뉴질랜드 기업에 북한 IT 인력 위장 취업

회사용 노트북까지 넘겨받아

북한 국적의 IT 인력이 신분을 위장해 뉴질랜드의 한 대기업에 원격 IT 계약직으로 취업한 사실이 뉴질랜드 국가사이버보안센터(NCSC) 조사에서 확인됐다.

해당 인력은 가짜 신원을 사용했을 뿐 아니라 뉴질랜드 내 주소를 이용하고 현지 시민을 모집해 회사가 지급한 노트북을 전달받도록 한 것으로 조사됐다. 뉴질랜드 기업이 북한 IT 인력의 이른바 ‘노트북 팜(laptop farm)’ 수법에 노출된 사례가 확인된 것은 이번이 처음으로 알려졌다.

NCSC가 발표한 2026년 사이버 위협 보고서(Cyber Threat Report 2026)​에 따르면, 한 대형 뉴질랜드 기업은 원격으로 근무하던 IT 계약직 직원의 신원 정보에 의문을 갖고 NCSC와 뉴질랜드 경찰에 신고했다.

조사 결과 해당 근로자는 북한에서 활동하고 있었던 것으로 확인됐다.

가짜 신원으로 취업…현지인을 이용해 회사 노트북 받아

NCSC에 따르면 북한 IT 인력들은 원격 근무 계약을 확보하는 과정에서 신원 위장 기술을 활용해 실제 북한 국적과 위치를 숨기는 것으로 나타났다.

이번 사례에서도 해당 인력은 뉴질랜드 주소를 사용했으며, 현지 뉴질랜드 시민을 모집해 회사에서 지급한 노트북을 대신 전달받고 사용하는 방식으로 자신의 실제 위치를 숨겼다.

이 같은 방식은 해외에서 적발된 북한의 이른바 ‘노트북 팜’ 수법​과 유사하다.

북한 IT 인력이 해외 기업의 원격 근무자로 위장하고, 현지에 있는 제3자가 기업으로부터 지급받은 노트북을 대신 관리하거나 작동시키면서 실제 근무자의 위치를 감추는 방식이다.

계약 종료 후 기업 기밀 공개 협박

문제의 계약은 이후 종료됐지만, 해당 인력은 자신이 기업의 민감한 상업 정보를 확보했다고 주장하며 돈을 지급하지 않으면 해당 정보를 공개하겠다고 위협한 것으로 조사됐다.

NCSC는 이러한 활동이 기업에 단순한 채용 사기를 넘어 정보 유출과 첩보 활동, 협박 및 금전적 피해로 이어질 수 있다​고 경고했다.

NCSC의 카트리오나 로빈슨 부국장은 북한 IT 인력의 이러한 활동이 유엔 제재 대상이며 뉴질랜드 법에도 적용된다고 설명했다.

또한 기업 입장에서는 북한 IT 인력의 위장 취업이 사이버 보안뿐 아니라 기업의 민감한 정보가 외부로 유출될 위험을 높일 수 있다고 지적했다.

북한 IT 인력의 해외 취업, 핵·미사일 개발 자금으로

이번 사례는 북한이 해외 IT 노동자를 활용해 외화를 확보하는 국제적인 활동의 일부로 파악되고 있다.

북한 IT 인력들은 신분과 국적을 숨긴 채 해외 기업에서 원격 근무 일자리를 확보하고, 이를 통해 북한 정권에 상당한 외화를 제공하는 것으로 지적돼 왔다.

미국 당국에 따르면 이러한 방식으로 북한이 확보한 자금은 2024년 한 해에만 약 8억 미국달러에 달한 것으로 추산됐다.

이 같은 수익은 북한의 핵무기와 미사일 개발 프로그램을 지원하는 데 사용되는 것으로 미국 등 여러 국가가 경고하고 있다.

뉴질랜드는 지난 7월 미국, 영국, 호주, 캐나다, 일본 및 유럽 일부 국가들과 함께 북한 IT 인력들이 허위 신원을 사용해 해외 원격 일자리를 확보하고 국제 제재를 회피하고 있다는 공동 경고에도 참여했다.

