아마존, AI 채용 검증으로 북한 IT 인력 지원자 1,800명 차단

북한 IT 인력이 미국 원격 근무 일자리에 지원하는 이유

아마존이 맞닥뜨린 문제는 원격 채용을 노리는 사기 수법이에요. 스티븐 슈미트 최고보안책임자는 북한 국적자들이 수년 동안 전 세계, 특히 미국 기업의 원격 IT 일자리를 얻으려 해 왔다고 썼어요.

"이들의 목적은 대개 단순해요. 채용되고, 급여를 받고, 그 돈을 정권의 무기 개발 자금으로 빼돌리는 거예요." 스티븐 슈미트, 아마존 최고보안책임자, 링크드인에서

피해는 급여에서 끝나지 않아요. 더 레지스터(The Register)는 포춘 500 기업 대부분이 이 사기에 당했고 미국 기업들이 수천만 달러의 손해를 봤으며, 일부 사기꾼은 내부 접근 권한으로 소스 코드를 훔친 뒤 회사를 협박한다고 보도했어요. 톰스 하드웨어(Tom's Hardware)는 크라우드스트라이크가 지난해 320건 넘는 사건을 조사했고, 관련된 노트북 농장 수법으로 240곳 넘는 기업이 피해를 봤다고 전했어요.

아마존이 AI와 사람으로 지원자를 선별하는 방식

아마존의 해법은 두 단계 확인이에요. 모델이 의심스러운 지원서를 표시하고, 사람이 이를 확인해요. 슈미트는 "저희의 탐지는 AI 기반 선별과 사람의 검증을 결합해요"라고 썼어요.

모델은 세 종류의 신호를 봐요. 슈미트의 표현으로는 "고위험 기관 200곳 가까이와의 연결, 지원서 간 이상 징후, 지리적 불일치를 분석"해요. 이어서 사람이 신원 조회, 자격 증명 확인, 구조화 면접으로 신원을 검증해요. AI가 범위를 좁히고, 판단은 사람이 내려요.

선별 과정에서 매일 보는 신호

일상에서 보는 신호는 작은 세부 사항이 쌓인 것이에요. 슈미트는 미국 전화번호를 "1" 대신 "+1"로 적거나, 내세운 전공을 개설하지 않은 학교의 학위를 적는 것이 다른 지표와 함께 나타나면 강한 단서가 될 수 있다고 썼어요. 톰스 하드웨어는 학사 일정과 맞지 않는 입학 날짜도 신호로 들어요.

채용 뒤에는 업무 중 행동도 중요해요. 슈미트는 블룸버그에 키 입력 지연이 단서 중 하나라고 말했어요. 해외에서 미국에 있는 컴퓨터를 거쳐 입력하는 사람에게는 측정 가능한 지연이 생기기 때문이에요.

2024년 4월 이후 선별로 잡아낸 것

측정된 결과는 차단한 지원자 수예요. 아마존은 2024년 4월 이후 북한 의심 지원자 1,800명 넘게 입사를 막았고, 올해 북한 연계 지원서를 전 분기 대비 27% 더 많이 탐지했다고 말해요.

선별은 완벽하지 않고, 아마존도 그렇게 말해요. IT 프로(IT Pro)는 블룸버그를 인용해 시스템 개발 계약자로 위장한 사람 한 명이 실제로 통과했다고 보도했어요. 보안팀은 키 입력 지연으로 그를 찾아냈어요. 미국에 있는 원격 근무자는 보통 몇 밀리초 안에 키 입력이 기록되지만, 이 사람의 지연은 110밀리초가 넘었어요.

수법은 어떻게 바뀌고 있나

슈미트는 기업들이 눈치챌수록 적응하는 수법을 설명해요. 요원들은 이제 실제 소프트웨어 엔지니어의 신원을 가로채는데, 훔친 계정 정보로 쓰지 않는 링크드인 계정을 탈취하는 경우가 많아요. 아마존은 돈을 받고 자기 계정을 넘기는 사람들의 네트워크도 찾아냈어요.

이들은 노트북 농장을 운영하는 미국 내 조력자와도 손잡아요. 회사 노트북은 미국 주소에 두고, 일하는 사람은 해외에서 그 노트북에 접속하는 방식이에요. 슈미트는 이 조직들이 점점 AI와 머신러닝 직무를 노린다고 경고했어요. 더 레지스터는 옥타(Okta)를 인용해 사기꾼들이 IT뿐 아니라 금융, 의료, 공공 행정, 전문 서비스 기업에서도 면접을 보고 있다고 덧붙였어요.

원격 엔지니어를 채용하는 기업에게 달라지는 것

원격으로 채용하는 모든 기업에게 아마존 시스템이 맡는 일은 사기 지원자가 급여 명단과 내부 시스템에 닿기 전에 걸러 내는 것이에요. 이 방식은 아마존 같은 규모가 없어도 일부는 따라 할 수 있어요. 슈미트가 다른 기업에 준 조언은 구체적이었어요.

• 채용 데이터베이스에서 이력서, 이메일, 전화번호, 학력의 패턴 같은 공통 지표를 조회하세요.
• 신원은 채용 제안 단계만이 아니라 여러 채용 단계에서 확인하세요.
• 입사 뒤에는 평소와 다른 원격 접속과 허가받지 않은 장비를 살피세요.
• 북한 IT 인력으로 의심되는 사람은 FBI나 지역 수사기관에 신고하세요.

아마존은 이 프로그램의 비용이나 채용 담당자의 시간을 얼마나 아꼈는지에 관한 수치는 내놓지 않았어요.

묻고 답하기

아마존은 북한 지원자를 몇 명이나 막았나요?

아마존은 2024년 4월 이후 북한 의심 지원자 1,800명 넘게 차단했다고 말해요. 슈미트는 올해 북한 연계 지원서가 전 분기 대비 27% 늘었다고도 밝혔어요.

아마존은 가짜 지원자를 어떻게 잡아내나요?

AI 모델이 지원서에서 고위험 기관 200곳 가까이와의 연결, 지원서 간 이상 징후, 지리적 불일치를 확인해요. 그다음 사람이 신원 조회, 자격 확인, 구조화 면접으로 신원을 확정해요.

가짜 북한 인력이 아마존에 채용된 적이 있나요?

네. 가짜 계약자 한 명이 통과했고, 보안팀이 110밀리초가 넘는 키 입력 지연을 알아채면서 발각됐어요. 미국에 있는 원격 근무자의 일반적인 지연인 몇 밀리초보다 훨씬 긴 수치예요.