AI 딥페이크로 미국 IT 기업 300곳 뚫었다…'유명한 천리마'의 충격 실체

북한의 단일 해킹 그룹이 현재 미국 기술 부문을 겨냥한 전체 국가 지원 디지털 침투 시도의 거의 절반을 책임지고 있다. 사이버 보안 기업 크라우드스트라이크(CrowdStrike)가 최근 공개한 위협 보고서에 따르면, '유명한 천리마(Famous Chollima)'로 추적되는 이 그룹은 거대한 AI 기반 취업 사기 수법을 통해 정권 요원들을 서구 기업에 원격 소프트웨어 개발자로 침투시키고 있다. 일단 채용되면 지적 재산과 민감 데이터를 빼돌리고 급여를 평양으로 송금하는 한편, 또 다른 축에서는 지난해에만 20억 달러(약 2조 8천억 원)가 넘는 암호화폐를 훔쳐냈다 .

침투 작전의 실체와 규모

이번에 크라우드스트라이크가 기록한 북한 연계 사이버 공격의 전년 대비 130% 급증은 전통적인 악성코드에 의한 것이 아니다. 대신 위협 사냥꾼들은 북한 국적의 요원이 기업 네트워크에 합법적인 접근 권한을 확보한 '내부자 위협' 사례의 눈사태에 대응하고 있는 중이다 .

2025년 4월부터 2026년 5월까지의 기간을 담은 최신 데이터에 따르면, 북한 위협 행위자들은 미국 기술 기업을 겨냥한 모든 국가 지원 '직접 접속(hands-on-keyboard)' 침투의 47%를 감행했으며, '유명한 천리마' 그룹이 이 모든 몫을 단독으로 차지했다 . 크라우드스트라이크가 2024년에만 304건의 '유명한 천리마' 관련 사건을 추적했고 그중 40%가 신뢰할 수 있는 내부자로 위장한 경우였다는 점을 고려하면, 이번 수치는 심각한 수준의 확대이다 .

AI로 무장한 위장 취업 사기극

'유명한 천리마'의 핵심 수법은 정교하면서도 교란할 정도로 단순하다. 바로 취업하기다. 최소 2018년부터 활동해온 이 집단은 가짜 프리랜서나 정규직 계약을 통해, 주로 원격 소프트웨어 개발자로 위장 취업하는 데 특화되어 있다 .

최근 크게 달라진 점은 이러한 취업 사기가 하나의 산업처럼 체계화되었다는 것이다. 크라우드스트라이크의 2025 위협 헌팅 보고서는 "채용 및 고용 프로세스의 모든 단계에 워크플로를 자동화하고 최적화하는 생성형 AI 기반 도구를 깊숙이 결합한 적의 명확한 실체"를 묘사하고 있다 .

크라우드스트라이크 보고서들이 문서화한 구체적인 수법은 다음과 같다.

• AI로 생성한 딥페이크 영상 및 음성 인터뷰. 요원들은 OpenAI의 챗GPT와 구글의 제미나이 같은 소비자용 생성형 AI 도구를 사용, 화상 면접 중에 실시간으로 목소리와 영상을 변조하고 기술 질문에 그럴듯한 답변을 생성한다 .
• 완전히 조작된 전문가 신상. 위협 행위자들은 AI로 생성한 프로필 사진과 함께 신뢰도를 높인 이력서, 그럴듯한 경력 사항으로 가짜 링크드인 프로필을 만들어 백그라운드 체크까지 통과한다 .
• 실제 도난 신분증 사용. 요원들은 백그라운드 심사 시스템의 눈을 속이기 위해 도난당한 미국 사회보장번호와 각종 신분증을 활용한다 .

