AI 딥페이크로 미국 IT 기업 300곳 뚫었다…'유명한 천리마'의 충격 실체

AI로 무장한 위장 취업 사기극

'유명한 천리마'의 핵심 수법은 정교하면서도 교란할 정도로 단순하다. 바로 취업하기다. 최소 2018년부터 활동해온 이 집단은 가짜 프리랜서나 정규직 계약을 통해, 주로 원격 소프트웨어 개발자로 위장 취업하는 데 특화되어 있다 .

최근 크게 달라진 점은 이러한 취업 사기가 하나의 산업처럼 체계화되었다는 것이다. 크라우드스트라이크의 2025 위협 헌팅 보고서는 "채용 및 고용 프로세스의 모든 단계에 워크플로를 자동화하고 최적화하는 생성형 AI 기반 도구를 깊숙이 결합한 적의 명확한 실체"를 묘사하고 있다 .

크라우드스트라이크 보고서들이 문서화한 구체적인 수법은 다음과 같다.

• AI로 생성한 딥페이크 영상 및 음성 인터뷰. 요원들은 OpenAI의 챗GPT와 구글의 제미나이 같은 소비자용 생성형 AI 도구를 사용, 화상 면접 중에 실시간으로 목소리와 영상을 변조하고 기술 질문에 그럴듯한 답변을 생성한다 .
• 완전히 조작된 전문가 신상. 위협 행위자들은 AI로 생성한 프로필 사진과 함께 신뢰도를 높인 이력서, 그럴듯한 경력 사항으로 가짜 링크드인 프로필을 만들어 백그라운드 체크까지 통과한다 .
• 실제 도난 신분증 사용. 요원들은 백그라운드 심사 시스템의 눈을 속이기 위해 도난당한 미국 사회보장번호와 각종 신분증을 활용한다 .

크라우드스트라이크의 오버워치 위협 헌팅 팀은 12개월 동안 '유명한 천리마' 요원이 사기 취업에 성공한 320건이 넘는 별개의 사례를 조사했는데, 이는 전년 대비 무려 220% 증가한 규모이다 . 위장 채용의 성공률 역시 220% 폭증했으며, 이에 대해 크라우드스트라이크의 대적 대응 작전 책임자인 애덤 마이어스는 이제 자신의 팀이 거의 매일 한 건 꼴로 이런 사건에 대응하고 있다고 밝혔다 .

노리는 것은 돈과 기술, 두 마리 토끼

북한 정권은 이 작전을 통해 이중 수익 파이프라인을 구축한다.

첫 번째 파이프라인은 단순한 급여 절취다. '유명한 천리마' 요원들은 침투한 기업으로부터 월급을 받아 북한으로 송금한다. 두 번째이자 피해 기업에 더 치명적인 파이프라인은 지적 재산 탈취다. 합법적인 자격 증명을 가진 채 네트워크 내부에 진입한 요원들은 독점 소스 코드와 영업 비밀, 기타 민감한 지식 재산을 빼낸다 .

위장 IT 취업 작전과 병행하여, 더 넓은 북한 사이버 생태계는 막대한 규모의 암호화폐 탈취 작전을 가동 중이다. 크라우드스트라이크의 2026 금융 서비스 위협 환경 보고서에 따르면, 북한 연계 그룹들은 2025년 한 해 동안 총 20억 2천만 달러(약 2조 8천억 원)에 달하는 디지털 자산을 훔쳤으며 이는 전년 대비 51% 증가한 금액이다 . 단일 사건으로 최대 규모였던 14억 6천만 달러 상당의 암호화폐 탈취는 연계 그룹인 '프레셔 초리마(PRESSURE CHOLLIMA)'가 공급망 침해를 통해 악성 소프트웨어를 유포한 방식으로 이루어졌다 .

이렇게 탈취한 자금의 궁극적인 행방은 명백하다. "훔친 수십억 달러는 거의 확실하게 세탁되어 정권의 군사 및 핵무기 개발 프로그램 자금으로 사용될 것"이라고 2026 금융 서비스 위협 환경 보고서는 명시하고 있다 .

위장 취업 넘어 데이터 탈취 협박까지

'유명한 천리마'에 대한 공개 보고는 침투와 절도에 초점이 맞춰져 있지만, 데이터 유출에는 두 번째 잠재적 대가가 따른다. 더 넓은 북한의 사이버 작전은 탈취한 정보를 유출하겠다고 협박하며 몸값을 요구하는 '데이터 탈취 후 갈취' 전술을 채택하고 있다.

크라우드스트라이크의 이전 글로벌 위협 보고서는 많은 공격자들에게 데이터 탈취 협박이 선호되는 수익화 경로로 자리 잡으면서 전용 유출 사이트에 이름이 오른 피해자 수가 76% 증가했다고 추적한 바 있다 . 회사 측은 북한 연계 행위자들이 랜섬웨어를 배포하지 않고도 민감 데이터를 노출하겠다는 압박을 가하는 방식으로 데이터 절도 및 갈취 캠페인을 벌이는 것이 관찰되었다고 언급했다 .

크라우드스트라이크는 또한 '유명한 천리마' 관련 서비스 건 중 50%에서 데이터 탈취가 확인되었다고 밝혔다 . 이렇게 유출된 정보는 갈취에 악용될 수 있지만, 공개된 보고서 요약본에서는 이 집단의 내부자 침투 및 급여·암호화폐 절취 파이프라인에 더 초점을 맞추고 있다. 적발 이후 이들이 실제로 어떻게 몸값을 요구하는지에 대한 더 정확한 내막은 현재 공개된 요약본이 아닌 전체 보고서에만 담겨 있을 가능성이 높다.

이 작전의 규모와 정교함은 국가 지원 사이버 침투의 뉴 패러다임을 보여준다. 위협의 축이 외곽 공격에서, 정식 채용되어 월급을 받으며 내부에서 갉아먹는 신뢰할 수 있는 내부자로 이동한 것이다.