북한과 연계된 사이버 공격 조직들은 한국 정부, 언론, 방위산업체, 북한 인권단체, 탈북민 단체 등을 주요 목표로 지속적인 해킹 작전을 수행하고 있다. APT37 (일명 ScarCruft), Kimsuky, Lazarus 등 북한 정부의 지원을 받는 해킹 그룹이 악성코드 배포, 피싱 공격, 제로데이(0-day) 취약점 악용 등 고도화된 공격 기법을 활용하고 있다.
특히 2023년 이후 APT37이 안드로이드 스파이웨어 RambleOn과 ROKRAT을 이용한 모바일 기반 감시 작전을 확장하고 있으며, Kimsuky 그룹은 한국의 정부 기관과 연구소를 대상으로 장기간 정보 탈취 활동을 수행 중이다.
2. 주요 공격 기법 및 전략
(1) 악성 문서 및 이메일 피싱
APT37과 Kimsuky 그룹은 MS Word 문서(.docx), LNK 바로가기 파일, ZIP 압축 파일 등에 악성코드를 삽입하여 타깃을 감염시키고 있음.
한국 정부, 국방 관련 연구소, 북한 인권단체를 대상으로 한 스피어 피싱 공격이 증가하고 있음.
북한과 관련된 정치적 사건(한미연합훈련, 제재 강화 등)에 대한 문서로 위장하여 공격을 수행함.
(2) 안드로이드 및 윈도우 기반 스파이웨어
APT37이 배포한 RambleOn 및 ROKRAT 스파이웨어가 안드로이드 사용자들을 감염시키고 있음.
SMS 탈취, 통화 녹음, 위치 추적, 키 입력 기록 등의 기능을 활용하여 한국 내 주요 인사의 정보를 수집.
Windows 환경에서도 기존의 PowerShell 기반 백도어와 함께 C2(Command & Control) 서버를 이용한 장기적인 침투 작전이 진행됨.
(3) 공급망(Supply Chain) 공격
북한 연계 APT 그룹들은 한국의 방산 및 연구기관 내부 네트워크를 직접 공격하는 대신, 협력업체 및 공급망을 통해 우회 공격을 시도함.
최근에는 한국 내 보안 취약점을 이용하여 개발된 소프트웨어 업데이트 과정에서 악성코드를 삽입하는 공급망 공격 기법이 증가하고 있음.
(4) 크립토재킹 및 금융 해킹
Lazarus 그룹은 가상화폐 거래소 및 금융 기관을 대상으로 사이버 공격을 수행, 암호화폐 탈취 및 불법 자금 세탁을 지속하고 있음.
IT 아웃소싱을 통해 북한 IT 노동자가 해외에서 위장 취업하여 가상화폐 거래와 금융 해킹을 수행하는 정황이 포착됨.
3. 주요 표적 및 피해 사례
(1) 한국 정부 및 국방 관련 기관
국방 연구소, 안보 기관을 대상으로 한 피싱 및 악성코드 감염 사례 증가.
최신 무기 개발 자료 및 군사 작전 관련 문건이 주요 해킹 대상.
(2) 북한 인권단체 및 탈북민 관련 조직
북한 인권단체에 대한 지속적인 해킹 시도와 감시 작전 수행.
탈북민 및 북한 인권 운동가를 대상으로 악성코드가 포함된 피싱 이메일 유포.
(3) 언론 및 학술 연구 기관
한반도 문제를 연구하는 국내외 싱크탱크 및 연구기관이 주요 해킹 표적이 되고 있음.
언론사 내부 네트워크에 침투하여 북한 관련 보도 자료 및 내부 정보 탈취.
4. 향후 전망 및 대응 방안
(1) 예상되는 위협
APT37과 Kimsuky의 활동이 더욱 정교화되며, AI 및 딥페이크 기술을 활용한 해킹 시도가 증가할 가능성 있음.
한국의 주요 방산·군사 기밀을 확보하려는 사이버 작전이 지속될 전망.
다크웹 및 가상화폐를 활용한 북한의 사이버 금융 범죄가 더욱 활발해질 가능성이 있음.
(2) 대응 방안
국방·정부 기관 대상 보안 강화:
북한의 공급망 공격(Supply Chain Attack) 차단을 위한 보안 점검 강화.