크라우드스트라이크의 오버워치 위협 헌팅 팀은 12개월 동안 '유명한 천리마' 요원이 사기 취업에 성공한 320건이 넘는 별개의 사례를 조사했는데, 이는 전년 대비 무려 220% 증가한 규모이다 . 위장 채용의 성공률 역시 220% 폭증했으며, 이에 대해 크라우드스트라이크의 대적 대응 작전 책임자인 애덤 마이어스는 이제 자신의 팀이 거의 매일 한 건 꼴로 이런 사건에 대응하고 있다고 밝혔다 .

노리는 것은 돈과 기술, 두 마리 토끼

북한 정권은 이 작전을 통해 이중 수익 파이프라인을 구축한다.

첫 번째 파이프라인은 단순한 급여 절취다. '유명한 천리마' 요원들은 침투한 기업으로부터 월급을 받아 북한으로 송금한다. 두 번째이자 피해 기업에 더 치명적인 파이프라인은 지적 재산 탈취다. 합법적인 자격 증명을 가진 채 네트워크 내부에 진입한 요원들은 독점 소스 코드와 영업 비밀, 기타 민감한 지식 재산을 빼낸다 .

위장 IT 취업 작전과 병행하여, 더 넓은 북한 사이버 생태계는 막대한 규모의 암호화폐 탈취 작전을 가동 중이다. 크라우드스트라이크의 2026 금융 서비스 위협 환경 보고서에 따르면, 북한 연계 그룹들은 2025년 한 해 동안 총 20억 2천만 달러(약 2조 8천억 원)에 달하는 디지털 자산을 훔쳤으며 이는 전년 대비 51% 증가한 금액이다 . 단일 사건으로 최대 규모였던 14억 6천만 달러 상당의 암호화폐 탈취는 연계 그룹인 '프레셔 초리마(PRESSURE CHOLLIMA)'가 공급망 침해를 통해 악성 소프트웨어를 유포한 방식으로 이루어졌다 .

이렇게 탈취한 자금의 궁극적인 행방은 명백하다. "훔친 수십억 달러는 거의 확실하게 세탁되어 정권의 군사 및 핵무기 개발 프로그램 자금으로 사용될 것"이라고 2026 금융 서비스 위협 환경 보고서는 명시하고 있다 .

위장 취업 넘어 데이터 탈취 협박까지

'유명한 천리마'에 대한 공개 보고는 침투와 절도에 초점이 맞춰져 있지만, 데이터 유출에는 두 번째 잠재적 대가가 따른다. 더 넓은 북한의 사이버 작전은 탈취한 정보를 유출하겠다고 협박하며 몸값을 요구하는 '데이터 탈취 후 갈취' 전술을 채택하고 있다.

크라우드스트라이크의 이전 글로벌 위협 보고서는 많은 공격자들에게 데이터 탈취 협박이 선호되는 수익화 경로로 자리 잡으면서 전용 유출 사이트에 이름이 오른 피해자 수가 76% 증가했다고 추적한 바 있다 . 회사 측은 북한 연계 행위자들이 랜섬웨어를 배포하지 않고도 민감 데이터를 노출하겠다는 압박을 가하는 방식으로 데이터 절도 및 갈취 캠페인을 벌이는 것이 관찰되었다고 언급했다 .

크라우드스트라이크는 또한 '유명한 천리마' 관련 서비스 건 중 50%에서 데이터 탈취가 확인되었다고 밝혔다 . 이렇게 유출된 정보는 갈취에 악용될 수 있지만, 공개된 보고서 요약본에서는 이 집단의 내부자 침투 및 급여·암호화폐 절취 파이프라인에 더 초점을 맞추고 있다. 적발 이후 이들이 실제로 어떻게 몸값을 요구하는지에 대한 더 정확한 내막은 현재 공개된 요약본이 아닌 전체 보고서에만 담겨 있을 가능성이 높다.

이 작전의 규모와 정교함은 국가 지원 사이버 침투의 뉴 패러다임을 보여준다. 위협의 축이 외곽 공격에서, 정식 채용되어 월급을 받으며 내부에서 갉아먹는 신뢰할 수 있는 내부자로 이동한 것이다.