북한 IT 인력 관련 공동주의보 발표

북한 IT 인력 관련 국가, 기업 및 기타 기관 대상 주의보

북한은 불법적인 핵무기 및 탄도미사일 개발 자금 조달을 위해 북한 안팎에 체류하며 허위 신분을 취득하고 원격으로 수입을 벌어들이는 숙련된 IT 인력 네트워크에 의존하고 있습니다.

(비공식 국문본)

북한 IT 인력은 타국 국민으로 신분을 위장하여, 민간 기업이 제공하는 온라인 구인‧조달‧서비스 계약 플랫폼을 통해 일자리와 소득을 확보합니다. 이들은 취득한 급여를 북한 내 소속 기관에 송금할 목적으로 계약을 수주합니다.

이들은 기업에 대한 내부 위협으로 작용하며, 데이터 무단 반출, 가상자산 탈취 및 민감정보 절취 활동에도 점점 더 깊이 관여하고 있습니다. 북한 IT 인력은 AI 등을 활용해 점점 더 정교한 수법으로 신원을 은폐하고 있으며, 전 세계적으로 활동 범위를 확대해 나가고 있습니다.

우리는 북한 IT 인력의 위협에 대해 국제사회 및 민간 부문에 경각심을 제고하기 위한 정보를 계속 발표해 왔습니다. 한미일 3국은 2025년 8월 「북한 IT 인력에 대한 한미일 공동성명」을 발표했으며, 다국적제재모니터링팀(MSMT)은 2025년 10월 「북한의 불법 사이버 활동」을 주제로 두 번째 보고서를 발표했습니다.

대한민국, 미국, 일본, 영국, 호주, 캐나다는 그간 북한 IT 노동자가 각국의 국민과 기업에 초래하는 위험에 관한 주의보를 발표한 바 있습니다. 우리는 앞으로도 북한 IT 인력에 의한 위협을 적극 감시하고 대응해 나갈 것입니다.

유엔 안보리 결의 2397에 따르면, 모든 유엔 회원국은 예외적인 상황을 제외하고 회원국 내에서 소득을 얻고 있는 모든 북한 노동자를 북한으로 송환해야 합니다. 또한, 북한 IT 인력과 계약을 체결하고, 대가를 지급하는 행위는 대한민국, 미국, 일본을 포함한 여러 국가에서 국내법령에 저촉될 소지가 있으며, 이에 따라 법적 책임이나 금전적 제재가 부과될 수 있습니다.

국제자금세탁방지기구(FATF)는 북한을 ‘조치를 요하는 고위험 국가’(블랙리스트)로 지정하고 있습니다. FATF는 관련 유엔 안보리 결의에 따라 강력한 정밀금융제재를 이행할 필요성을 지속적으로 강조하고 있으며, 모든 국가에 대해 북한의 자금세탁, 테러자금 조달 및 확산자금 조달 위험으로부터 자국 금융시스템을 보호하기 위한 대응조치를 시행할 것을 촉구하고 있습니다.

그럼에도 불구하고 북한은 IT 인력 활동을 포함한 다양한 수익 창출 활동을 통해 국제 금융시스템과의 연결성을 확대해 왔습니다. FATF의 「복합적 확산금융(PF) 및 제재 회피 유형 보고서」에서도 지적된 바와 같이, 북한은 WMD 프로그램 자금 조달을 위해 IT 인력을 빈번하게 활용하고 있습니다.

우리는 모든 국가, 기업 및 기타 기관들이 북한 IT 인력에 대한 이해를 제고하고, 아래 수법들에 대응하기 위한 조치를 시행할 것을 요청합니다. 또한, 온라인 플랫폼 운영 기업들은 신원 확인 절차 강화(엄격한 신원 확인, 대면 인터뷰 도입 등) 및 의심 계정 탐지 강화(비정상 정보 입력 시 경고 시스템 도입 등)와 같은 대응조치를 지속적으로 강화해 주시기 바랍니다.

아래 내용은 참여국들의 정보를 기반으로 합니다.

[북한 IT 인력이 사용하는 수법]

• 많은 북한 IT 인력이 국적이나 신원을 위조하여 온라인 플랫폼에 계정을 등록합니다. 일반적인 수법으로는 신분증 위조 및 타인 사칭이 있습니다. 제3국에 거주하는 조력자가 제공한 신분증 이미지로 계정을 개설하고, 실제 작업은 북한 IT 인력이 수행한 사례가 확인된 바 있습니다.

