북한이 지원하는 해킹 그룹이 100개국 이상에서 3만대 이상의 컴퓨터를 감염시켰습니다. 이들은 7,000개가 넘는 암호화폐 지갑에서 데이터를 탈취했다고 일본 경찰청과 미 연방수사국(FBI)이 금요일 밝혔습니다.
이 그룹이 통제하는 지갑에는 2025년 12월부터 2026년 7월까지 최소 1,071만 달러의 디지털 자산이 유입되었습니다. 해당 기관들은 이 그룹을 워터플럼(WaterPlum)이라고 부르며, ‘컨테이저스 인터뷰(Contagious Interview)’라고도 추적 중입니다.
가짜 채용 담당자가 7,000개 암호화폐 지갑에 접근한 방법
워터플럼은 인공지능, 암호화폐, NFT(대체불가능 토큰) 기업의 헤드헌터로 가장합니다. 이들은 SNS, 구직 게시판, 프리랜서 마켓플레이스 등을 통해 개발자들에게 접근합니다.
“워터플럼 조직원들은 전 세계 소프트웨어 개발자와 IT 전문가를 대상으로 매력적인 채용 기회를 내세운 채 잠재적 고용주로 위장하여 접근합니다.” – 일본 경찰청과 미 연방수사국(FBI)의 공동 권고문에서.
지원자는 기술 면접 또는 코딩 테스트를 요청받습니다. 이 그룹은 코드 공유 사이트에서 파일을 내려받으라고 지시합니다. 겉으로는 화상 통화 연결이 끊기거나 테스트 과제를 전달한다는 명목입니다.
이 파일에는 악성코드가 포함되어 있습니다. 해당 프로그램은 브라우저 비밀번호, 화면 캡처, 키 입력 기록을 수집합니다. 또한 암호화폐 지갑을 제어하는 비밀키도 탈취합니다. 이 지갑은 디지털 자산을 보관하는 소프트웨어입니다.
BeInCrypto는 지난해 8월 이 그룹의 서버에 22개월간 잠입한 한 연구자에 대해 보도했습니다. 그는 57개국에서 1,640명의 피해자를 추적·파악했습니다. 이번 금요일 공식 발표된 수치는 약 18배 더 많습니다.
일본, 첫 랩탑팜 적발 및 해체
경찰은 국내 최초로 확인된 랩탑팜도 폐쇄하였습니다. 국내 협력자들이 집에서 컴퓨터를 보관했습니다. 해외의 북한 인력이 원격으로 제어하며 일본 거주자로 위장해 프리랜서 계약을 수주했습니다.
수사당국은 해당 인력들이 수억 엔 상당의 암호화폐를 해외로 송금했다고 밝혔습니다. 동일한 인터넷 주소가 이 랩탑팜을 해킹 그룹과 연결시켰습니다.
“일본 경찰청과 미 연방수사국(FBI)은 워터플럼 사이버 조직원과 일부 북한 IT 인력들이 조선노동당 중앙위원회 산하 군수산업부 313총국 소속으로 활동한다고 평가합니다.”
북한 관계자로 의심되는 한 인물은 2025년 5월 일본 거래소 비트플라이어(bitFlyer)의 엔지니어 직에 도용된 이력서로 지원했습니다. 면접관들은 그가 일본으로 이주를 거부하고 암호화폐로 급여를 요구하는 점을 확인했습니다. 그는 답변을 제2의 화면에서 읽는 듯 보였으며, 채용되지 않았습니다.
이전 공격들은 딥페이크 채용 화상통화를 이용해 고위 직원을 노렸습니다. 수사당국은 엔지니어들에게 채용담당자가 제공하는 코드를 샌드박스, 즉 실제 파일과 분리된 안전한 테스트 환경에서 실행할 것을 권고합니다.
