해진 근무시간만 채우면 끝나는 구조가 아니다. 김 씨 증언에 따르면, 미국·유럽 기업이 주요 고객이었기 때문에 중국 현지 시간 저녁 9시부터 새벽 6시까지 일하는 패턴이 일반적이었다. 일감이 있을 때는 개발 업무를 수행하고, 일감이 없으면 텔레그램·디스코드 같은 플랫폼에서 “신분을 빌려줄 사람”을 찾는 ‘신분 낚시질’을 해야 했다. 이들은 “쉽게 돈 버는 방법이 있다”며 이름·생년월일·구직 사이트 계정 등 신원을 빌려줄 사람을 모집하고, 관심을 보이는 대상에게 월 수입의 10~15%를 나눠주겠다고 제안한다. 미국 법무부가 우크라이나인 올렉산드르 디덴코를 신원 판매 혐의로 징역 60개월에 처한 사례처럼, 이 네트워크가 국제 단속에 걸리는 경우도 있지만 아직은 예외적이다.
AI와 세부 규칙으로 강화되는 위장 취업
북한 IT 인력은 AI 기반 도구까지 활용해 이력서·면접 답변·온라인 프로필·말투·접속 시간을 실제 지원자와 거의 구분이 안 되는 수준으로 맞추고 있다. 내부 지침에는 기술 면접 답변을 쉬운 구어체로 바꾸고 “you know”, “I guess”, “um”, “uh” 같은 표현을 섞어 즉흥적으로 말하는 것처럼 보이게 하라는 조언이 담겨 있었다. 구인 플랫폼 계정 운용 방식도 ‘업워크 12조’ 같은 규칙으로 세세하게 관리되는데, “PC에서 Gmail에 절대 로그인하지 말라”, “클라이언트와 메시지를 주고받을 때는 세르비아 시간대에 맞춰 응답하라” 같은 지침이 대표적이다. 이는 한 기기에서 여러 Gmail 계정이 오가는 흔적을 남기지 않고, 접속 시간 패턴으로 실제 물리적 위치를 추적하려는 시도를 교란하려는 목적이다.
새로운 형태의 사이버 위협으로 인식해야 할 때
로그프레소 구동언 본부장은 이런 지침과 조직 구조를 두고 “북한이 아니면 의심할 수 있을 만한 집단이 없을 정도”라고 평가했다. 이렇게까지 신원을 속여가며 조직적으로 해외 IT 일감을 따내려는 집단은 북한 외에는 사례를 찾기 어렵다는 것이다. 지금까지 북한 IT 인력 문제는 “해외 기업에 위장 취업해 제재를 회피하고 외화를 벌어들인다”는 결과 중심으로만 알려져 왔지만, 이번 내부 기록은 그 배후에 있는 사이버 조직·감시 체계·노동 환경·세부 규칙까지 입체적으로 보여준다.
댓글0