WaterPlum 해킹 그룹의 공격 개요
북한과 연관된 해킹 그룹 WaterPlum은 100개 이상의 국가와 지역에서 30,000대 이상의 장치를 침해하고, 가짜 채용 캠페인을 통해 7,000개 이상의 암호화폐 지갑 정보를 훔쳤습니다. 일본의 국가경찰청은 9월 18일, 여러 기관과 함께 진행한 조사에서 이 그룹의 공격 방법과 북한 IT 근로자와의 연관성을 밝혀냈다고 발표했습니다.
공격 방법 및 피해자
조사관들은 WaterPlum이 일반적으로 ‘Contagious Interview’로 알려진 위협 활동과 관련이 있으며, 일부 북한 IT 근로자들이 조선로동당 무기 산업 부서의 313국 산하에서 활동하고 있다고 평가했습니다. 피해자는 일본을 포함한 100개 이상의 국가와 지역에 분포해 있으며, 웹 디자이너, 엔지니어 및 암호화폐, 블록체인, Web3 분야에서 일하는 사람들이 주요 목표였습니다.
“감염 과정에서 7,000개 이상의 암호화폐 지갑 기록이 도난당했으며, WaterPlum이 관리하는 지갑은 일본 당국의 환율 기준으로 약 1억 7천만 엔, 즉 약 1,070만 달러를 수령했습니다.”
채용 캠페인 및 악성 소프트웨어
WaterPlum은 소셜 미디어, 온라인 구직 사이트, 기그 플랫폼 및 프리랜서 마켓플레이스를 통해 소프트웨어 개발자 및 기타 IT 근로자에게 접근했습니다. 공격자들은 합법적인 인공지능, 암호화폐 및 NFT 회사 또는 채용 서비스로 가장한 후, 후보자들에게 매력적인 직업 기회를 제시했습니다. 기술 면접이나 코딩 테스트 중에 후보자들은 협업 개발 플랫폼과 코드 저장소에 호스팅된 악성 프로그램을 다운로드하라는 지시를 받았습니다.
이 그룹은 BeaverTail, InvisibleFerret, OtterCookie, OtterCandy 및 StoatWaffle과 같은 악성 소프트웨어를 악성 NPM 패키지에 포함시켰습니다. 장치가 감염되면 공격자는 백도어를 설정하고 원격 액세스 도구를 사용하여 접근을 유지하고 영향을 받은 시스템을 이동할 수 있었습니다.
정보 탈취 및 조사 결과
도난당한 정보에는 브라우저 자격 증명, 키 입력, 스크린샷 및 클립보드 데이터가 포함되었습니다. 암호화폐 지갑의 개인 키와 시드 구문도 목표 기록 중 하나였으며, 영향을 받은 컴퓨터나 공유 폴더에 저장된 여권 및 운전 면허증과 같은 신분증도 포함되었습니다.
조사관들은 구인 광고, 이메일, LinkedIn 메시지, Zoom 통화 및 면접 과정을 목표에 접근하는 반복적인 경로로 설명했습니다. 일본 조사관들은 북한 IT 근로자와 연결된 국내 최초의 “노트북 농장”을 해체했다고 밝혔습니다.
해외 송금 및 법적 조치
조사에 따르면 북한 근로자들은 수억 엔에 달하는 암호화폐 및 기타 자산을 해외로 송금했습니다. 일부 근로자는 북한에서 활동했으며, 다른 일부는 중국이나 러시아에 기반을 두고 있었습니다. 유사한 작업이 미국에서 기소되었습니다. 두 명의 미국 남성은 2026년에 북한 근로자들이 회사 노트북에 원격으로 접근하도록 도운 혐의로 18개월의 징역형을 선고받았습니다.
“일본 당국은 기업들이 지원자의 주장된 위치, 자격 및 연락처 정보를 확인할 것을 권장했습니다.”
결론
일본의 조사는 2025년 5월 북한 IT 근로자로 의심되는 인물이 암호화폐 거래소 bitFlyer에서 엔지니어 직위를 확보하려는 별도의 시도를 확인했습니다. 조사관들은 지원자가 VPN 및 프록시 서비스를 통해 지원 시스템에 접근했다고 밝혔습니다. 이러한 사례들은 북한 IT 근로자들이 어떻게 국제적으로 활동하고 있는지를 보여줍니다.
