북한 배후 위장취업 조직 Famous Chollima가 IT를 넘어 헬스케어 영업직까지 표적을 넓힌 실태와 딥페이크 면접 탐지 대응법을 분석한다.
호주의 한 헬스케어 기업이 2026년 2월 채용한 직원 3명은 중국 국적자로 서류를 냈다. 보안업체 Huntress가 조사에 들어가서야 이들이 북한 공작원이라는 게 드러났다. 위조 여권과 거주증명서의 문구 하나가 단서였다. 이 사건은 북한의 위장취업 사기가 더 이상 IT 직군에만 머물지 않는다는 걸 보여준 여러 사례 중 하나일 뿐이다.
이 활동을 부르는 이름은 벤더마다 다르다. CrowdStrike는 Famous Chollima, Microsoft는 Jasper Sleet(구 Nickel Tapestry 계열도 병용), Mandiant는 UNC5267, Recorded Future는 PurpleDelta(구 TAG-121)라 부른다. 그 외에도 Wagemole·Storm-0287·CL-STA-0237/0241 같은 코드명이 함께 쓰인다. 조선로동당 연계로 평가된다.
주목할 점은 라자루스(Lazarus, MITRE Group ID G0032)·안다리엘(Andariel, G0138)·APT38(G0082)·APT37(G0067)·김수키(Kimsuky, G0094) 같은 기존 북한 그룹들과 달리, 이 위장취업 캠페인에는 아직 공식 MITRE ATT&CK Group ID가 부여되지 않았다는 것이다. 벤더별 코드명이 난립한 채 별개 활동 클러스터로 다뤄지고 있다.
Mandiant는 최소 2022년부터 이 활동을 추적해 왔다. 2025~2026년 사이 표적 산업이 IT 중심에서 빠르게 확장됐다.
핵심 수법은 신원 도용과 원격근무 위장취업의 결합이다. 위조 여권·거주증명서는 기본이고, AI로 합성한 얼굴과 이력서, 심지어 실제 체포된 인물의 신원을 그대로 도용하는 사례까지 나왔다.
운영 시그니처는 뚜렷하다. 미국 등 현지에 '노트북 팜(laptop farm)'을 두고 PiKVM·TinyPilot 같은 IP 기반 KVM 장치로 노트북을 원격 조작한다. 화상면접에는 Guermok USB 캡처카드로 웹캠 입력 자체를 조작해 실시간 딥페이크 얼굴을 내보낸다. 접속 위치는 Astrill VPN과 IPRoyal 프록시로 숨긴다.
한 클러스터(PurpleDelta)는 위조 페르소나 22개로 1,100개 이상 기업에 지원했고, 하루 60건 넘게 여러 구직 플랫폼에 동시 지원하는 물량 공세를 벌였다. 표적 산업은 IT(현재도 전체의 절반가량)에서 헬스케어·영업/마케팅·금융서비스·정부기관(미국 주/연방·중동·호주)·전문서비스까지 넓어졌다.
2026년 2월, 호주 헬스케어 기업에 중국인으로 위장 취업한 워커 3명이 Huntress 조사로 적발됐다. 2026년 8월에는 신원 미상 금융서비스 기업에서 PiKVM 설치와 웹캠 조작 정황이 확인됐다. 신원 미상 기업의 영업·마케팅직에서는 입사 13일 만에 적발된 사례도 나왔는데, 실제 체포된 인물의 얼굴을 합성한 신원을 썼다.
미 법무부는 2026년에도 관련자를 잇달아 선고했다. 매튜 아이작 누트와 에릭 은테케레제 프린스는 각각 18개월형을 받았다. 이들이 운영한 노트북 팜을 거쳐 미국 기업 약 70곳이 피해를 봤고 120만 달러가 편취됐다. 케지아 왕과 젠싱 왕은 각각 108개월·92개월형을 받았다. 뉴저지 노트북 팜을 거쳐 미국 기업 100곳 이상에 침투가 지원됐고 500만 달러가 편취됐다.
2025년 7월 미 재무부(OFAC)는 조선소백수무역회사와 개인 3명을 제재했다. 이 회사는 핵무기 프로그램을 관할하는 군수공업부의 위장 조직으로 지목됐다.
원격조작에는 PiKVM·TinyPilot·AnyDesk가 쓰인다. 노트북 팜을 실제 워커 없이 원격으로 돌리는 핵심 장비다. 화상면접 우회에는 Guermok USB 캡처카드로 웹캠 신호 자체를 조작해 실시간 딥페이크를 내보낸다. 접속 위치 은폐에는 Astrill VPN과 IPRoyal 프록시, 신원 위조에는 TrustID 카드 같은 불법 신원생성 서비스가 동원된다. 조율에는 Telegram·Slack, 자료 전달에는 SendGB가 쓰인다.
이 활동은 악성코드 흔적이 아니라 채용 절차 자체에서 포착된다. Mandiant는 생체정보 포함 신원조회, 화상통화 의무화한 면접, 원격관리도구·VPN·IP-KVM 사용 모니터링, 직원 위치·노트북 시리얼번호 정기 점검을 탐지 지표로 권고한다.
2026년 7월 31일 한국을 포함한 11개국 공동 권고는 더 구체적이다. 예고 없는 실시간 화상면접을 진행하고, 면접 중 예상 못한 신체 동작을 요구해 딥페이크 여부를 확인하며, 최소 1회는 대면으로 신원을 확인하거나 딥페이크 탐지 AI 도구를 쓰라고 제시한다. Okta는 130개 신원과 6,500건의 인터뷰를 이 방식으로 추적했다고 밝혔다.
공식 Group ID가 없어 특정 기법 번호가 이 캠페인 전용으로 매핑돼 있지는 않다. 다만 활동 단계별로 흔히 관찰되는 일반 기법 범주는 다음과 같다 — 공식 확인 아님, 유형상 흔히 관찰되는 패턴으로 참고할 것.
이 스킴이 한국과 무관하지 않다는 근거는 이미 있다. 2023년 7월 국가정보원은 북한 IT 인력이 국내 에너지기업의 해외지사에 위조 여권과 졸업증명서로 위장 취업을 시도한 사실을 확인했다고 발표했다. 국정원은 이를 "북한 해커가 취업을 직접 시도한 첫 사례"라고 밝혔다.
2026년에는 전자·엔터테인먼트·IT서비스·유틸리티 업종 한국 기업 최소 4곳의 해외 자회사가 표적이 된 정황도 확인됐다. 다만 실제 채용이나 내부 시스템 접근까지 이어졌는지는 확인되지 않았다. 지금까지 보도된 사례는 모두 한국 기업의 해외지사였고, 국내 본사가 직접 뚫린 사례는 아직 없다.
2026년 7월 31일에는 한국을 포함한 11개국 정부가 공동 주의보를 내고, 북한이 이런 방식으로 벌어들인 돈을 핵·미사일 개발 자금으로 전용한다고 경고했다. 해외 원격 채용이나 아웃소싱 비중이 높은 국내 IT 기업이라면 같은 수법에 노출될 가능성을 남의 일로 볼 수 없다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.