바이낸스 보안망 아닌 사람을 뚫었다…북한 해커의 가짜 채용 공격

[경제일보] 북한 연계 해킹 조직이 사상 최대 규모의 가상자산 탈취 사건으로 꼽히는 바이낸스 해킹에 가짜 채용 면접을 활용한 것으로 나타났다. 보안 시스템을 직접 공격하기보다 내부 시스템에 접근할 수 있는 직원을 노린 사회공학 공격이 대규모 거래소 침입의 출발점이 됐다.

체이널리시스는 북한 공격자들이 앞선 소규모 가짜 면접 공격을 반복하며 수법을 정교화한 뒤 더 큰 표적으로 공격 대상을 넓혔을 가능성이 있다고 분석했다. 지난 18개월간 유사한 북한 연계 가짜 면접과 악성코드 공격으로 발생한 피해액은 1430만 달러(약 198억원)를 넘는 것으로 파악됐다.

4일 체이널리시스는 북한 연계 공격자들이 가짜 채용 기회를 미끼로 바이낸스 직원에게 접근한 뒤 악성코드를 심어 내부 시스템으로 침투했다고 밝혔다.

바이낸스의 초기 조사 결과 공격자들은 지난 9월 합법적인 구인 플랫폼을 통해 한 엔지니어에게 채용 기회를 제안했다. 이후 가상의 회사와 여러 차례 면접을 진행하며 신뢰를 쌓은 뒤 악성코드가 포함된 면접 과제를 내려받도록 유도했다.

공격자들은 이를 통해 직원의 컴퓨터에 최초 침입 거점을 확보한 뒤 내부 시스템으로 접근 범위를 넓혔다. 이후 악성코드와 탈취한 인증 정보를 활용하고 내부 AI 도구에도 접근해 지갑 인프라가 연결된 시스템으로 침투한 것으로 조사됐다. 지난달 29일 발생한 공격으로 약 63억~64억 달러(약 8조5845억원) 규모의 가상자산이 무단 이전됐다.

이번 사건은 대규모 거래소가 기술적 보안 체계를 갖추고 있더라도 내부 시스템에 접근할 수 있는 직원이 공격받을 경우 침입 경로가 열릴 수 있다는 점을 보여주는 것으로 풀이된다. 체이널리시스는 북한 공격자들이 이른바 '전염성 면접' 수법을 반복적으로 사용해 높은 접근 권한을 가진 직원을 표적으로 삼아 왔다고 설명했다. 정상적인 채용 절차처럼 면접을 진행한 뒤 코딩 과제나 업무 파일을 내려받도록 유도해 악성 코드를 설치하는 방식이다.

가짜 면접을 통한 공격은 바이낸스 사건 이전에도 이어졌다. 체이널리시스에 따르면 해당 공격 방식은 개인 가상자산 보유자와 개인 지갑부터 조직, 프로토콜, 탈중앙화 자율조직(DAO)까지 다양한 표적을 대상으로 한 유사 사례가 다수 있는 것으로 나타났다.

특히 공격자가 노리는 것은 감염된 컴퓨터 한 대에 그치지 않았던 것으로 알려졌다. 체이널리시스는 악성 면접 이후 피해자의 클라우드 저장소에서 가상자산 지갑 개인 키가 탈취된 사례도 관찰했다고 주장했다. 일부 피해자는 시드 구문을 감염된 기기에 저장하지 않았다고 밝혀 클라우드 인증 정보나 브라우저 세션까지 공격 범위가 확대됐을 가능성이 제기됐다.

공격 초기에 확보한 직원의 인증 정보가 다른 계정과 내부 시스템으로 진입하는 통로가 될 수 있는 셈이다. 민감한 인프라에 접근할 수 있는 직원이 북한 해커의 주요 표적이 되는 이유이기도 하다.

북한의 취업 사기 수법은 기업 직원을 속이는 가짜 면접에만 그치지 않는다. 북한 공작원이 정상적인 구직자로 위장해 해외 기업에 취업하는 허위 IT 인력 취업도 또 다른 축이다.

북한 IT 인력은 해외에서 VPN과 도용한 신분증 등을 활용해 신원을 숨기고 기업에 취업한 뒤 급여를 받아 북한 정권의 수익을 창출하는 것으로 알려졌다. 일부는 가상자산 기업에 취업을 시도하거나 스테이블코인으로 급여를 받은 뒤 중개자에게 자금을 이전하는 방식도 활용한다. 체이널리시스는 이러한 취업 사기와 가상자산 자금 이동이 하나의 불법 수익 생태계로 연결되고 있는 것으로 전망했다.

체이널리시스는 북한 공격자들이 기업 시스템 침투와 불법 취업, 가상자산을 통한 자금 이동과 세탁을 함께 활용하고 있다고 분석했다. 사이버 공격 대응뿐 아니라 탈취 자금의 이동 경로와 이를 지원하는 금융 인프라까지 함께 추적해야 한다는 지적이다.

바이낸스 해킹에 대한 조사는 현재 진행 중이다. 체이널리시스는 탈취 자금의 추가 이동과 자금 세탁을 추적하며 바이낸스와 관련 업계를 지원할 계획이다.

톰 맥라우스 체이널리시스의 선임 인텔리전스 애널리스트는 "개인 차원에서 지갑 침해로 이어진 다른 채용 면접 관련 침해 사례를 수십 건 확인했다"며 "수법을 완성하고 발전시켜 왔고, 그렇게 해서 역사상 최대 규모의 탈취 사건이 발생하게 되는 것"이라고 말했다.