북한, 이란·레바논 인력 동원해 미국 기업 IT 면접 사칭 침투

북한이 이란과 레바논에서 외국인 모집책을 배치해 취업 면접에서 IT 근로자를 사칭하고 미국 기업에 침투하도록 하고 있다고 2026년 공개된 NBC 조사 보도가 전했다. 이번 수법은 평양의 오랜 원격근무 침투 프로그램에서 작전상 변화를 보여준다. 기존에는 북한 국적자가 미국 거주자나 제3국 프리랜서로 위장하는 방식이 주를 이뤘다. 북한 운영자들은 이란과 레바논을 경유지로 삼아, 미국 연방 당국이 수년간 경고해 온 불법 노동 파이프라인에 지리적·언어적 위장을 한 겹 더 덧씌우는 것으로 보인다. NBC 조사는 이란과 레바논의 외국인들이 북한 IT 근로자를 대신해 원격 면접에 응하는 모집·사칭 메커니즘을 구체적으로 다뤘다. 채용이 확정되면 북한 요원이 해당 업무를 넘겨받아 회사 시스템과 코드 저장소, 독점 데이터에 접근하고, 임금은 평양으로 흘러 들어간다. 조사는 피해 기업 수와 연루된 모집책 총원을 공개하지 않아 이번 수법의 구체적 규모는 일부 불투명한 상태로 남는다. 분명한 점은 이 전술이 원격 채용의 오랜 취약점, 즉 면접에 응하는 사람과 실제로 일하는 사람 사이의 괴리를 정조준하고 있다는 사실이다.

NBC 조사, 외국인 모집책의 IT 근로자 면접 사칭 방식 규명

NBC 조사의 핵심 발견은 북한이 단순한 신원 사기를 넘어 더 정교한 분업 체계로 진화했다는 점이다. 이란과 레바논의 외국인 모집책은 면접 대리인 역할을 맡아 자격을 갖춘 소프트웨어 엔지니어, 개발자, IT 지원 전문가로 자신을 내세운다. 이들의 임무는 기술 면접과 화상 면접, 신원 조회를 통과해 채용 문턱을 넘긴 뒤, 자격 증명을 북한 요원에게 넘겨 원격으로 업무를 수행하게 하는 것이다.

이 사칭 단계는 평양의 실질적 문제를 해결해 준다. 북한 국적자는 제재와 여행 제한, 강화된 감시 때문에 미국 기업에 직접 채용되기 어렵다. 반면 이란이나 레바논의 모집책은 그럴듯한 직업적 신원을 내세울 수 있고, 즉각적인 의심을 사지 않고 화상 면접에 참여할 수 있으며, 시간대와 언어 기대치도 더 자연스럽게 충족할 수 있다. 채용이 확정되면 북한 근로자가 일상 업무를 넘겨받는데, 원격 접속 도구와 가상 사설망, 중간 주소로 배송된 회사 지급 노트북을 활용하는 경우가 많다.

조사는 어떤 기술 직군이 가장 빈번히 표적이 됐는지 구체적으로 밝히지 않았지만, 북한의 IT 침투는 역사적으로 소프트웨어 엔지니어링, 블록체인 개발, 프리랜서 플랫폼 업무에 집중돼 왔다. 이들 직군은 소스 코드와 내부 시스템, 결제 경로에 대한 접근권을 제공하는데, 이는 수익 창출과 정보 수집이라는 평양의 이중 목표에 부합하는 자산이다. NBC 보도는 이란·레바논 모집 계층을 FBI와 재무부가 최소 2022년부터 추적해 온 수법의 진화로 규정한다. 당시 공개 경보는 도난 신원을 사용하는 북한 프리랜서에 대해 미국 고용주들에게 처음으로 경고했다.

보도를 뒷받침하는 핵심 수치는 NBC가 단독으로 수행해 이 특정 모집 메커니즘을 드러낸 조사 한 건이다. 조사는 침투된 기업 수, 유출된 임금 규모, 피해 고용주 명단을 제공하지 않는다. 이런 공백은 이번 수법이 초기 단계인지, 아니면 이미 규모 있게 운영되는 기존 파이프라인인지에 대한 의문을 남긴다. 구체적 수치가 공개되지 않은 점은 즉각적인 규제 대응도 어렵게 만드는데, 집행 기관이 조치에 나서려면 대개 특정 위반 행위에 대한 구체적 증거가 필요하기 때문이다.

