그룹아이비(Group-IB), 북한 IT 인력의 글로벌 기업 'AI 와 가짜 신분 활용 위장 취업' 적발

디지털 범죄를 조사, 예방 및 대응하기 위한 사이버 보안 기술 분야의 글로벌 선도적 기업인 그룹아이비(Group-IB, www.group-ib.com 지사장 김기태)는 오늘, 사기성 원격 고용 방식을 통해 글로벌 기업에 침투하는 북한(DPRK) IT 인력 연계 조직의 지속적인 캠페인을 포착했다.

Group-IB는 최신 연구 보고서인 “북한 IT 근로자의 발자취를 따라서(Following the Footsteps of DPRK IT Workers)”를 통해, 이들이 합성 신원(Synthetic Identities), AI 기반 입사 지원서, 신뢰도 높은 디지털 플랫폼을 활용해 기존 보안 통제망을 우회하고 기업 환경에 합법적으로 접근하는 진화된 위협 수법을 폭로했다.

사이버 침투의 새로운 단계

기존의 전형적인 사이버 공격과 달리, 이번 캠페인은 위협 행위자가 가짜 신분으로 합법적인 고용 형태를 취해 조직 내부로 침투하는 “인력을 활용한 접근 모델”을 보여준다.

Group-IB 위협 인텔리전스(Threat Intelligence) 팀은 깃허브(GitHub), 프리랜서 마켓플레이스, 포트폴리오 사이트 등 다양한 플랫폼에서 활동하는 가짜 개발자 페르소나들의 조직적인 생태계를 발견했다. 이러한 활동은 최소 2021년부터 시작되어 2026년 3월까지 지속되고 있는 것으로 확인됐다.

주요 조사 결과 내용

• 확장된 위협 인프라: Group-IB는 기존에 노출된 계정 외에도 리포지토리, 이메일, 포트폴리오 사이트에 걸친 더 광범위한 네트워크를 확인했다.

• 재사용 가능한 합성 신원: 위협 행위자들은 개발자 페르소나를 반복적으로 재사용하거나 용도를 변경했다. 이 과정에서 기술적 프로필은 유지하면서 개인 이력의 세부 사항만 수정하는 수법을 썼다.

• 중앙 집중식 운영 지원: 신원 제작 키트, 입사 지원서 템플릿, AI 생성 답변, 계정 접속 정보가 포함된 아카이브(Archive)가 발견됐다.

• AI 기반 사회 공학 기법: 생성형 AI 도구를 체계적으로 활용해 설득력 있는 입사 지원서를 작성하고 고용주와 소통한 증거가 포착됐다.

• 프리랜서 플랫폼 악용: 업워크(Upwork)와 같은 플랫폼에서 인증된 계정을 확보해 신뢰도를 높이고 일자리를 쉽게 구하려는 시도가 포함됐다.

산업화된 공작과 법적 리스크

특히 이번 조사에서 가장 주목할 만한 발견은 위조 문서와 체계적인 고용 워크플로우가 담긴 ‘합성 신원 패키지 저장소’다. 이는 해당 작전이 매우 산업화된 규모로 진행되고 있음을 여실히 보여준다.

이러한 위협의 파장은 단순한 IT 보안 문제를 넘어선다. 북한 연계 근로자를 무의식적으로 고용한 조직은 국제 제재 체계 위반을 포함해 심각한 법적 책임 및 규정 준수(Compliance) 위험에 직면할 수 있다.

현재 이 캠페인은 전 세계 기업을 표적으로 삼고 있으며, 위협 행위자들은 미국, 유럽, 아시아 태평양 등 다양한 지역의 지원자로 위장하고 있다. Group-IB는 자사의 위협 인텔리전스 프레임워크를 통해 해당 캠페인을 지속적으로 추적하고 있으며, 관련 플랫폼 및 파트너사와 조사 결과를 공유했다.