악성코드 탐지 및 위협 인텔리전스 공유 확대.
모바일 및 원격 근무 환경 보안 강화:
안드로이드 및 윈도우 기반 스파이웨어 차단 솔루션 도입.
피싱 및 스피어 피싱 방지를 위한 보안 교육 강화.
금융 및 가상자산 보안 대응 강화:
암호화폐 거래소 및 금융 기관과 협력하여 가상화폐 해킹 대응 체계 구축.
다크웹에서 활동하는 북한 해킹 그룹에 대한 실시간 추적 및 모니터링 강화.
5. 결론
APT37, Kimsuky, Lazarus 등 북한 연계 해킹 그룹들은 한국 정부, 국방 산업, 연구 기관, 인권 단체, 금융 기관을 주요 표적으로 지속적인 사이버 공격을 수행하고 있다.
특히 안드로이드 스파이웨어, 피싱 공격, 공급망 해킹, 가상화폐 탈취 등을 결합한 복합적 사이버 작전이 강화되고 있어, 이에 대한 체계적인 대응이 필요하다. 한국 및 우방국과의 공조를 통해 북한의 사이버 위협을 무력화하는 전략적 접근이 요구된다.
출처:0x0v1 Threat Intelligence
RightsCon 2025: Unveiling North Korea’s cyber threats: safeguarding human rights
BBC 월드서비스 10부작 팟캐스트 '라자루스 사기 사건(The Lazarus Heist)
1. 사건의 개요
미국 법무부는 북한 IT 노동자들이 미국 시민으로 위장 하여 불법으로 취업한 사건으로 시작되었으며 이와 관련하여 미국인 1명과 외국 국적자(우크라이나 포함)하여 총 5명을 기소하였다고 발표하였다. 본 사건은 북한이 미국의 금융 및 고용시스템을 악용하여 불법적으로 핵 미사일 프로그램 자금을 조달 하였던 대표적인 사례라고 할 수 있으며 2020년 10월 부터 2023년 동안 최소 680만 달러(약 90억원)의 범죄 수익금을 취득하여 북한 정부에 송금한 사실에 대해서 미국 정부는 강력한 법적 조치와 국제 공조를 통해서 북한의 금융 차단 정책을 지속 강화할 방침이라고 밝혔다.
출처: 대한민국 외교부
2. 주요 사실관계
미국의 애리조나 주 리치필드 파크의 거주자 중 1명인 크리스티나 마리 채프먼은 북한의 IT 노동자들을 대상으로 북한의 IT 노동자들이 미국 기업에서 원격으로 근무하는 것 처럼 위장한 형태의 이른바 '랩톱 농장(laptop farm)'을 운영하였으며 이외에도 미국 내 대기업과 정부기관을 포함에 300여개 이상의 기업에 취업하도록 지원하였다. 이를 통하여 북한 노동자들은 총 1,710만 달러(한화 228억원) 이상의 금전적인 수익을 취하였고 일부 북한 IT의 노동자는 기업에서 기밀자료를 탈취하고 북한 IT 노동자들이 탈취한 기밀자료를 빌미로 이른바 데이터 인질극을 벌여 기업으로 부터 금전적인 이득을 취하는 행위를 지속적으로 하였고 수익금의 대부분은 북한 정부로 이송되었다. 이에 미국 연방 지방법원은 혐의자 마리 채프먼및 북한의 IT 노동자들을 전산 사기 공모 및 신원 도용, 자금 세탁 혐의로 기소 하였으며 2025년 6월 16일 선고를 앞두고 있다.
3. 주요 혐의자 및 기소대상
성명
국적
혐의
기소 결과
크리스티나 마리 채프먼 (Christina Marie Chapman)
미국(애리조나주)
북한 IT 노동자의 미국 내 취업 지원, 신원 도용, 자금 세탁
최대 징역 97.5년
올렉산드르 디덴코(Oleksandr Didenko)
우크라이나(키이우)
IT 구직 플랫폼에서 미국인 신원 위조 계정 판매
최대 징역 67.5년
한지호(Jiho Han)
북한
IT노동자로 미국 기업 취업 후 수익 창출
최대 징역 20년
진춘지 (Chunji Jin)
북한
IT 노동자로 미국 기업 취업 후 수익 창출
최대 징역 20년
쉬하오란 (Haoran Xu)
북한
IT 노동자로 미국 기업 취업 후 수익 창출
최대 징역 20년
4. 주요 혐의 내용
ⓛ 신원 도용 및 서류 조작(공문서 위조) : IT 노동자 들이 미국 시민 70명 이상의 신원을 도용하여 실리콘 벨리 기술 기업, 항공우주 및 방산 회사, 자동차 회사 및 제조사, 대형 미디어사 등 해당 원격 직무에 지원할 수 있도록 하였으며 원격 근무 직책을 확보하고 미 국토안보부(DHS)와 미 국세청(IRS) , 미 사회보장국(SSA)에 허위 보고 및 허위 문서를 제출하였다.