북한 IT 근로자 수법에 노출된 미국 기업, 새로운 공시 압박 직면

NBC 조사는 어떤 미국 기업이 침투됐을 수 있는지, 그리고 이들 기업이 이제 어떤 의무를 지게 되는지에 대한 즉각적인 의문을 제기한다. 보도에는 기업명이 공개되지 않았고, 원격 IT 인력을 채용하는 미국 고용주라는 일반적 범주 외에 특정 업종도 지목되지 않았다. 피해 기업이 지목되지 않은 점은 눈에 띄지만, 이란 또는 레바논 기반 대리인을 통해 북한 요원을 고용한 사실을 발견하게 될 기업들의 공시 압박이 줄어들지는 않는다.

이 위협에 대한 연방 차원의 지침은 명확했다. FBI는 북한 IT 근로자가 도난 신원과 가짜 프로필, 제3자 중개인을 이용해 미국 기업의 원격 일자리를 확보하는 수법에 대해 여러 차례 경고해 왔다. 재무부 산하 해외자산통제국도 이 관행을 제재 회피 경로로 지목하며, 북한 IT 근로자에게 지급된 임금이 평양의 무기 프로그램 자금으로 쓰일 수 있다고 밝혔다. 급여 명단에서 이런 직원을 발견한 기업은 내부 조사, 법 집행 기관에 대한 통보 가능성, 데이터 접근 기록 검토, 수출 통제 기술이나 민감 정보 노출 여부 평가 등 연쇄적 의무에 직면한다.

가장 위험한 업종은 북한 요원이 역사적으로 노려 온 직군과 일치한다. 소프트웨어 개발 회사, 암호화폐 거래소, 블록체인 스타트업, 분산 엔지니어링 팀을 둔 기업은 대면 확인이 제한된 원격 계약직을 일상적으로 채용하기 때문에 특히 취약하다. NBC 조사는 업종별 노출 규모를 수치화하지 않았지만, 조사가 묘사한 메커니즘, 즉 면접 사칭 후 자격 증명 인계는 원격 근무가 일상화되고 온보딩이 전적으로 온라인에서 이뤄지는 환경에서 가장 실행 가능하다.

조사에 대한 기업들의 대응은 아직 문서화되지 않았다. 이란·레바논 채용 경로를 통해 북한 직원을 발견했다고 공개적으로 인정한 기업은 없으며, 이번 조사와 관련된 규제 신고나 집행 조치도 공개되지 않았다. 이런 침묵은 보도 주기의 초기 단계를 반영한 것일 수도 있고, 피해 기업들이 아직 내부 검토를 마치지 않았다는 신호일 수도 있다. 어느 쪽이든 이번 조사는 새로운 공시 압박 지점을 만들어 낸다. 나중에 침투 사실을 확인한 기업은 이 수법을 더 일찍 적발했어야 했는지, 원격 채용자를 충분히 검증했는지에 대한 scrutiny를 받게 될 것이다.

북한 사이버 작전 확대 속 이란·레바논 모집책, 법적 노출 직면

이란과 레바논의 외국인 모집책은 위태로운 법적 지위에 놓여 있다. 북한 요원을 대신해 면접 사칭에 가담함으로써, 이들은 회사 시스템에 직접 접근하지 않더라도 사기, 신원 도용, 제재 회피를 금지하는 미국 법률을 위반했을 수 있다. NBC 조사는 모집책들이 수법의 전체 규모를 어느 정도 인지하고 있었는지 구체적으로 다루지 않았지만, 면접 대리인으로서의 역할은 침투를 가능하게 하는 기만의 사슬에 이들을 직접 끌어들인다.

북한 노동력 수출을 겨냥한 미국의 제재는 이 수법을 조력하는 누구에게나 법적 노출을 만들어 낸다. 행정명령과 재무부 지정 조치는 북한 근로자에게 이익이 되는 거래에 미국인이 관여하는 것을 오랫동안 금지해 왔고, 법무부는 제3국의 조력자들을 상대로 형사 사건을 추진해 왔다. 북한 운영자를 위해 후보자를 고의로 사칭한 이란이나 레바논의 모집책은 미국 검찰이 확보한 증거에 따라 공모, 전신 사기, 제재 회피 법규 위반 혐의로 기소될 수 있다. 조사는 모집책이 특정되거나 기소된 사례가 있는지는 밝히지 않았다.

