미 당국은 펜실베이니아주 출신 마이클 제임스 보스텔(Michael James Bostel)과 텍사스주 출신 후안 시실리오 페냐 카리요(Juan Cecilio Pena Carrillo)를 체포했다. 이번 작전은 북한 IT 근로자들이 미국 기업의 원격 근무 일자리를 얻을 수 있도록 한 사기 계획을 겨냥한 것이다. 4개 혐의로 구성된 기소장에 따르면, 2019년부터 2025년 7월까지 지속된 것으로 추정되는 이 계획을 통해 300만 달러가 넘는 부정 수익이 발생했다.
피고인들은 다른 공모자들과 함께 미국 기업이 미국 내에서 근무하는 것으로 추정되는 직원들에게 전달한 노트북을 보관하고 준비했다. 위조 신원과 가상사설망(VPN) 및 프록시 네트워크를 사용해 실제 위치를 숨김으로써, 근로자들은 고용주에게 미국 거주 직원으로 보일 수 있었다. 기소장에 따르면 이들은 통신, 사이버 지원, 의료, 제조, 소매 분야에 속한 70개가 넘는 기업에서 일자리를 얻었다.
미국 내 운영 장소 해체
Operation Lonestar Roundup이라는 별도의 작전에서 FBI는 노트북 팜으로 사용된 것으로 의심되는 텍사스 내 40개 장소를 수색했다. 당국은 이 계획을 실행하는 데 사용된 것으로 추정되는 노트북 187대와 KVM 장치를 압수했다. KVM 장치는 컴퓨터를 원격으로 제어할 수 있게 하는 장비다.
중국에 거주하는 10명도 이 작전에 가담한 혐의로 기소됐다. 이들의 이름은 Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang, Jin Long이다.
컴퓨터 팜은 어떻게 작동하는가?
크라우드스트라이크(CrowdStrike)는 이 활동을 Famous Chollima라는 이름으로 추적하고 있다. 이 회사에 따르면 해외에 있는 근로자들은 여러 방법을 사용해 고용주가 회사 장비를 미국 내 조력자가 운영하는 장소로 배송하도록 설득한다. 이러한 방법에는 컴퓨터가 도난당했다고 신고해 대체 장비를 받는 것, 다른 주소로 갑자기 이사했다고 주장하는 것, 여러 주거지 주소를 번갈아 사용하는 것, 기술 인력 채용 회사를 이용해 최종 고객의 장비를 해당 장소로 재배송하는 것이 포함된다.
장비가 도착하면 조력자들은 해외 근로자들이 원격으로 장비에 접근할 수 있게 하는 소프트웨어와 장비를 설치한다. 크라우드스트라이크에 따르면 기관들이 방어 수단을 강화하자 이 그룹은 원격 접근 도구를 숨기고, 장치 지문을 위조하며, 서로 다른 기관과 신원에 걸쳐 동일한 장치 식별자를 재사용하기 시작했다.
이 소식이 중요한 이유
이번 작전은 이 계획이 단순한 직접적인 기술 침해에만 의존하는 것이 아니라 신원 사기, 물리적 인프라, 원격 관리 도구, 채용 관계를 결합한다는 점을 보여준다. 크라우드스트라이크는 피해자에 항공, 에너지, 금융 서비스, 의료, 사이버 보안, 국방, 정부 엔지니어링, 소비자 기술과 같은 핵심 분야가 포함됐다고 밝혔다.
그러나 이 회사는 컴퓨터 팜을 해체하더라도 Famous Chollima의 활동에 미치는 영향은 제한적일 수 있다고 경고한다. 이러한 장소는 다른 곳에서 재구축할 수 있는 물리적·법적·금융적 역할을 수행하기 때문이다. FBI 역시 위협이 원격으로 직원을 채용하는 기업에만 국한되지 않는다고 본다. 북한 IT 근로자들은 미국인들이 알면서 또는 모르는 상태에서 자신들을 대신해 면접에 참석하고, 위조 신원을 확인하며, 소포를 배송하고, 자신의 거주지에서 업무 장비를 인터넷에 연결된 상태로 유지하는 등의 서비스를 수행하도록 한다.
다층적 검증 접근법
FBI는 Identity in Depth라고 부르는 방식을 권고한다. 이는 채용 과정 전체에서 접근 통제와 탐지 수단을 여러 층으로 적용하고 신원을 지속적으로 검증하는 것이다. FBI가 언급한 지표에는 원격 데스크톱 프로그램과 원격 모니터링 및 관리 도구의 사용, 컴퓨터를 제어하기 위한 외부 장치 연결, 직무와 관련 없는 애플리케이션 다운로드, 데이터 반출, 은행 계좌와 실제 주소의 반복적인 변경, 검증 문서 위조가 포함된다.
실무적으로는 쉽게 우회할 수 있는 단일 기준에 의존하기보다 여러 행동 신호를 종합하는 것이 핵심이다. 다만 해당 출처는 이러한 조치가 향후 계획을 방지하는 데 얼마나 성공적인지는 밝히지 않았으며, 이 사건의 기소 내용도 아직 법적으로 확정되지 않았다.