그리스의 보안 연구원이 북한 해킹 서버 내부에서 약 22개월을 머물렀다고 전해집니다. 그는 57개국 1,640개 조직의 피해자 명단을 가지고 나왔습니다.
반겔리스 스티카스는 보안 기업 쿠미오의 최고기술책임자입니다. 그는 이번 주 라스베이거스에서 열린 블랙햇 행사에서 연구 결과를 발표했습니다.
사냥꾼이 사냥감이 된 과정
스티카스는 기존 방식을 뒤집었습니다. 그는 해커들이 악성코드 운영에 사용하는 지휘·통제 서버에 침투했습니다.
후원
후원
어떤 경우에는 해커의 개인 컴퓨터에도 접근했습니다. 해커들이 스스로 감염시킨 장비였습니다.
그는 단순히 머물렀습니다. 거의 2년 동안 해커들의 작업을 관찰하며 새로운 피해자가 나타날 때마다 기록했습니다.
그는 대략 5테라바이트의 데이터를 확보했습니다. 이 데이터에는 개발자 키, 비공개 소스코드, 해커들의 슬랙과 디스코드 메시지가 포함돼 있었습니다.
이러한 접근 덕분에 정확하게 집계할 수 있었습니다. 대부분의 위협보고서는 외부에서 피해자를 추정합니다.
이번 사례는 해커 파일에서 직접 집계했습니다. 1,640개 조직 중 스티카스는 700~800개가 심각하게 침해당했다고 평가합니다.
X에서 저희를 팔로우하시면 최신 소식을 바로 받아보실 수 있습니다.
이 경우 해커들은 서버의 루트 접근 권한, 아마존 웹서비스(AWS) 루트 권한, 암호화폐 지갑 키 등을 확보했습니다.
후원
후원
채용 제안, 유일한 해킹 도구
어떠한 소프트웨어 결함도 없었습니다. 채용 제안이 이를 가능하게 했습니다.
개발자들은 고위직과 높은 보수를 제안받았습니다. 이후 코딩 테스트를 요청받았고, 이 테스트가 악성코드를 설치했습니다.
팔로알토 네트웍스의 연구진이 2023년 11월에 이런 방식에 ‘컨테이저스 인터뷰’라는 이름을 붙였습니다. 이후 다섯 개 보안업체가 동일 조직을 여섯 가지 이름으로 추적해왔습니다.
마이크로소프트는 2026년 3월 자체 분석을 발표했습니다. 가짜 코드 패키지가 깃허브, 깃랩, 비트버킷에 업로드된 것으로 확인됐습니다.
비주얼 스튜디오 코드에서 패키지를 열면 신뢰 여부를 묻는 창이 나타납니다. 사용자가 허용하면 공격자 코드가 실행됩니다.
“코딩 테스트나 개발자가 신뢰하는 평가 흐름에 맞춰 악성코드를 직접 심으면 구직자가 채용 절차를 신뢰하는 취약점을 공격자가 악용하게 됩니다.” – 마이크로소프트 보안 블로그, 2026년 3월
백도어는 짧은 목록을 노립니다. 마이크로소프트가 지정한 표적은 API 토큰, 클라우드 인증정보, 서명 키, 암호화폐 지갑, 비밀번호 관리자 파일입니다.
채용 과정이 반복적인 취약점입니다. 컨센시스는 자사 팀 내에 숨겨진 북한 개발자가 있었음을 메타마스크 코드 작업 도중 한 달 지난 뒤에야 발견했습니다.
외주자 한 명, 30개 입구
유혹은 비용이 적게 듭니다. 그러나 접근 범위는 매우 넓습니다.
스티카스는 한 명의 외주자가 최대 30개 기업의 실제 인증 정보를 가지고 있는 것을 발견했습니다. 감염된 노트북 한 대가 곧 30개의 입구가 됐습니다.
보스턴 어린이병원이 대표적인 사례입니다. 스티카스는 이 병원의 노출이 전직 외주자의 개인 기기에서 시작된 것을 추적했습니다.
병원 측은 이런 설명에 이의를 제기합니다. 몇 시간 만에 인증 정보를 차단했고, 자체 시스템 침입 흔적이 없었다고 말합니다.
해커들은 표적도 선별했습니다. 건강기록이나 범죄 데이터베이스에 접근했지만 이를 무시했습니다.
그들은 대신 암호화폐 지갑과 블록체인 접근 권한을 노렸습니다. 코인베이스와 유니스왑 랩스는 스티카스의 경고에 실제로 대응한 조직입니다.
이런 치밀함이 숫자로 나타납니다. 북한(DPRK) 연계 조직은 2025년 한 해에 20억 2천만 달러어치의 디지털 자산을 탈취했습니다.
크라우드스트라이크는 이를 1년 만에 51% 증가한 수치로 기록했습니다. 또 ‘골든 촐리마’라 부르는 해킹팀이 채용방식으로 핀테크 클라우드 환경에 접근했다고 밝혔습니다.
이것이 스티카스가 내부에서 지켜본 방식입니다. 사람을 통한 공격이 계속 성공하고 있습니다.
TRM 랩스는 4월 드리프트 프로토콜 해킹 2억 8천5백만 달러 피해가 북한 대리인과 직원 간 대면 만남에서 비롯됐다고 밝혔습니다.
두 번의 해킹이 2026년 전체 암호화폐 해킹 피해의 76%를 차지했으나, 전체 사건 수의 3%에 불과했습니다. 평양이 2017년부터 올린 누적 합계는 이제 60억 달러가 넘습니다.
스티카스는 여전히 새로운 피해자가 데이터에서 발견되고 있다고 말합니다. 대부분의 경고를 받은 조직들은 연락을 주지 않았고, 이런 이유로 크립토 ISAC 같은 단체들이 DPRK 위협 정보를 공유하고 있습니다.