이는 미국의 공문서 위조 법률과 위장 취업에 관한 법률, 전신사기에 대한 법률을 위반하는 행위에 해당한다. 공문서 위조의 경우 신원도용 및 사기에 관한 법률로 최대 15년형이 선고 될 수 있으며 이외에도 전신사기(최대 20년형), 이민법 및 노동법 위반으로 민사 벌금과 더불에 강제 추방까지 처벌 할 수 있다.
② 랩톱 농장의 운영(위장 취업) : 미국의 기업들이 북한 IT 노동자들에게 제공한 업무용 노트북을 수거하고 관리하였는데 이는 미국에서 북한 IT 노동자들이 실제로 미국에서 근무하는 것 처럼 위장하는 역할을 수행하였고 실근무자는 중국, 러시아, 라오스 등 북한 정권에 대해서 우호적인 국가에 위치하고 있었다. 이는 미국 연방법률에서 규정하고 있는 컴퓨터 사기 및 남용 행위에 해당한다. 또한 미국의 불법 취업 금지 법률에 따라서 기업이 허위 서류를 제출한 외국인을 고용하는 경우에도 처벌받을 수 있으며 경우에 따라서 사업 면허 취소가 될 수 있다.
③ 불법 취업 지원 및 수익 취득 : 북한 노동자들은 대부분 미국의 대기업 및 정부기관에 근무하고 있었으며 미국 경제전문지 포춘이 매년 발표하는 미국 최대기업 500개의 순위를 나타내는 500대 기업을 포함한 다수의 기업이 피해를 입었다. 또한 여기서 얻은 범죄 수익의 대부분은 북한 정부로 송금되었으며 이에 대하여 미국의 돈세탁 방지법과 불법 수익 거래에 관한 법률로 처벌 받을 수 있다.
이 북한의 IT 노동자들의 대다수는 북한의 유엔 금지 핵 및 탄도 미사일 프로그램, 고급 재래식 무기 개발 및 무역 분야에 관여하는 기관의 하급 직원으로, 북한의 군수 산업 부서, 원자력 산업 부, 국방부, 그리고 조선인민군을 위해 일하고 있습니다.
5. 북한 IT 노동자들의 적용 법률
위반 법륭
내용
적용
Wire Fraud (전신 사기, 18 U.S.C. § 1343)
이메일, 온라인을 통한 허위 정보 제공
북한 IT 노동자들이 미국 시민으로 위장하여 취업
Identity Theft (신원 도용, 18 U.S.C. § 1028)
타인의 신분 정보 도용
도용한 SSN과 여권 정보를 사용해 원격 근무
Money Laundering (돈세탁, 18 U.S.C. § 1956)
불법 수익을 해외로 송금
북한 노동자 수익을 김정은 정권으로 송금
Immigration Fraud (이민 사기, 8 U.S.C. § 1324c)
불법 체류자의 위조 서류 사용
미국 취업 비자 없이 원격 근무
Unauthorized Employment (불법 취업, 8 U.S.C. § 1324a)
불법 취업 중개
북한 IT 노동자를 미국 회사에 소개한 중개자 기소
6. 관련 법률
(1) 신원 도용 및 사기 관련 법률
18 U.S. Code § 1028 - 신분 도용 및 문서 위조(Fraud and related activity in connection with identification documents, authentication features, and information)
위조된 신분증(운전면허증, 여권 등) 또는 신원 정보를 사용하여 취업하는 행위
처벌: 최대 15년 형 및 벌금
18 U.S. Code § 1343 - 전신 사기(Wire Fraud)
이메일, 전화, 온라인 등을 이용해 허위 정보를 제공하여 불법적으로 이익을 취하는 행위
처벌: 최대 20년 형 (금융기관을 대상으로 한 경우 30년 형 가능)
18 U.S. Code § 1341 - 우편 사기(Mail Fraud)
우편을 이용하여 허위 취업 서류를 송부하는 행위
처벌: 최대 20년 형