• 북한 IT 인력은 온라인 계정을 개설하거나, 채용 면접에 참여하는 데 있어 제3자 대리인을 활용하는 경우가 늘고 있으며, 상대방과의 신뢰를 형성하고 계약을 수주하기 위해 대면 접촉을 하기도 합니다.

• 직접 입금 방식으로 급여를 받는 것을 피하려는 경우가 많으며, 송금 서비스나 가상자산을 통한 지불을 요구할 수 있습니다. 북한 IT 인력이 고용인측에 제3자의 은행계좌를 급여 수령 계좌로 제시하고, 해당 제3자에게 지정된 해외 계좌로 자금을 송금하는 대가로 수수료를 지급한 사례가 확인된 바 있습니다.

• 북한 IT 인력은 대체로 IT 분야에서 높은 수준의 기술을 보유하고 있으며, 온라인 플랫폼 및 기타 채널을 통해 웹페이지, 애플리케이션, 소프트웨어 개발 등 폭넓은 분야의 일감을 찾습니다. 기업이나 개인으로부터 직접 계약을 수주하는 경우도 있습니다.

• 다수의 북한 IT 인력이 북한, 중국, 러시아뿐만 아니라 동남아시아 및 아프리카 국가들에 체류하고 있으나, 이들은 제3자 대리인, VPN, 원격 데스크톱 소프트웨어 등을 이용해 해외에서 활동하고 있다는 사실을 은폐할 수 있습니다.

• 북한 IT 인력들은 미국 등 해외에 있는 제3자 조력자를 통해 ‘노트북 농장(laptop farm)’을 운영하는 것으로 알려져 있습니다. 이러한 시설은 기업이 제공한 노트북을 대신 수령하여 북한 IT 노동자가 원격으로 접속할 수 있게 함으로써 이들의 실제 위치를 은폐하는 역할을 합니다.

• IT 관련 일감 수주 외에도, 북한 IT 인력이 자체 개발한 것으로 추정되는 자동 거래 시스템을 이용해 외환 거래 사기를 저지르고 외화를 획득한 사례도 확인된 바 있습니다.

또한, 북한 IT 인력과 연계된 계정은 아래와 같은 특징을 보이는 경우가 많습니다. 거래 상대방에게 아래 특성 중 여러 가지가 동시에 나타나고, 면밀한 검토 결과 의심 요소가 확인되는 경우에는 해당 업무가 북한 IT 인력에 의해 수행되고 있을 가능성이 있습니다.

(온라인 플랫폼 운영 기업을 위한 체크리스트)

 계정명, 연락처, 급여 수령용 은행 계좌 등 등록 정보가 빈번히 변경됨.

 계정 명의자와 등록된 급여 지급 계좌의 명의가 일치하지 않음.

 동일 신분증으로 다수 계정이 생성됨.

 신원 확인에 사용된 신분증이 이미지 편집 소프트웨어 등을 활용하여 위조된 것으로 의심됨.

(비공식 국문본)

 다수의 계정이 동일한 IP 주소에서 접속됨.

 단일 계정이 짧은 시간 내에 다수 IP 주소에서 접속됨.

 계정이 비정상적으로 장시간 로그인 상태를 유지함.

 누적 근무 시간 또는 관련 지표가 비정상적으로 높음.

 평판을 높이기 위해 계정 사용자가 자기 자신에게 허위 후기 게시

(구인 기업 및 서비스 발주 기업을 위한 체크리스트)

 프로필 오류 또는 부정확한 자동 번역의 결과로 보이는 부자연스러운 표현이 포함되어 있으며, 스스로 주장하는 국적의 언어에 능숙하지 않은 것으로 보임.(단, 북한 인력이 번역 서비스나 대규모 언어 모델을 활용해 여타 언어로 그럴듯한 프로필을 만들고 의사소통을 할 수 있다는 점에 유의)

 화상회의 과정에서 신분증 사진과 실제 인물이 일치하지 않거나, 영상이 조작되었거나 인공지능으로 생성된 것으로 보이는 등 불일치가 발견됨.

 화상회의 참여를 거부함.

 일반적인 시장 가격보다 낮은 요율을 제안함.

 계정이 여러 사람에 의해 운영되는 징후가 있음.(북한 IT 인력은 팀 단위로 활동하는 것으로 알려져 있으며, 따라서 시간대에 따라 담당자가 교체될 수 있음)

 가상화폐를 통한 지급을 제안함. 끝.