가상 암호 스타트업 ‘Ballena Azul’로 북한 IT 인력 유인
사이버보안 전문가 Mauro Eldritch와 Heiner García는 5주간의 네트워크 작전을 기획해, 실체 없는 암호화폐 스타트업 ‘Ballena Azul’을 세웠다. 이들은 줌(Zoom)을 통해 북한으로 추정되는 IT 개발자들과 연락하며 실제 창업 투자 기회를 염두에 둔 듯한 상황을 조성했다. 그러나 참여자들은 자신이 감시 및 분석 대상이라는 사실을 전혀 알지 못했다. 회사 신뢰도를 높이기 위해 영국에 등록된 동명 법인 정보를 활용했고, Eldritch는 가상의 공동창업자 ‘Leonardo Nelson’ 역할을, García는 팀장 ‘Andy Jones’ 역할을 맡았다.
북한 관련 서버 확인 및 기술 운영 실체 드러나
조사 결과 다수의 핵심 서버가 발견됐으며, 이 서버들은 가상 데스크톱을 통한 통제점 역할을 하고 있었다. 일부 서버는 이전의 북한 관련 악성코드 캠페인인 ‘InvisibleFerret’와 ‘BeaverTail/OtterCookie’ 활동과 연계된 것으로 나타났다. 또 다른 서버는 기존 위협 목록에는 없었던 신규 인프라여서, 북한 IT팀이 인프라 환경을 확장하고 있음을 보여준다.
서버들은 악성코드 전달뿐 아니라 C2(지휘통제), 프록시 전송 등 복합적인 역할을 수행하는 것으로 파악됐다. 전문가들은 이 IT 인력들이 직접 공격 코드를 배포하지 않아도, 정상적인 접근권한을 통해 목표 기업 내 시스템과 핵심 코드를 장기간 이용하며 북한 정권 자금 조달에 기여할 수 있다고 분석했다.
AI 활용 확대로 업무 보조 체계 확대
조사팀은 북한으로 추정되는 개발자들이 코드 작성과 문제 해결에 널리 ChatGPT를 이용하고 있음을 확인했다. 또한, 이미지 수정과 문서 위조에는 구글 Gemini를 활용하는 모습이 포착됐다. AI 지원 도구 활용이 기술적 한계를 보완하는 데 주요 역할을 하는 셈이다. 이외에도 원격 데스크톱 프로그램, 암호화 지갑, 다단계 인증 코드 공유 서비스 등이 작업에 동원됐다.
인력 모집과 통제 과정의 구체적 흔적
García는 ‘Famous Chollima’ 위협 그룹과 관련된 GitHub 리크루터를 통해 첫 접촉을 시작했고, 이후 ‘Jack Anderson’, ‘Angelo Espree’, ‘Lucas Theo’ 등 원격 개발자들을 확보했다. 운영진은 제어된 가상 데스크톱에서 개발 업무를 할당하고, 네트워크 장애를 시뮬레이션하며 대응 능력을 시험했다. 이러한 과정을 통해 채팅 기록, VPN 출구 노드, 실시간 영상 등 증거를 성공적으로 수집했다.
이와 유사한 북한 원격 IT 인력 고용 사례는 산업계에서 꾸준히 노출되고 있다. 2025년 미국 검찰은 북한 국적 IT 인력 4명을 가짜 신분을 이용한 암호화폐 원격 절도 혐의로 기소했으며, 이들이 조달한 자금이 북한 핵무기 및 대량살상무기 개발 지원에 쓰인 것으로 확인했다.
위장 해체와 진실 노출
작전 말미, ‘Benito Camella’로 분한 가상 공동창업자가 개발자 3명의 신원과 제출 서류 차이를 추궁하면서 사태가 흔들리기 시작했다. Espree가 가장 먼저 화상 회의를 이탈했고, Anderson 역시 사기임을 인지하고 중단했다. 가상 회사의 텔레그램 채널에서는 ‘CEO’와 ‘Andy Jones’가 공개 충돌하며 해고와 협력 종료를 선언, 결국 채용 실패로 회사는 해체됐다.
사후 최소 한 명의 북한 연루자로 추정되는 참여자가 García에게 사과를 전했으나, 나머지들은 연결이 끊겼다. 연구팀은 이들이 여전히 자신들이 감시 대상임을 모른다고 전했다.
사이버보안 및 암호화폐 산업에 주는 시사점
이번 수주간의 가상 채용 작업은 북한 원격 IT 인력의 구체적인 작업 방식, 기술 인프라, AI 이용 현황을 최초로 전면 공개했다. 참여 인력은 직접 공격 행위를 하지 않더라도 내부 접근 권한과 코드를 장기간 활용하며 블록체인 및 암호화폐 거래 플랫폼 보안에 위협 요소로 작용할 수 있다. 이에 감독 당국과 업계는 이들의 진화하는 위장술과 잠재적 위험을 지속적으로 감시할 필요가 있다.