북한 해킹조직 워터플럼, 가짜 채용으로 3만대 감염…지갑 7000개서 149억원 탈취

일본 경찰청(NPA)을 비롯해 미국, 오스트레일리아, 독일 당국이 북한 연계 해킹조직 워터플럼(WaterPlum)의 활동을 담은 합동 권고문을 발표했다. 워터플럼은 지난해 12월부터 올해 7월까지 전 세계 100개국 이상에서 3만대 이상의 기기를 감염시켰다. 이 과정에서 암호화폐 지갑 7000개 이상의 정보나 자금이 빠져나갔고, 최소 1071만 달러(약 149억원, 1달러 1,387원 기준)에 해당하는 17억엔 상당의 가상자산이 워터플럼이 관리하는 지갑으로 흘러갔다. 각국 수사당국은 이 조직이 콘테이저스 인터뷰(Contagious Interview)로도 불리는 다년간의 캠페인과 연결돼 있다고 밝혔다.

가짜 채용으로 파고든 침투 경로

워터플럼의 주요 표적은 웹 개발자와 디자이너, 크립토·블록체인 전문가였다. 공격자들은 소셜미디어와 채용 사이트, 긱 워크·프리랜서 마켓플레이스를 통해 접근했고, 신뢰할 수 있는 AI·암호화폐·NFT 기업으로 위장하는 경우가 많았다.

접근에 성공하면 온라인 면접이나 코딩 과제를 진행했다. 일부 지원자에게는 일반적인 기술 과제 대신 개발 사이트나 코드 저장소에서 파일을 내려받도록 지시했고, 그 파일에 악성코드가 심겨 있었다.

블리핑컴퓨터에 따르면 공격자들은 면접 도중 AI 페이스스와핑(얼굴 변조) 소프트웨어를 사용하다 카메라를 끄고 네트워크 문제를 탓하는 방식도 썼다. 영상통화 문제 해결이나 개발 환경 수정을 이유로 파일 실행을 유도하는 수법도 반복적으로 확인됐다.

5종 악성코드가 훑어간 지갑 정보

NPA가 확인한 악성코드 계열은 베이버테일(BeaverTail), 인비저블페럿(InvisibleFerret), 오터쿠키(OtterCookie), 오터캔디, 스토트와플 다섯 가지다. 베이버테일은 npm 패키지에 숨겨진 자바스크립트 악성코드이고, 인비저블페럿은 파이썬 기반 백도어다.

오터쿠키는 원격제어 트로이목마와 정보탈취 기능을 결합했고, 오터캔디는 여기에 원격접근 기능을 더한 형태다. 스토트와플은 악성 비주얼스튜디오코드 프로젝트를 통해 유포되는 모듈형 Node.js 악성코드로, 폴더를 열고 신뢰하는 순간 설정 파일이 코드를 실행하는 방식을 쓴다.

감염된 시스템에서는 브라우저 인증정보와 쿠키, 클립보드 내용, 키스트로크, 스크린샷, 저장 파일이 빠져나갔다. NPA는 이 가운데 암호화폐 지갑의 개인키와 시드 문구가 공격자들이 특히 노린 정보였다고 밝혔다. 사이버프레스는 개발자 시스템 침해가 자칫 소스코드, 영업비밀, 고객 데이터까지 노출되는 조직 차원의 보안사고로 확대될 수 있다고 경고했다.

노동당 313국과 ‘노트북 농장’의 실체

NPA와 미국 연방수사국은 워터플럼과 일부 북한 IT 노동자의 활동이 노동당 군수공업부 산하 313총국의 통제를 받는다고 평가했다. 두 그룹은 노트북 농장과 크라우드소싱 서비스, 채용 지원 과정에서 같은 IP 주소를 공유한 것으로 파악됐다.

블리핑컴퓨터는 워터플럼 공격에서 탈취된 신분증이 북한 IT 노동자들이 피해자를 사칭해 재취업하는 데 재사용되고 있다고 전했다. 일부 노동자는 도용하거나 오용한 신원 서류와 VPS(가상서버)를 이용해 실제 신원과 위치를 숨겼다.

일본 당국은 이번 수사를 통해 국내에서 처음으로 북한 IT 노동자와 연계된 노트북 농장을 적발해 해체했다. 알선책이 컴퓨터를 보관하고 북한 인력이 이를 원격으로 조작해 일본에 있는 것처럼 꾸며 일감을 받는 구조였으며, 수억엔 상당의 자산이 해외로 송금된 정황이 확인됐다.

트론위클리에 따르면 지난 5월 일본 암호화폐 거래소 비트플라이어에는 북한 IT 노동자로 추정되는 지원자가 엔지니어 채용에 응시한 사례도 파악됐다. 이 지원자는 다른 사람의 신분증과 여러 VPN 서비스를 사용했지만, 비트플라이어가 면접 과정에서 의심스러운 특징을 포착해 채용하지 않았다.

20억 달러대 탈취극 속 워터플럼의 위치

트론위클리는 워터플럼 사건이 북한의 훨씬 더 큰 암호화폐 탈취 흐름 속 일부에 불과하다고 짚었다. 블록체인 분석업체 체이널리시스에 따르면 북한 연계 해커들은 지난해 최소 20억 2000만 달러(약 2조 8000억원, 1달러 1,387원 기준) 상당의 암호화폐를 탈취했다. 이는 전년 대비 51% 증가한 규모다.

이 틀에서 보면 워터플럼이 관리한 1071만 달러는 전체 탈취 규모의 작은 조각일 뿐이지만, 채용 과정 자체가 공격 경로가 됐다는 점에서 의미가 다르다. 사이버프레스는 채용 담당자가 지원자의 신원과 위치, 자격을 꼼꼼히 확인하고 계약직·개발자 접근 권한을 최소한으로 제한해야 한다고 권고했다.

기술적으로는 검증되지 않은 코드를 주력 업무용 기기나 암호화폐 자산이 저장된 시스템에서 실행하지 말라는 경고가 반복됐다. 낯선 저장소는 격리된 가상머신이나 샌드박스에서 검토하고, npm 종속성과 락파일을 설치 전에 점검하며, 낯선 비주얼스튜디오코드 프로젝트는 제한 모드로 열어야 한다는 설명이다. 이미 감염이 의심되는 경우에는 해당 기기를 즉시 격리하고 인증정보를 교체한 뒤, 암호화폐 자산을 깨끗한 기기의 새 지갑으로 옮기고 시스템을 재구축하라는 것이 각국 당국의 공통된 조언이다.