AI로 신분 만들고 美기업 취업까지…진화하는 북한 사이버 공격

입력 2026-10-31 08:39:43 수정 2026-10-31 08:40:52

MS “북한 연계 조직, 표적 조사·허위 신원 유지에 AI 활용”

美기업 309곳 위장취업 지원…불법 수입 1700만달러

가상자산 탈취·방산기술 해킹 넘어 채용·원격근무까지 침투

[헤럴드경제=박혜림 기자] 북한의 사이버 위협이 가상자산 탈취와 방산기술 해킹을 넘어 인공지능(AI)을 활용한 신분 위장과 해외 기업 취업으로까지 확장되고 있다. 생성형 AI로 표적을 조사하고 이력서와 면접 답변을 만드는 등 기존 공격 수법의 효율을 높이는 데 AI를 적극 활용하고 있다는 분석이 나온다.

31일 연합뉴스에 따르면 마이크로소프트(MS) 위협 인텔리전스는 지난 29일 공개한 보고서에서 북한 연계 조직들이 표적 조사와 사칭용 콘텐츠 제작, 허위 신원 유지, 공격 도구 개발 등에 AI를 활용하고 있다고 분석했다.

특히 취업이나 면접을 미끼로 공격 대상에 접근하거나 허위 신분을 이용해 실제 해외 기업에 취업하는 과정에서 생성형 AI를 활용 중인 것으로 파악된다. 맞춤형 접근 메시지부터 허위 이력서와 인물 소개, 면접 답변 작성, 외국어 표현 보정까지 AI를 이용한다는 것이다.

다만 공격 과정 전체가 AI로 자동화된 단계는 아닌 것으로 추정된다. MS는 현재까지 확인된 사례를 토대로 북한 연계 조직들이 AI를 독립적인 공격 주체로 활용하기보다는 기존 작전의 생산성과 효율을 높이는 보조 수단으로 쓰고 있다고 봤다. 실제 공격 역시 여전히 사람이 지휘하는 방식이라는 것이다.

북한의 사이버 공격은 여러 조직을 통해 정부기관과 금융회사, 방산업체 등을 겨냥해왔다. 대표적으로 라자루스와 안다리엘, 김수키 등이 자주 거론된다.

다만 이 명칭을 북한 내부의 공식 조직명이나 편제와 동일하게 볼 수는 없다. 글로벌 보안업체들이 공격 방식과 활동 특성을 추적하면서 서로 다른 이름을 붙이는 경우가 많기 때문이다. MS는 라자루스를 ‘다이아몬드 슬리트’, 안다리엘을 ‘오닉스 슬리트’, 김수키를 ‘에메랄드 슬리트’ 등으로 분류하고 있다.

국내에서도 이들 조직의 방산업체 공격이 확인된 바 있다. 경찰청 국가수사본부는 2024년 4월 라자루스와 안다리엘, 김수키의 공격으로 국내 방산업체 10여곳이 피해를 입었다고 밝혔다. 방산업체를 직접 공격하는 방식뿐 아니라 상대적으로 보안이 취약한 협력사나 유지보수 업체를 먼저 해킹한 뒤 내부망에 접근하는 수법도 사용됐다.

가상자산 탈취는 북한 사이버 조직의 주요 자금 조달 수단으로 지목된다. 구글 산하 보안기업 맨디언트는 2023년 보고서에서 북한 연계 조직 APT43이 훔친 가상자산을 세탁해 공격 인프라 구축 등에 필요한 비용을 마련한다고 분석했다.

탈취한 가상자산으로 가상자산 채굴에 필요한 연산 능력을 빌린 뒤 새로 채굴된 코인을 다른 지갑으로 받는 방식도 사용된 것으로 조사됐다. 기존 탈취 자산과 새로 확보한 가상자산 사이의 블록체인상 연결고리를 끊으려는 수법이다.

최근에는 해킹뿐 아니라 북한 IT 인력이 허위 신분으로 해외 기업의 원격 일자리를 얻는 방식도 주요 위협으로 떠오르고 있다.

미국에서는 북한 IT 인력의 원격 근무를 돕기 위해 기업이 지급한 업무용 노트북을 현지에서 대신 보관·운영하는 이른바 ‘노트북 농장’까지 적발됐다.

미 법무부에 따르면 북한 IT 인력의 위장취업을 도운 미국인 크리스티나 마리 채프먼은 2025년 7월 징역 102개월을 선고받았다. 이 과정에서 미국인 68명의 신원이 도용됐고 북한 IT 인력이 미국 기업 309곳에 취업하도록 지원한 것으로 조사됐다. 관련 불법 수입은 1700만달러를 넘어선 것으로 파악됐다.

위장취업은 단순히 임금을 벌어들이는 데 그치지 않는다. 미 연방수사국(FBI)은 2025년 1월 북한 IT 인력이 취업한 기업에서 민감한 정보와 소스코드를 빼낸 뒤 이를 빌미로 금전을 요구한 사례가 있다고 경고했다.

한편 최근 외신 등은 북한 연계 추정 해커들이 단 20분 만에 가상화폐 거래소 바이낸스에서 역대 최대 규모인 63억달러를 해킹하는 데 성공했다고 보도했다.