위장 개발자, 채용 단계마다 이렇게 거른다

남 일이 아니게 된 위장취업

북한 IT 인력이 국내 업체에 위장취업한 정황이 처음 적발돼 경찰이 수사에 나섰다. 그동안 미국·유럽 기업의 문제로 여겨지던 일이 국내에서도 현실로 드러난 것이다. 특히 개발자를 원격으로 뽑는 소규모 업체라면 더 주의할 필요가 있다. 대면 절차가 적고, 전담 보안 인력이 없는 경우가 많기 때문이다.

문제는 이들의 위장 수법이 예전보다 훨씬 정교해졌다는 데 있다. 단순히 가짜 이력서를 내는 수준이 아니다.

이력서부터 화상면접까지, 어떻게 속이나

Mikhail Fesenko

드러난 수법은 여러 겹이다. 먼저 도용하거나 위조한 타인의 신원을 쓴다. 여기에 AI로 이력서와 프로필 사진, 신분증 이미지까지 그럴듯하게 만들어 붙인다. 화상면접에서는 딥페이크로 얼굴을 바꾸거나, 아예 실제 지원자와 다른 사람이 대신 면접을 보는 경우도 있다.

근무 환경도 숨긴다. 미국 안 주택에 여러 회사의 업무용 노트북을 모아 두고 해외에서 원격 접속하는 이른바 '노트북 팜'이 대표적이다. VPN으로 접속 위치를 가려 현지에 있는 것처럼 꾸민다. 미 재무부는 이런 방식으로 벌어들인 돈이 2024년 한 해에만 약 8억 달러에 이르는 것으로 추산했고, 수사당국은 이 자금이 무기 개발에 흘러간 것으로 본다. 규모가 작지 않다.

채용 단계: 실시간으로, 겹쳐서 확인하라

핵심은 화상면접만으로는 부족하다는 점이다. 화상은 오히려 기존의 신원 확인을 우회하기 쉽게 만든다. 그래서 단계마다 실시간 확인을 겹쳐야 한다.

• 면접 중 신분 대조: 카메라 앞에서 신분증을 직접 들어 보이게 하고 얼굴과 대조한다. 딥페이크는 손으로 얼굴을 가리거나 고개를 크게 돌리는 돌발 동작에서 부자연스럽게 반응하기도 한다.
• 실시간 과제: 미리 준비할 수 없는 즉석 코딩이나 화면 공유 디버깅을 시켜 본다. 포트폴리오와 실제 실력의 간극이 드러난다.
• 결제·연락 확인: 급여 계좌가 지원자 본인 명의인지 확인한다. 암호화폐 지급이나 제3자 명의 송금을 요구하면 경계 신호다.

하나하나는 정당한 사정이 있을 수 있다. 하지만 화상회의 거부, 본인 명의가 아닌 계좌, 비정상적인 근무 시간 기록 같은 불일치가 여러 개 겹치면 추가 검증이 필요하다.

뽑은 뒤에도: 권한을 좁게 주어라

채용에 성공했다고 끝이 아니다. 온보딩 이후 계정 권한 설계가 두 번째 방어선이다. 처음부터 관리자 권한을 주지 말고, 업무에 필요한 최소한의 접근만 허용한다. 소스코드 저장소와 운영 서버 접근은 특히 좁게 설정한다.

업무용 장비는 회사가 관리하는 기기를 직접 수령하게 하는 편이 안전하다. 장비를 본인이 직접 받으러 오거나 실제 거주지로 배송받는 절차 자체가 하나의 신원 확인 수단이 된다. 접속 위치와 시간대가 신고한 근무지와 맞는지 주기적으로 보는 것도 도움이 된다.

AI로 거르려 할 때의 한계

지원서가 몰리면 AI 선별 도구로 빠르게 걸러내고 싶어진다. 그러나 여기엔 분명한 한계가 있다. 위장하는 쪽도 AI로 이력서와 사진, 딥페이크 영상을 만들기 때문에, AI 대 AI 구도에서는 자동 선별이 오히려 정교한 위장을 통과시킬 수 있다.

신원 확인과 기술 검증은 별개의 통제 수단이다. AI는 서류의 형식적 일치나 코드 품질을 걸러 주는 보조 도구일 뿐, '이 사람이 그 사람인지'를 보증하지는 못한다. 결국 실시간 대조와 사람의 판단이 마지막을 책임져야 한다. 자동화로 효율을 올리되, 최종 신원 확인만큼은 사람이 직접 하는 구조가 현실적이다.

출처

1. 북한 IT 인력 국내 위장취업 정황…경찰 수사
2. 북한발 가짜 IT직원 주의보…현황은, 걸러낼 방법은
3. North Korean IT workers game U.S. companies hiring practices
4. North Korean IT worker fraud: identity verification