거의 2년 가까이 북한 해킹 조직의 인프라 내부에 조용히 잠입해 있던 한 보안 연구원이 이 작전의 실제 규모를 공개했다. 57개국에 걸쳐 1,640개 기업이 침해당했으며, 그중에는 크립토 대기업 코인베이스와 유니스왑 랩스도 포함돼 있었다. 보안업체 쿠미오(Kumio)의 최고기술책임자 반겔리스 스티카스(Vangelis Stykas)는 해당 조직의 명령·제어 서버는 물론, 경우에 따라서는 해커들 자신이 사용하는 워크스테이션과 슬랙 채널, 디스코드 서버에까지 접근 권한을 확보했다. 공격자들이 스스로 만든 악성코드에 자기 자신이 감염된 상황을 이용한 결과였다.
스티카스는 이 접근 권한을 22개월간 유지한 뒤, 이달 라스베이거스에서 열린 블랙햇 보안 콘퍼런스에서 조사 결과를 발표했다. 그가 침해 흔적을 발견한 1,640개 기업 가운데 700~800곳은 단순한 네트워크 접근 수준을 넘어 실질적인 피해로 이어질 만큼 심각한 침입을 당한 것으로 파악됐다.
가짜 채용 제안이 침투 통로
주된 공격 경로는 정교한 취약점 공격이 아니라 사회공학 기법에 기반한다. 마이크로소프트가 이르면 2022년부터 추적해온 '컨테이저스 인터뷰(Contagious Interview)'로 불리는 이 캠페인은, 소프트웨어 개발자와 계약직 인력에게 가짜 채용 제안을 미끼로 던진 뒤 겉보기엔 통상적인 코딩 테스트처럼 보이는 프로그램을 실행하도록 유도한다. 이 프로그램이 실행되는 순간 몰래 악성코드가 설치되는 방식이다. 이 수법이 효과를 발휘하는 이유는 명확하다. 네트워크를 방어하고 있는 순간이 아니라 채용 기회를 검토하며 경계가 느슨해진 개발자를 정확히 겨냥하기 때문이다.
같이 보면 좋은 기사: 2026년 상반기 크립토 강력범죄 피해액 3,000만 달러…프랑스 최다
해커들이 실제로 확보한 것
스티카스에 따르면 접근 수준은 표적마다 달랐지만, 단순한 발판을 훌쩍 넘어서는 경우가 잦았다. 여러 사례에서 공격자들은 기업 전체 접근 권한, 서버 루트 권한, AWS 인프라 루트 권한까지 확보했다. 크립토 기업의 경우 여기에 프라이빗 키와 블록체인 직접 접근 권한까지 포함됐는데, 이는 단순한 데이터 탈취가 아니라 곧바로 자금 탈취로 이어질 수 있는 수준의 침해였다.
보스턴 아동병원과 중국 스마트폰 제조사 오포(OPPO)까지 포함된 피해 기업 명단은 이 캠페인이 결코 크립토 기업에만 국한되지 않았다는 점을 보여준다. 다만 서버 접근에서 온체인 자산으로 이어지는 경로가 직접적이라는 점에서 크립토 기업들이 특히 고가치 표적으로 취급된 것으로 보인다. 북한과 연계된 국가 지원 해킹 조직은 오래전부터 정권의 무기 개발 프로그램 자금을 마련하기 위한 크립토 탈취와 연관돼 왔으며, 스티카스의 이번 조사 결과는 그 실제 규모가 지금까지 알려진 것보다 훨씬 크고, 훨씬 성공적이었다는 점을 시사한다.