18 U.S. Code § 1030 - 컴퓨터 사기 및 남용(Computer Fraud and Abuse Act, CFAA)
허위 신분으로 취업 후 회사 네트워크에 불법 접근하여 기밀 정보 유출
처벌: 최대 10년 형 및 벌금
(2) 이민법 및 노동법 위반
8 U.S. Code § 1324c - 서류 위조 및 불법 노동(Document Fraud and Unauthorized Employment)
취업을 위해 허위 비자, 노동 허가증, 사회보장번호(SSN) 등을 사용하는 행위
처벌: 민사 벌금 + 강제 추방(외국인의 경우)
8 U.S. Code § 1324a - 불법 취업 금지(Employment of Unauthorized Aliens)
미국 기업이 허위 서류를 제출한 외국인을 고용하는 경우에도 처벌
처벌: 최대 $16,000 벌금 + 사업 면허 취소 가능
Immigration and Nationality Act (INA) § 274A - 불법 취업 및 고용주 책임
고용주가 직원의 신원 및 취업 허가를 검증하지 않고 고용하는 경우 처벌
처벌: 1차 위반 시 최대 $2,500, 재범 시 최대 $25,000 벌금
(3) 돈세탁 및 금융사기
18 U.S. Code § 1956 - 돈세탁 방지법(Money Laundering Control Act)
위장 취업을 통해 획득한 불법 수익을 해외로 송금하는 행위
처벌: 최대 20년 형 및 벌금 $500,000 또는 범죄 수익의 2배 중 큰 금액
18 U.S. Code § 1957 - 불법 수익 거래(Engaging in Monetary Transactions in Property Derived from Specified Unlawful Activity)
불법적인 방법으로 벌어들인 돈을 미국 내에서 거래하는 경우
처벌: 최대 10년 형
7. 미국 정부의 대응
미 법무부는 역대 최고 규모의 북한 IT 노동자 사기 사건으로 기소하였으며 미 연방수사국(FBI)는 북한 IT노동자들에 대하여 경고문을 발송하였으며 국무부는 Reward for Jusice라는 프로그램을 통해 북한 IT 노동자들의 정보를 제보 및 신고할 경우 해당 사항에 대하여 최대 500만 달러(약 66억원)을 지급할 것이라고 발표했다. 또한 우크라이나 국적자 올렉산드르 디덴코는 폴란드에서 체포되어 미국으로 송환을 추진하고 있으며 북한 IT 노동자들이 활동하고 있었던 중국 및 러시아 기반의 'Yanbian Silverstar' 및 'Volasys Silverstar' 추가 제재를 검토하기로 하였다. 이를 통하여 국제 공조 및 추가 제재와 법적 조치가 가해졌음을 알 수 있다.
8. 결론 및 시사점
북한 IT 노동자들은 단순히 외화벌이 수단이 아닌 북한의 군수 산업과 핵 미사일 개발을 직접 지원하는 수익원으로 활용한 사실을 알 수 있으며 이는 군사적 목적으로 국제적인 분쟁을 초래할 수 있다. 또한 북한 정권은 북한 IT 노동자들에 의해 미국 내의 기업 비밀 자료를 탈취하여 금전적 협박 및 사이버 공격의 수행가능성이 존재한다는 것을 확인할 수 있으며 이에 미국 정부 및 국제 사회는 북한 IT 노동자들의 불법 취업 및 악용사례를 차단하기 위해서 지속적인 감시와 단속의 필요성을 이야기 할 수 있다. 향후 북한 IT 노동자들은 기존의 중국 및 러시아 외에도 새로운 국가를 거점으로 활동할 가능성 또한 존재한다. 대한민국의 경우에도 북한 IT 노동자들의 국내 진출 가능성을 국가안보 위협으로 간주하고 북한 IT 노동자들의 국내 진출 가능성을 확인하여 면밀하게 주시하고 감시해야할 필요성이 있다고 할 수 있을 것이다.
