일본과 동맹국들은 북한의 워터플럼 해커들이 1070만 달러 상당의 암호화폐를 훔쳐갔다고 밝혔습니다

일본 경찰청은 FBI, 호주, 독일 보안 기관과 함께 IT 전문가들을 사칭해 암호화폐를 훔친 북한 범죄 조직의 신원을 확인했습니다. 이들은 17억 엔(약 1,071만 달러) 상당의 자산을 북한으로 빼돌린 것으로 알려졌습니다.

해당 조직은 워터플럼(WaterPlum)이라는 이름을 사용하지만 "전염성 인터뷰(Contagious Interview)"라는 가명을 사용하며, 일본, 미국, 유럽 등을 포함한 전 세계의 피해자를 대상으로 범죄를 저질렀다고 7개 기관이 2026년 9월 18일 금요일에 발표한 공동 경고문에서 밝혔습니다. 

7개 기관, 공개된 정보 1건 

해당 권고문에는 일본 국가 사이버보안국, 검찰청, FBI, 미 국방부 사이버범죄센터, 호주 ASD 사이버보안센터, 그리고 독일 BND와 BfV 등  7개 기관 의 이름이 명시되어 있습니다

이번 발표는 악의적인 사이버 공격의 배후에 있는 국가 또는 단체를 공개하여 향후 공격을 억제하기 위한 조치인 "공개 배후 공개" 체계 하에 이루어졌습니다.  

북한 경찰청(NPA)과 연방수사국(FBI)의 분석에 따르면, 워터플럼 해커들은 북한 IT 종사자 집단과 함께 조선로동당 중앙위원회 산하 군수산업부 313총국 지휘를 받고 있는 것으로 나타났습니다. 이는 이번 작전이 평양의 무기 개발 프로그램 자금 조달을 위한 대규모 계획의 일부였음을 의미합니다. 미국 정보기관은 제기한 , 북한 정권은 이를 강력히 부인해 왔습니다. 

북한의 가짜 일자리 사기 수법은 어떻게 작동했을까?

이 사기 수법은 다음과 같았습니다. 해커들은 AI 기업, 암호화폐 벤처 기업, NFT 스타트업의 채용 담당자인 척하며 소프트웨어 개발자들에게 매력적인 채용 제안을 했습니다. 지원자들은 기술 면접에 참여하거나 코딩 과제를 완료한 후, 평가의 일환으로 파일을 다운로드하고 실행하라는 지시를 받았습니다. 

다운로드한 파일에 악성코드가 감염되어 있었습니다. Node Package Manager 패키지에는 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle 등 다양한 악성코드가 포함되어 있었습니다. 설치 후, 해당 코드는 백도어를 생성하여 원격 접속 트로이목마를 통해 접근 권한을 유지하고, 브라우저 비밀번호, 키 입력, 스크린샷, 암호화폐 지갑에 접근하는 데 사용되는 개인 키와 시드 구문을trac했습니다 

지난해 12월부터 올해 7월까지 진행된 이 작전으로 100여 개국에서 3만 대 이상의 기기가 손상되었고, 약 7천 개의 암호화폐 계정에 속한 민감한 정보가 유출되었습니다. 

일본에서 노트북 펌핑 시설이 파괴되었습니다 

이번 작전은 두 부분으로 구성되었으며, 두 번째 부분은 노동력을 활용하는 것이었습니다. 북한 인민진보연합(NPA)의 발표에 따르면, 북한, 중국, 러시아에 거주dent 일부 북한 IT 노동자들이 원격 프로그래밍 및 웹 개발trac을 몰래 따내어 급여를 북한으로 송금했습니다. 

수년에 걸쳐 총 수억 엔이 북한으로 송금 되었습니다

해당 작업의 물리적 출처를 숨기기 위해, 네트워크는 해커들을 위해 노트북 팜과 가상 사설 서버를 운영하는 현지인들을 이용했습니다. 일본 당국은 일본 내 조력자가 운영하는 노트북 팜을 적발하고 조사하여 폐쇄했는데, 이는 일본 역사상 처음 있는 일입니다.

북한의 확대되는 작전의 일환 

이번 권고는 지난 몇 달 동안 나타난 증가 추세에 대해 더 자세히 설명합니다. 공개 블록체인에 악성코드가 기록된 사례가 420% 급증 , 그중 상당 부분이 북한과 이란에서 발생한 것으로 나타났습니다.

북한의 암호화폐 탈취는 G7 정상 회의에서 중대한 안보 위협으로 분류되었습니다. 이는 2016년 이후 북한과 연관된 해커들이 약 67억 5천만 달러를 탈취한 것으로 밝혀진 데 따른 것입니다.  

채용을 미끼로 한 수법은 흔히 볼 수 있는 수법입니다. 블랙햇 연구원인 반젤리스 스티카스는 올해 북한 해커들이 57개국 1,640개 기업에 침투한 것을 trac했는데, 이들은 주로 개발자들에게 가짜 채용 공고를 보내 악성 소프트웨어를 설치하는 수법을 사용했다고 Cryptopolitan 보도했습니다.