NCSC “직접 대면 면접하고 장비도 직접 전달해야”

NCSC는 기업들이 원격 근무자를 채용할 때 신원 확인 절차를 더욱 강화해야 한다고 권고했다.

특히 최종 채용 전에 지원자를 직접 대면해 면접하는 절차를 고려하고, 새로 채용한 직원에게 회사의 컴퓨터나 기타 IT 장비를 전달할 때도 본인이 직접 수령하도록 하는 방안을 제시했다.

기업의 IT 장비가 실제 계약자와 다른 사람에게 전달되는 경우, 해당 장비가 어디에서 어떻게 사용되고 있는지 확인하기 어려워질 수 있기 때문이다.

NCSC는 기업의 최고경영자와 고위 경영진이 사이버 보안을 단순한 IT 부서의 업무가 아니라 조직 차원의 핵심 위험관리 문제로 다뤄야 한다고 강조했다.

AI로 사이버 공격도 더 빠르고 정교해져

NCSC는 이번 보고서에서 북한 IT 인력 문제와 함께 인공지능(AI)을 활용한 사이버 공격의 확산​도 주요 위협으로 지목했다.

NCSC는 AI가 다양한 기회를 제공하는 동시에 악의적인 행위자들이 사이버 공격의 속도와 규모, 정교함을 높이는 데 이미 활용하고 있다​고 밝혔다.

특히 NCSC는 2027년 초까지 현재 세계 최고 수준의 AI 모델에서만 이용할 수 있는 고도화된 AI 기능에 악의적인 공격자들도 접근할 가능성이 있다고 경고했다.

이에 따라 기업을 대상으로 한 사이버 공격이 예고 없이 발생할 가능성이 커지고 있으며, 개인정보가 도난당한 뒤 다른 범죄자나 악의적인 행위자에게 판매되는 등 2차 피해도 발생할 수 있다는 설명이다.

뉴질랜드 사이버 범죄 피해도 심각해져

NCSC가 2025/26 회계연도 동안 국가적으로 중요한 수준의 잠재적 사이버 사건으로 처리한 사례는 369건이었다.

이 가운데 162건은 범죄 또는 금전적 동기에 의한 공격으로 분류됐으며, 전년도보다 18% 증가했다.

특히 같은 기간 ‘고도의 중요성을 가진 사건(highly significant)’으로 분류된 사이버 사고는 4건이었다. NCSC에 따르면 이는 지난 10년 동안 발생한 같은 수준의 사건을 모두 합친 숫자와 동일한 수준이다.

대규모 개인정보 유출 사건도 주요 사례로 언급됐다.

대표적으로 뉴질랜드의 건강정보 관리 서비스인 Manage My Health에서 발생한 데이터 침해 사건으로 9만9,000건이 넘는 환자 기록이 도난된 사례가 보고서에 포함됐다.

기업들의 채용 보안도 새로운 과제로

이번 사건은 원격근무가 일반화되면서 기업의 채용 절차 자체가 사이버 보안의 새로운 취약점이 될 수 있음을 보여주고 있다.

특히 해외에서 원격으로 근무하는 계약직 IT 인력을 채용할 경우 신원 확인, 실제 근무 장소 확인, 장비 전달 및 접근 권한 관리 등을 보다 엄격하게 관리해야 한다는 지적이다.

NCSC는 사이버 위협이 기술 발전과 함께 더욱 빠르게 변화하고 있는 만큼 기업들이 문제가 발생한 뒤 대응하기보다 채용 단계부터 보안 위험을 확인하고 사전에 대비해야 한다고 강조했다.

#뉴질랜드뉴스 #북한IT인력 #사이버보안 #NCSC #사이버공격 #북한해킹 #원격근무 #IT보안 #개인정보보호 #기업보안 #사이버범죄 #인공지능 #AI #뉴질랜드기업 #뉴질랜드교민 #교민뉴스 #교민신문