이들 개인, 연변 실버스타, 볼라시스 실버스타, 관련된 개인, 기관 또는 활동에 대한 정보를 가지고 있는 누구든지 정의에 대한 보상 또는 대한민국 경찰(112), 국가정보원(111)등에 제보할 것을 권장합니다. Tor 기반의 신고 채널 및 국가정보원 홈페이지를 통해 가능합니다: he5dybnt7sr6cm32xt77pazmtm65flqy6irivtflruqfc5ep7eiodiad.onion (Tor 브라우저 필요).
9. Original Article
Location :
• 북한 • 러시아, 블라디보스토크 • 중국 길림성 연지시, 연지 개발구 과학기술 산업단지 2동, 213-214호, 창바이산 동로 20998B-26번지 • 중국 길림성 연지시, 창바이산 동로 20998B-26호, 133000, 중화인민공화국
공개된 생년월일 정보
정성화 (Jong Song Hwa) – 1970년 2월 5일; 리경식 (Ri Kyong Sik) – 1973년 12월 4일; 김류성 (Kim Ryu Song) – 1982년 11월 6일; 림은철 (Rim Un Chol) – 1990년 1월 8일; 김무림 (Kim Mu Rim) – 1987년 6월 28일; 조충범 (Cho Chung Pom) – 1992년 1월 20일; 현철성 (Hyon Chol Song) – 1991년 2월 1일; 손은철 (Son Un Chol) – 1991년 1월 29일; 석광혁 (Sok Kwang Hyok) – 1985년 11월 17일; 최정용 (Choe Jong Yong) – 1998년 7월 28일; 고충석 (Ko Chung Sok) – 1987년 4월 22일; 김예원 (Kim Ye Won) – 1994년 7월 30일; 정경철 (Jong Kyong Chol) – 1987년 11월 2일; 장철명 (Jang Chol Myong) – 1993년 6월 23일
• 베이비박스 테크놀로지 • 차이나 실버 스타 • 차이나 실버 스타 인터넷 기술 회사 • 큐빅스 테크 • 에덴 프로그래밍 솔루션 • 헬릭스 • LJD 테크 • 실버 스타 차이나 • 실버 스타 인터넷 기술 회사 • 은성 인터넷 기술 회사 • 볼라시스 실버 스타 네트워크 테크놀로지 주식회사 • 연변 실버스타 • 연변 실버스타 네트워크 테크놀로지 주식회사 (延边银星网络科技有限公司) • 연지 실버 스타 네트워크 테크놀로지 주식회사
최근 FBI(미연방수사국)와 DOJ(미법무부)가 공모하여, 미국 기업에서 부정적으로 활동한 북한 IT 노동자의 지도부들에 대한 기소를 확정지었습니다. 미국 국무부는 Rewards for Justice 프로그램을 통해 이 IT 네트워크 구성원들에 대한 정보를 제공하는 사람에게 최대 500만 달러의 보상금을 제공한다고 발표했습니다.
리사 모나코(Lisa Monaco) 법무부 차관보는 다음과 같이 말했습니다:
"잔혹한 체제를 유지하기 위해, 북한 정부는 IT 노동자들에게 사기를 통해 고용을 얻고, 미국 기업에서 민감한 정보를 탈취한 뒤, 이 수익을 북한으로 송금하도록 지시합니다. 이번 북한 국적자 14명의 기소는 그들의 제재 회피를 폭로하는 것이며, 전 세계 기업들에게 북한 정권의 악의적인 활동에 주의하라는 경고가 될 것입니다."
세부 내용 및 관련 정보
국무부는 중국에 본사를 둔 Yanbian Silverstar와 러시아에 본사를 둔 Volasys Silverstar에서 활동한 북한 IT 노동자 네트워크 구성원 14명에 대한 기소 및 정보 제공 보상금을 발표했습니다.
