FBI, 북한 연계 해킹·IT 조직 40여곳 급습 해체

미 보안기업 클라우드스트라이크가 도움..."1년 넘게 추적"

미국 연방 당국이 텍사스 전역에 있는 이른바 ‘노트북 팜(laptop farms)’ 40여 곳을 급습해 해체했다고 CBS 등 외신이 14일(현지시간) 보도했다.

미국 법무부에 따르면, 이 시설들은 북한이 통제하는 조직이 운영한 것으로 파악됐다. 북한이 원격근무 일자리를 부정하게 확보하기 위한 사기 수법에 노트북 팜을 활용했으며, 이를 통해 벌어들인 돈은 북한의 핵무기 프로그램 자금 조달에 사용된 것으로 알려졌다.

'노트북 팜'은 북한 IT인력 등이 미국 내에 실제로 존재하는 것처럼 위장하기 위해 한 장소에 여러 대의 기업용 노트북을 설치하고 원격으로 접속·운영하는 시설을 말한다. 미국 기업이 원격근무 직원을 채용하면 해당 노트북을 통해 실제 미국 내 직원이 근무하는 것처럼 보이게 하는 방식이다.

특히 이번 작전에는 미국계 글로벌 사이버보안 기업 크라우드스트라이크의 CAO(Counter Adversary Operations)팀이 참여했다. 크라우드스트라이크는 약 1년 이상 'Famous Chollima'의 인물과 기술적 지표, 미국 내 기반시설을 추적해왔으며, 이 정보를 FBI에 제공해 실제 법집행 작전으로 연결된 것으로 알려졌다.

'Famous Chollima'는 북한 IT 노동자를 해외 기업에 가짜 신분으로 취업시키는 조직과 활동군을 말한다. 크라우드스트라이크가 붙인 명칭이기도 하다.  

미국 CBS 뉴스는 14일(현지시간) 이번 사건을 전국 방송으로 다루면서 아담 마이어스 크라우드스트라이크 수석부사장과 브렛 리더먼 FBI 사이버국 부국장을 함께 출연시켰다. CBS는 'FBI dismantles 40 laptop farms across Texas'라는 제목으로 북한 연계 IT 인력의 미국 기업 침투와 노트북팜의 실체를 집중 조명했다.

미 법무부와 FBI에 따르면 이번 작전은 'Operation Lonestar Roundup'이라는 이름으로 진행됐다.

FBI는 지난 9월 21일부터 25일까지 텍사스주에서 북한 IT 인력의 노트북팜으로 활용된 것으로 알려진 40곳이 넘는 주택을 수색했다. 이 과정에서 노트북과 KVM(키보드·비디오·마우스) 장비 등 약 187대의 컴퓨터 장비를 압수했다. 북텍사스 지역에서만 약 100대의 장비가 확보됐다. 미 법무부는 이번 작전과 별도로 북한 IT 노동자들의 미국 기업 취업을 지원한 혐의로 미국인 2명을 체포하고 14명을 기소했다고 밝혔다.

수사당국에 따르면 이 조직의 활동으로 피해를 입은 미국 기업은 70곳 이상이다. 의료, 통신, 사이버보안, 소매, 제조업 등 다양한 산업의 기업이 포함됐다. 북한 IT 인력이 벌어들인 돈은 약 300만달러에 이르며, 이 가운데 상당액이 북한 정권이 통제하는 계좌로 흘러간 것으로 미 당국은 추정했다.

미국 CBS 앵커가 텍사스 전역에 있는 ‘노트북 팜(laptop farms)’ 40여 곳을 급습 및 해체 소식을 전하고 있다.

북한 IT인력은 어떻게 미국 기업에 침투했나

'Famous Chollima'의 핵심 수법은 미국인처럼 위장해 정상적인 원격 IT 근로자로 취업하는 것이다. 북한 IT 인력은 도난 또는 위조된 신분증과 가짜 온라인 계정 등을 이용해 미국 기업에 지원한다. 이후 가상사설망(VPN)과 프록시 인프라를 활용해 실제 근무지가 미국인 것처럼 위장한다.

문제는 기업이 근무자에게 지급하는 노트북이었다. 북한 IT 인력은 미국에 있는 협력자에게 회사가 지급한 노트북을 배송하도록 유도했다. 미국 내 협력자는 여러 기업에서 배송된 노트북을 자신의 집에 모아놓고 네트워크와 원격접속 장비를 설치한다. 이른바 '노트북팜'이다.

