미 연방수사국(FBI)은 9월 21일부터 25일까지 텍사스주 내 주거지 40곳을 대상으로 압수수색 작전을 벌여, 미국 기업의 일자리에 원격으로 근무하는 북한 IT 근로자들을 위한 계획에 사용된 것으로 추정되는 컴퓨터 약 187대와 KVM 장치를 압수했다. Lonestar Roundup이라는 이름으로 진행된 이 작전은 Famous Chollima 또는 WageMole로 알려진 위협 그룹을 상대로 한 미 법무부의 조치와 동시에 이루어졌다.
미 법무부는 당국이 미국 시민권자인 Michael James Bostelle과 Juan Cecilio Pena Carrillo를 체포했으며, 총 14명을 전자통신 사기, 자금 세탁, 신원 도용 등의 혐의로 기소했다고 밝혔다. 법무부는 중국인 피고인 12명에 대해서도 별도의 혐의를 발표했다.
컴퓨터 팜은 어떻게 운영됐나?
조력자들은 기업이 업무 목적으로 제공한 컴퓨터를 미국 내 장소에 설치한 뒤, KVM 장치와 원격 접속 소프트웨어를 이용해 해외에 있는 근로자들이 해당 컴퓨터에 원격으로 접근할 수 있도록 했다. 이 방식으로 근로자는 실제 신원이나 위치가 다르더라도 고용주에게는 미국에 있는 것처럼 보였다.
기사에 따르면 이 계획은 도난당했거나 조작된 신원, VPN 네트워크, 그리고 통신의 실제 출처를 숨기기 위한 중계 인프라에 의존했다. 조력자들은 컴퓨터를 수령하고 원격 접속 도구를 설치했으며, 수익금을 북한과 연계된 세력이 통제하는 계좌로 송금하는 역할도 맡았다.
장치 전환 및 흔적 은폐 수법
CrowdStrike는 근로자들이 회사 장치를 신분증 문서에 기재된 주소가 아닌 컴퓨터 팜으로 전달하기 위해 여러 방법을 사용했다고 밝혔다. 여기에는 대체 장치를 받기 위해 허위 도난을 신고하는 방법, 여러 주거지 주소를 순환 사용하는 방법, 배송지를 바꾸기 위해 마지막 순간에 이사했다고 주장하는 방법, 채용 회사에서의 직무를 악용해 장치의 목적지를 변경하는 방법 등이 포함됐다.
CrowdStrike는 이들 근로자의 활동을 2025년 4월부터 추적해 왔다. 이 회사는 기존 수법이 노출되자 운영자들이 장치 식별자를 사칭하는 데 더 크게 의존하게 됐으며, 서로 다른 피해 기관 사이에서 일부 식별자를 재사용하기까지 했다고 보고 있다.
실무적으로 무엇이 달라지는가?
이번 사건은 직원의 신원과 위치를 확인하는 일이 채용 면접이나 거주지 주소 확인에서 끝나지 않는다는 점을 보여준다. 중개자가 기업용 컴퓨터를 보유하면, 기술적 연결이 미국 내부에서 발생하는 것처럼 보일 때에도 업무 환경에 대한 실제 접근 지점을 통제할 수 있다. 따라서 위험은 단순한 채용 규정 위반에 그치지 않고 데이터 탈취, 악성 소프트웨어 배포, 디지털 자산 접근으로 이어질 수 있다.
미 법무부는 오하이오주에서 별도로 진행된 계획이 2019년부터 2025년 7월까지 지속됐으며, 미국 기업 70곳에 영향을 미치고 북한과 연계된 세력에 약 300만 달러를 벌어줬다고 밝혔다. 그러나 기사에 따르면 CrowdStrike는 현재의 압수수색 작전이 단기적으로 미치는 영향은 제한적일 수 있다고 전했으며, 이번 작전을 미국 내 그룹의 인프라를 해체하기 위한 더 광범위한 미국의 노력의 시작이라고 평가했다.