Jong Song Hwa (정성화), CEO of both IT companies
Kim Ryu Song (김류성), president of Yanbian Silverstar
Ri Kyong Sik (리경식), president of Volasys Silver Star
North Korea; Vladivostok, Russia; 20998B-26 Changbaishan East Road, No. 213-214, Building 2, Science and Technology Industrial Park, Yanji Development Zone, Yanji City, Jilin Province, People’s Republic of China; Chang Bai Shan Dong Lu, 20998B-26Hao, Yanji City, Jilin Province, 133000, People’s Republic of China
Date of Birth:
Jong Song Hwa – 02/05/1970; Ri Kyong Sik – 12/04/1973; Kim Ryu Song – 11/06/1982; Rim Un Chol – 01/08/1990; Kim Mu Rim – 06/28/1987; Cho Chung Pom – 01/20/1992; Hyon Chol Song – 02/01/1991; Son Un Chol – 01/29/1991; Sok Kwang Hyok – 11/17/1985; Choe Jong Yong – 07/28/1998; Ko Chung Sok – 04/22/1987; Kim Ye Won – 07/30/1994; Jong Kyong Chol – 11/02/1987; Jang Chol Myong – 06/23/1993
Associated Individuals:
Cho Chung Pom (조충범); Choe Jong Yong (최정용); Hyon Chol Song (현철성); Jang Chol Myong (장철명); Jong Kyong Chol (정경철); Jong Song Hwa (정성화); Kim Mu Rim (김무림); Kim Ryu Song (김류성); Kim Ye Won (김예원); Ko Chung Sok (고충석); Ri Kyong Sik (리경식); Rim Un Chol (림은철); Sok Kwang Hyok (석광혁); Son Un Chol (손은철)
Associated Organizations:
BabyBox Technology; China Silver Star; China Silver Star Internet Technology Company; Cubix Tech; Eden Programming Solutions; Helix; LJD Tech; Silver Star China; Silver Star internet Technology Corporation; Unsong Internet Technology Corporation; Volasys Silver Star Network Technology Co.; Yanbian Silverstar; Yanbian Silverstar Network Technology Co., Ltd. (Chinese Simplified: 延边银星网络科技有限公司; Korean: 은성인터네트기술회사); Yanji Silver Star Network Technology Co. Ltd.
Images:
6년간의 음모와 약 8,800만 달러 수익
이 조직은 약 6년에 걸쳐 최소 8,800만 달러를 벌어들인 것으로 추정됩니다.
이들은 여러 사례에서 민감한 회사 정보를 탈취(예: 소스 코드)한 후, 해당 정보를 유출하겠다고 위협하며 기업에게 금전적 갈취(extortion)를 시도했습니다.
이 작전은 북한 정부의 수익 창출 활동을 방해하려는 2년간의 지속적인 노력의 일환으로 수행되었으며, 유사한 북한 조직들이 제재를 피하고 북한 정부를 위한 자금을 생성하기 위해 이와 같은 전략을 사용하고 있습니다.
북한 IT 노동자 네트워크의 특징
전 세계적 파견: 북한은 숙련된 IT 노동자 수천 명을 전 세계로 파견하여 수익을 창출하고, 이를 북한 정권으로 송금하고 있습니다.
기만 전략:
이들은 원격 IT 노동자로 위장하여 미국 및 기타 국가 기업에 고용됩니다.
블록체인, 암호화폐 등 기술 프로젝트에서 활동하며, 민감한 데이터를 탈취하거나 갈취 금액을 요구.
제재 위반: 미국 및 UN 제재를 위반하여 수익을 창출하고 있습니다.
관련 안내 정보 및 가이드
북한 노동자를 잘못 채용하거나 이들의 활동을 방조하는 것을 방지하기 위한 가이드는 아래 링크에서 확인할 수 있습니다:
이번 기소와 보상금 발표는 북한 IT 네트워크의 위협과 그들의 작전을 노출시키는 중요한 사건입니다. 기업들은 이러한 위협에 주의해야 하며, 사전에 예방 조치를 취하는 것이 필수적입니다. 이 네트워크를 통해 벌어들인 수익은 북한 정권의 군사 활동을 지원하며, 글로벌 안보에 심각한 위협을 가중시키고 있습니다.
Yanbian Silverstar, Volasys Silverstar 및 관련된 개인, 단체, 활동에 대한 정보를 가진 분들은 Rewards for Justice 사무실의 Tor 기반 제보 채널을 통해 연락주시길 권장합니다.
해당 채널 주소는 다음과 같습니다: he5dybnt7sr6cm32xt77pazmtm65flqy6irivtflruqfc5ep7eiodiad.onion (Tor 브라우저 필요)
