체이널리시스 보고서 — '가짜 채용 면접' 악성코드 수법, 개인 지갑까지 노린다

체이널리시스가 3일(현지시간) 낸 보고서는 북한 연계 공격자들이 '가짜 채용 면접'을 입구로 쓰는 수법을 정리했다. 공격자는 채용 담당자로 위장해 접근하고, 과제나 파일 형태로 악성코드를 내려받게 해 시스템에 침투한다. 지난 18개월간 이 수법으로 발생한 피해액은 1430만달러(약 192억원)를 넘는 것으로 파악됐고, 표적은 기업·프로토콜·다오(DAO)뿐 아니라 개인 보유자와 개인 지갑까지 포함됐다. 톰 맥라우스 선임 인텔리전스 애널리스트는 개인 차원에서 지갑 침해로 이어진 사례를 "수십 건 확인했다"고 말했다. 앞선 공격들의 피해액은 수만달러에서 수백만달러 수준이었다.

10월 29일 바이낸스 해킹도 같은 경로였다. 바이낸스 초기 조사에 따르면 9월에 한 엔지니어가 정상적인 구인 플랫폼을 통해 채용 제안을 받았고, 공격자는 수주에 걸쳐 신뢰를 쌓은 뒤 가상의 회사 이름으로 두 차례 면접을 진행하고 악성코드가 포함된 과제를 내려받게 했다. 침입 이후에는 내부 AI 도구 접근 권한을 악용해 추가 침투를 시도했다. 즉 한 번의 파일 실행이 아니라 몇 주짜리 관계 만들기가 수법의 핵심이다.

개인 이용자에게 중요한 대목은 유출 경로다. 체이널리시스는 악성 면접 이후 피해자의 클라우드 저장소에서 지갑 개인키가 탈취된 사례를 여러 건 확인했고, 일부 피해자는 감염된 기기에 시드 구문을 내려받은 적이 없다고 진술했다. 기기에 저장한 파일뿐 아니라 클라우드 인증 정보나 브라우저 세션까지 침해됐을 가능성이 있다는 분석이다. 악성코드 명령 전달에 중앙 서버 대신 블록체인을 쓰는 방식(블록체인 데드 드롭)도 확인됐다 — 트론·앱토스로 명령 경로를 분산하고 BNB스마트체인에 코드를 저장하는 형태다.

확인할 것은 세 가지다. 첫째, 채용·협업 제안으로 받은 압축파일·과제·'환경 설정 스크립트'는 실행하지 않는다. 구인 플랫폼을 통해 왔다는 사실은 신뢰 근거가 되지 못한다. 둘째, 시드 구문과 개인키를 클라우드 드라이브·메모 앱·사진첩에 두지 않는다. 기기에 내려받은 적이 없어도 클라우드 계정이 뚫리면 같이 털린다. 셋째, 클라우드·거래소 계정의 2단계 인증과 로그인 기록, 연결된 기기·세션을 점검하고 낯선 세션은 끊는다.