해외에 있는 북한 IT 인력은 이 노트북을 원격으로 조작한다. 기업 입장에서는 미국에 있는 직원이 회사가 지급한 노트북으로 정상적으로 근무하는 것처럼 보이는 구조다.

크라우드스트라이크는 노트북팜이 'Famous Chollima'에 세 가지 문제를 해결해준다고 분석했다. 물리적 위치, 금융 거래, 신원 확인이다. 미국 내 주소가 있으면 기업이 지급하는 장비를 받을 수 있고, 미국에서 접속하는 것처럼 위치정보를 위장할 수 있으며, 신원확인 절차도 통과하기 쉬워진다.

크라우드스트라이크 CAO팀, 1년 넘게 추적

이번 작전에서 주목할 부분은 민간 보안기업의 위협정보가 실제 FBI의 물리적 압수수색 작전으로 이어졌다는 점이다. 크라우드스트라이크에 따르면, Counter Adversary Operations팀은 2025년 4월부터 2026년 6월까지 Famous Chollima의 가짜 신원, 기술적 지표, 미국 내 컴퓨터 등을 추적했다.

특히 고객 네트워크에서 확보한 텔레메트리와 CAO팀의 표적 조사를 결합해 북한 IT 인력과 미국 내 조력자들의 네트워크를 찾아냈다. 이후 관련 정보를 FBI에 전달했다.

크라우드스트라이크는 이번 작전에 대해 "Famous Chollima의 미국 내 인프라를 해체하기 위한 보다 광범위한 미국 법집행 활동의 시작"이라면서 "CAO팀은 향후 FBI와 협력을 계속할 것"이라고 밝혔다.

최근 한국을 방문해 지디넷코리아와 단독 인터뷰도 했던 아담 마이어스 크라우드스트라이크 수석부사장(왼쪽)과 브렛 리더먼 FBI 사이버국 부국장이 CBS에 출연해 북한 해킹 조직 급습에 대해 이야기하고 있다.

노트북 배송에도 치밀한 수법 동원

'Famous Chollima'는 기업이 지급한 노트북을 미국 내 노트북팜으로 가져오기 위해 다양한 수법을 사용했다. 크라우드스트라이크 조사에 따르면 일부 조직원은 회사에서 받은 노트북을 도난당했다는 허위 경찰 신고를 한 뒤 새로운 노트북을 노트북팜 주소로 배송받았다.

또 여러 주택 주소를 번갈아 사용하거나, 배송 직전에 이사를 했다고 주장해 배송지를 바꾸는 방식도 사용했다. IT 인력파견업체를 통해 취업한 경우에는 최종 고객사가 지급한 장비를 노트북팜으로 돌리는 방식도 활용됐다.

북한도 자신들의 활동이 드러나자 방식을 계속 바꾸고 있다. 크라우드스트라이크는 지난 5월부터 'Famous Chollima'가 디바이스 해시를 위조하거나 영상 캡처 장치를 웹캠처럼 보이게 만드는 방식까지 사용하기 시작했다고 밝혔다. 서로 다른 피해 기업에서 동일하게 위장된 디바이스 식별자를 재사용한 사례도 확인됐다.

미 법무부와 FBI는 이번 사건을 단순한 취업 사기 사건으로 규정하지 않았는데, FBI 사이버국의 브렛 리더먼 부국장은 이번 작전에서 민간기업과 연방 법집행기관의 긴밀한 협력이 핵심이었다고 강조했다.

크라우드스트라이크 "이번 작전으로 끝나지 않을 것"

이번 압수수색으로 'Famous Chollima'의 미국 내 일부 인프라는 차단됐지만 크라우드스트라이크는 이것이 조직의 활동을 완전히 끝내지는 못할 것으로 평가했다. 조직은 새로운 주소와 장비를 확보하고 탐지기법을 우회하면서 활동을 재개할 가능성이 높다는 것이다.

크라우드스트라이크는 이번 작전의 의미를 북한 조직에 "미국 내 인프라가 노출됐고, 움직임이 추적되고 있다"는 신호를 보낸 것이라고 설명했다. 노트북팜 하나를 폐쇄할 때마다 북한 조직은 새로운 거점을 구축하고 장비를 교체해야 하기 때문에 운영 비용과 위험이 높아진다는 분석이다.

이번 사건은 사이버보안 기업이 수집한 위협정보가 정보기관과 법집행기관의 수사로 연결되고, 궁극적으로 미국 내 물리적 거점을 직접 압수수색하는 단계까지 발전한 사례라는 점에서 주목됐다.