북한 해커, 가짜 면접으로 바이낸스 직원 속였다…두 차례 면접 후 악성코드 설치

사진제공=체이널리시스 북한 해커들이 세계 최대 가상자산 거래소 바이낸스를 공격하기 전 수십 차례의 '가짜 채용 면접'을 이용한 해킹을 벌이며 공격 수법을 고도화했을 가능성이 제기됐다. 소규모 가상자산 탈취를 통해 침투 기술을 정교하게 다듬은 뒤 대형 거래소를 공격했을 수 있다는 분석이다. 4일 블록체인 분석업체 체이널리시스에 따르면 북한 연계 해킹 조직은 지난 18개월간 가짜 면접과 악성코드를 이용해 1430만달러 이상의 가상자산을 탈취한 것으로 파악됐다. 공격 대상은 개인 가상자산 보유자와 지갑부터 기업, 블록체인 프로토콜, 탈중앙화자율조직(DAO)까지 다양했다. 체이널리시스는 이런 공격이 지난달 발생한 바이낸스의 대규모 해킹 사건과 유사한 방식으로 이뤄졌다는 점에 주목했다. 북한 해커들이 상대적으로 규모가 작은 표적을 공격하면서 침투 수법을 발전시키고, 점차 더 큰 규모의 자산을 보유한 조직으로 공격 대상을 확대했을 가능성이 있다는 것이다. 톰 맥라우스 체이널리시스 선임 인텔리전스 애널리스트는 “채용 면접과 관련된 침해로 개인 지갑이 탈취된 사례를 수십 건 확인했다”며 “공격자들이 연속적인 침해를 통해 수법을 완성하고 발전시켜 왔다”고 설명했다. 바이낸스 해킹 역시 가짜 채용 면접에서 시작됐다. 바이낸스의 초기 조사에 따르면 공격자들은 지난 9월 합법적인 구인 플랫폼을 통해 바이낸스 엔지니어에게 접근했다. 가상의 회사에서 채용을 제안한 뒤 수주에 걸쳐 신뢰를 쌓았으며, 두 차례 면접을 진행한 후 악성코드가 포함된 과제를 내려받도록 유도했다. 직원이 해당 파일을 다운로드하면서 공격자들은 최초 침입 거점을 확보했다. 이후 악성코드를 추가로 배포하고 내부 인공지능(AI) 도구에 대한 접근 권한을 악용해 거래소 시스템 깊숙이 침투한 것으로 조사됐다. 체이널리시스는 이 같은 수법을 '전염성 면접(Contagious Interviews)'이라고 설명했다. 정상적인 채용 절차로 위장해 직원의 컴퓨터를 감염시키고, 확보한 인증 정보와 접근 권한을 이용해 기업 내부 시스템까지 침투하는 방식이다. 특히 높은 접근 권한을 가진 엔지니어와 개발자가 주요 표적이 된다. 공격자가 이들의 계정을 탈취하면 개인 기기를 넘어 기업의 핵심 인프라에 접근할 가능성이 커지기 때문이다. 북한 해커들의 공격 방식도 한층 정교해지고 있다. 체이널리시스는 가짜 면접을 통해 감염된 컴퓨터에서 가상자산 지갑의 개인키뿐 아니라 클라우드 저장소에 보관된 정...