전자·엔터·IT서비스·유틸리티 최소 4곳 지원 정황
세계 1100여 곳서 구직 시도…최소 10개사 취업 가능성
국정원도 2023년 국내 에너지기업 유사 사례 적발
글로벌 사이버보안업체 레코디드퓨처는 27일 북한 IT 인력 연계 활동군인 ‘퍼플델타’와 관련한 본지 질의에 “해당 활동군 내 행위자들이 전자, 엔터테인먼트, IT 서비스, 유틸리티 산업 분야의 한국 기업 최소 네 곳의 해외 자회사에 지원했다고 주장하는 것을 확인했다”고 밝혔다. 이어 “이러한 지원이 다음 채용 단계로 진행됐거나 실제 고용으로 이어졌는지는 파악하지 못했다”고 설명했다.
퍼플델타는 레코디드퓨처가 북한 IT 인력의 활동을 추적하기 위해 붙인 명칭이다. 이들은 프리랜서나 구직 중인 개발자로 위장해 해외 기업에 원격 근무자로 취업하고 여기서 벌어들인 수익을 제재 대상인 북한 정권의 군사·핵 프로그램 자금으로 유입시키는 것으로 알려졌다.
레코디드퓨처 산하 인식트그룹이 최근 공개한 보고서에 따르면 퍼플델타의 한 활동군은 2024년 말부터 지난해 초까지 전 세계 1100여 개 기업에 입사 지원서를 제출했다. 여러 활동군에서 최소 22개의 가짜 신원이 확인됐으며 일부는 AI로 생성한 프로필 사진과 불법 신분증 생성 서비스를 통해 확보한 신분증을 활용했다.
인식트그룹은 퍼플델타 인력이 AI·핀테크·IT 서비스·미디어·비영리 분야의 최소 10개 조직에 실제 고용됐을 가능성이 매우 크다고 분석했다. 한 피해 조직의 내부 회의를 녹음한 자료와 업무 중 화면 녹화 프로그램을 사용한 정황도 포착됐다. 다만 이들 조직에 한국 기업이 포함됐는지는 확인되지 않아 국내 기업의 기밀 데이터나 소스코드, 내부 통신이 유출됐다고 단정할 근거는 없다.
퍼플델타는 가짜 채용 활동을 통해 개발자에게 악성코드를 배포하는 북한 연계 활동군 ‘퍼플브라보’와도 일부 활동이 겹치는 것으로 나타났다. 이에 단순한 외화벌이를 넘어 정보 수집과 후속 침해, 소프트웨어 공급망 위협으로 이어질 가능성도 제기된다.
레코디드퓨처는 “이들이 중요 시스템 접근 권한이 부여되는 원격 기술직에 집중하고 있는 것으로 나타났다”며 소프트웨어·인력 파견·의료·핀테크 분야 기업들이 원격근무 지원자에 대한 신원 확인 요건을 강화할 필요가 있다고 조언했다.
이와 유사한 위장 취업 시도는 과거 국내 정보당국에 의해서도 발각된 바 있다. 국가정보원은 2023년 7월 북한 IT 인력이 한국 에너지 기업의 해외 지사에 위장 취업을 시도하다 발각됐다고 밝혔다. 당시 공개된 적발 사례가 한 에너지기업의 해외지사를 겨냥한 것이었다면 이번에는 전자·엔터테인먼트·IT서비스·유틸리티 등 복수 업종에 걸쳐 최소 4개 한국 기업의 해외 자회사까지 지원 대상에 포함된 정황이 새롭게 확인됐다는 점에서 차이가 있다.
