미 연방수사국(FBI)과 법무부가 북한 IT 인력의 미국 기업 위장취업을 지원한 이른바 ‘랩톱 팜(laptop farm)’ 네트워크를 겨냥해 텍사스 전역에서 대규모 수사를 벌였습니다.
연방 당국은 9월 21일부터 25일까지 텍사스 내 40곳이 넘는 주택을 수색하고, 원격근무 사기에 사용된 것으로 의심되는 노트북과 KVM 장비 등 187대를 압수했다고 10월 13일 발표했습니다.
이번 작전은 **‘Operation Lonestar Roundup’**으로 명명됐습니다. 특히 북텍사스에서만 약 100대의 장비가 압수됐으며, 달라스·DFW 일대가 대규모 고용시장이라는 점 때문에 관련 활동이 집중된 것으로 수사당국은 보고 있습니다.
미국 기업 노트북을 주택에 모아놓고 북한에서 원격 접속
수사당국이 설명한 방식은 비교적 단순하지만 치밀했습니다.
북한 IT 인력들은 도용하거나 위조한 미국인 신분, 가짜 이메일과 취업 계정, VPN·프록시 등을 이용해 미국 기업의 원격 IT 직종에 지원했습니다. 채용에 성공하면 회사가 지급하는 업무용 노트북은 실제 근무자가 있는 해외가 아니라 미국 내 협조자의 주택으로 배송됐습니다.
미국 내 협조자는 여러 대의 노트북을 한 장소에 모아두고 원격접속 프로그램을 설치했습니다. 이후 북한 또는 해외에 있는 IT 인력이 해당 노트북에 접속해 마치 미국 안에서 정상적으로 근무하는 것처럼 회사 시스템에 접속했다는 것이 FBI의 설명입니다. 이런 주택을 수사당국은 ‘랩톱 팜’이라고 부릅니다.
FBI에 따르면 일부 협조자는 단순히 노트북을 보관하는 데 그치지 않고, 신원 확인이나 화상 면접에 대신 등장하거나 택배를 처리하고, 다른 사람의 신분을 이용한 약물검사·지문채취 등 채용 절차까지 도운 사례도 있었습니다.
70개 넘는 미국 기업 피해…약 300만 달러 수익 발생
법무부는 이번 텍사스 작전을 포함한 동시다발적 수사에서 북한 IT 위장취업 조직이 70개가 넘는 미국 기업에 침투했으며 약 300만 달러의 수익을 올린 것으로 파악하고 있습니다.
피해 기업은 의료, 통신, 사이버 보안 지원, 소매, 제조업 등 다양한 업종에 걸쳐 있었으며, 법무부는 이 수익이 북한 정부와 연결된 제재 대상 조직으로 전달돼 무기 프로그램 등에 사용됐을 가능성을 수사하고 있다고 밝혔습니다.
미국 사이버보안업체 CrowdStrike는 이 북한 IT 인력과 지원 네트워크를 **‘Famous Chollima’**로 추적해 왔습니다.
단순 위장취업 넘어 기업 내부정보 탈취 위험
문제는 이들이 단순히 급여를 받는 데서 끝나지 않는다는 점입니다.
FBI는 북한 IT 인력들이 회사 네트워크에 합법적인 직원 자격으로 접근한 뒤 기업의 민감한 데이터나 지식재산을 빼내거나, 데이터 탈취와 협박에 활용하는 사례도 확인했다고 경고해 왔습니다.
기업 입장에서는 정상적인 원격 직원으로 보이기 때문에 전통적인 외부 해킹보다 탐지하기 어렵다는 것이 특징입니다. 회사가 직접 지급한 노트북과 정상 계정을 사용하기 때문에, 채용 단계에서 신원 검증이 실패하면 내부 시스템 접근까지 자연스럽게 이어질 수 있습니다.
텍사스 수사 자체에서는 아직 체포 발표 없어
이번 텍사스 랩톱 팜 수색과 관련해 현지 수사당국은 아직 구체적인 체포 사실을 발표하지 않았습니다. 다만 법무부가 같은 날 발표한 전국 단위의 북한 IT 위장취업 대응 조치에는 다른 사건과 관련한 기소와 체포도 포함됐습니다. 텍사스 수사당국은 미국 내 협조자들에 대한 추가 기소 가능성을 언급했으며 수사는 계속 진행 중입니다.
FBI “원격직원 채용 때 신원 확인 강화해야”
FBI는 미국 기업들에게 원격 IT 인력 채용 과정에서 보다 강력한 신원 검증을 실시할 것을 권고하고 있습니다.
동일한 전화번호나 이메일이 여러 지원자의 이력서에서 반복되는지 확인하고, 지원자의 실제 거주지와 학력에 대해 구체적으로 질문하며, 가능하면 채용·온보딩 과정 일부를 직접 대면 방식으로 진행하는 것이 도움이 될 수 있다고 설명했습니다.
또한 의심스러운 직원이나 장비가 발견될 경우 즉시 해당 기기의 네트워크 활동을 점검하고 FBI의 **Internet Crime Complaint Center(IC3)**에 신고할 것을 권고했습니다.
이번 사건은 재택근무가 일상화된 미국 기업 환경에서 단순한 신분도용을 넘어 외국 정부와 연결된 인력이 정상 직원으로 기업 내부 시스템에 들어올 수 있다는 새로운 보안 위험을 보여주고 있습니다.