지정학적 차원도 그에 못지않게 중요하다. 이란과 레바논은 북한 노동력 모집의 전통적 거점이 아니며, 이들이 이번 수법에 등장한 것은 평양이 작전 거점을 다변화하고 있음을 시사한다. 이란과 북한의 관계는 역사적으로 군사·미사일 협력에 집중돼 왔고, 레바논의 금융 및 디아스포라 네트워크는 다른 물류적 이점을 제공한다. NBC 조사는 양국의 국가 차원 공모를 주장하지 않지만, 두 지역에 모집책이 존재한다는 사실은 현지 당국이 이 활동을 인지하고 있는지, 그리고 이를 차단하기 위해 어떤 조치를 취하고 있는지에 대한 의문을 제기한다.

유엔 제재 감시 기구는 북한이 해외 IT 근로자를 활용해 수익을 창출하는 실태를 반복적으로 기록해 왔으며, 그 규모는 연간 수억 달러에 달하는 것으로 추정된다. 유엔 전문가 패널은 이들 근로자가 유령 회사, 도난 신원, 중개 브로커를 통해 활동하는 경우가 많다고 지적해 왔다. NBC가 묘사한 이란·레바논 모집 계층은 이런 기록된 패턴에 부합하지만, 조사는 유엔 감시단이 이 경로를 구체적으로 식별했다는 증거를 제시하지 않는다. 이런 공백은 이 수법이 이미 국제 수사 당국에 알려진 것인지, 아니면 새롭게 발견된 진화 형태인지에 대한 의문을 남긴다.

북한 IT 근로자 침투, 원격 채용 검증에 새로운 의문 제기

NBC 조사는 원격 채용 검증이 이미 압박을 받고 있는 시점에 나왔다. 완전 원격 엔지니어, 개발자, IT 인력을 채용하는 기업들은 면접에 응하는 사람과 실제로 일하는 사람이 동일인인지 확인하는 데 오랫동안 어려움을 겪어 왔다. 북한의 수법은 바로 그 틈을 파고들며, 이란과 레바논 기반 면접 대리인의 추가는 검증 문제를 더 어렵게 만든다. 대리인들은 기본 검증을 통과할 수 있는 실제 신원을 가진 실존 인물이기 때문이다.

화상 면접, 정부 발급 신분증 확인, 평판 조회 등 표준 검증 수단은 후보자가 실존하고 해당 업무를 수행할 수 있는지 확인하도록 설계돼 있다. 채용 후 의도적인 업무 인계를 적발하도록 설계된 것은 아니다. NBC 조사는 구체적 대응책을 제안하지 않지만, 조사가 묘사한 메커니즘은 몇 가지 검증 공백을 가리킨다. 온보딩 이후 지속적인 신원 확인의 부재, 다른 사람이 업무를 수행할 수 있게 하는 원격 접속 도구의 탐지 어려움, 중간 계좌를 경유하는 임금 지급 추적의 어려움이 그것이다.

광범위한 북한 IT 근로자 위협에 대한 업계의 대응으로는 강화된 신원 조회, IP 주소 및 기기 지문 모니터링, 원격 직원에 대한 정기적 재검증 등이 시도돼 왔다. 일부 기업은 이미

민감 시스템 접근을 위해 정기적인 화상 확인이나 생체 인증을 요구하는 방안도 거론된다. NBC 조사는 이러한 조치가 이란-레바논 모집 경로에 대응해 실제로 도입됐는지는 확인하지 못했지만, 이번 보도로 채용 후 검증 도구에 대한 관심은 더욱 커질 것으로 보인다.

남은 의문점

열린 질문은 상당하다. 어떤 미국 기업이 침투당했는지는 아직 공개되지 않았다. 관련된 모집 인원이나 운영 요원이 몇 명인지도 알려지지 않았다. 어떤 직무나 데이터가 표적이 됐는지도 구체적으로 밝혀지지 않았다.

이러한 공백 때문에 이번 조사는 답보다 질문을 더 많이 던지지만, 핵심 발견은 분명하다. 북한이 이란과 레바논의 외국인 모집책을 활용해 IT 근로자로 위장해 인터뷰에 참여시키고 있다는 점은 고용주와 법 집행 기관, 정책 입안자들의 주의를 요구할 만큼 구체적이다.

다음으로 주목할 신호는 어떤 기업이나 정부 기관이 이 경로와 연관된 사례를 확인하거나, 이번 조사가 인터뷰 대리 모집을 겨냥한 새로운 FBI 또는 재무부 지침을 촉발하는지 여부다.