[美 텍사스 40여 곳 급습…북한의 비밀 돈줄 드러났다]

미국 텍사스의 평범한 가정집들이 북한의 핵·미사일 개발 자금을 벌어들이는 비밀 거점으로 이용돼 온 사실이 드러났다. 미국 연방수사국(FBI)이 40여 곳을 급습해 북한 IT 인력의 위장취업망을 적발하면서 미국 기업이 지급한 월급이 어떻게 북한 정권으로 흘러갔는지도 공개됐다. 더욱 충격적인 것은 이번 사건이 북한이 수십 년 동안 구축해 온 해외 불법 외화벌이 공작의 새로운 형태라는 점이다. 국제사회의 강력한 제재에도 북한은 미국 기업 내부에 침투해 돈을 벌고, 나아가 기업의 핵심 정보까지 노리는 방식으로 공작 수법을 진화시키고 있다.

로이터통신은 14일(현지시간), “미국 법무부는 북한 IT 인력의 미국 기업 위장취업을 지원한 조직에 대한 대규모 단속 결과를 발표했다”면서 “FBI는 지난 9월 21일부터 25일까지 텍사스주 주거지 40여 곳을 수색해 노트북과 원격제어 장비 등 전자기기 187대를 압수했는데, 작전명은 텍사스주의 별칭에서 따온 '론스타 라운드업(Operation Lonestar Roundup)'이었다”고 보도했다.

로이터는 이어 “미 당국은 미국인 조력자 2명을 체포했으며, 관련 수사를 통해 북한 국적자 10명을 포함한 총 14명을 기소했다고 밝혔다”면서 “미국 기업 70곳 이상이 북한 IT 인력의 위장취업 사건에 연루된 것으로 드러났다”고 확인했다.

이에 대해 FBI 사이버수사부의 브렛 레더먼 부장은 “북한이 국가 차원에서 통제하는 IT 인력 수천 명을 미국과 동맹국 기업에 침투시키고 있다”고 경고하면서 “미국인의 신분을 훔쳐 얻어낸 일자리 하나하나가 북한의 핵·탄도미사일 개발 자금줄이 되고 있다”고 짚었다.

[미국인 행세하며 취업…회사 월급이 북한으로 흘러갔다]

로이터에 따르면, 북한의 수법은 치밀했다. 먼저 미국인의 사회보장번호 등 개인정보를 도용해 신분을 꾸미고, 인공지능(AI)으로 만든 이력서와 사진을 활용해 미국 기업의 원격 개발직에 지원했다. 채용에 성공하면 회사가 지급하는 업무용 노트북을 미국인 조력자의 집으로 배송하게 했다.

조력자는 노트북에 원격접속 프로그램과 KVM이라는 장비를 설치했다. KVM은 키보드와 화면, 마우스를 원격으로 제어하는 장치다. 해외에 있는 북한 IT 인력이 이를 통해 미국 가정집의 노트북을 조작하면서 마치 미국에 거주하는 직원처럼 일한 것이다.

더욱 심각한 것은 미국인 조력자들이 주소만 빌려준 것이 아니라는 점이다. 이들은 은행 계좌와 신분증을 제공하고, 때로는 면접과 신원 확인 절차까지 대신 처리했다. 미국 기업의 채용·보안 시스템을 통째로 속인 셈이다.

미국 기업이 지급한 급여는 조력자의 계좌를 거쳐 중국 등 해외 조직으로 송금됐다. 미국 검찰에 따르면 관련 사건에서 미국인 25명의 신분이 악용됐고, 70개 이상 기업에 북한 인력이 위장취업하는 데 이용됐다.

[위조달러·마약·무기 수출…북한의 외화벌이 공작은 오래됐다]

사실 북한의 불법 외화벌이는 어제오늘의 일이 아니다. 북한은 오랫동안 국제사회의 제재와 외화 부족을 극복하기 위해 해외 무역조직과 외교망을 활용해 왔다. 냉전 시기부터 북한 외교관과 관련 인사들이 마약 밀수에 연루된 사건이 여러 국가에서 적발됐다. 미국에서는 정교하게 제작된 100달러 위조지폐인 이른바 '슈퍼노트' 유통과 북한의 연관성도 수사 대상이 됐다. 다만 개별 사건에서 북한 당국의 직접 지휘가 어디까지 입증됐는지는 구분할 필요가 있다.

북한의 또 다른 주요 외화 수입원은 무기 수출이었다. 북한은 중동과 아프리카 국가들에 재래식 무기와 군사기술을 판매해 왔으며, 유엔 안전보장이사회는 이를 차단하기 위해 대북 무기거래 금지 조치를 강화했다. 여기에 중국과 러시아 등지로 노동자를 보내 임금의 상당 부분을 당국이 가져가는 해외 노동자 송출도 있었다. 유엔 안보리는 2017년 유엔결의 2397호를 통해 해외 북한 노동자들의 송환을 요구했다. 결국 북한은 위조화폐와 밀수, 무기 수출, 해외 노동자 송출에 이어 사이버 범죄와 IT 위장취업으로 외화벌이 수단을 바꿔온 것이다.

[북한의 외화 수입원…이제는 국경 없이 돈을 번다]

북한의 외화 수입은 크게 공식 무역과 해외 노동자 송금, 무기 거래, 사이버 활동으로 구분할 수 있다. 공식 무역에서는 중국 의존도가 압도적이다. 대한무역투자진흥공사(KOTRA)에 따르면 2024년 북한의 상품 수출액은 약 3억6044만달러(4,815억 4,784만원)였다. 국제제재와 제한된 생산능력 때문에 정상적인 상품 수출만으로는 충분한 외화를 확보하기 어려운 구조다.

반면 사이버 공간에서는 사정이 다르다. IT 인력은 북한이나 제3국에 머물면서 미국 기업의 급여를 받을 수 있고, 해커 조직은 해외 가상자산 거래소를 공격해 막대한 자산을 탈취할 수 있다.

러시아와의 군사협력도 중요한 변수다. 북한의 무기와 군사 지원에 대해 러시아가 어떤 대가를 제공하는지는 충분히 공개되지 않았지만, 에너지와 물자, 군사기술 등이 북한에 전략적 이익을 제공할 가능성이 있다. 다만 무기 거래 추정액을 모두 현금 수입으로 계산하는 것은 적절하지 않다.

이러한 변화의 핵심은 북한이 물건을 국경 밖으로 내보내지 않고도 상당한 경제적 이익을 확보할 수 있게 됐다는 점이다. 국제사회가 항구와 금융거래를 감시하는 동안 북한은 인터넷을 새로운 외화벌이 통로로 활용하고 있는 것이다.

[2025년 가상자산 20억달러 탈취…북한의 새로운 외화벌이 산업]

북한의 사이버 외화벌이가 얼마나 커졌는지는 가상자산 탈취 규모에서 드러난다. 블록체인 분석업체 체이널리시스는 북한 연계 해커들이 2025년 최소 20억2000만달러(2조 6,987억 2,000만원)의 가상자산을 탈취한 것으로 추산했다. 전년보다 51% 증가한 역대 최대 규모다. 특히 2025년 2월 두바이 가상자산 거래소 바이비트에서 발생한 약 15억달러(2조 40억원) 규모의 해킹은 세계 가상자산 시장을 뒤흔들었다.

더욱 주목할 것은 북한의 IT 위장취업과 가상자산 탈취가 서로 연결되고 있다는 점이다. 체이널리시스는 북한 인력이 가상자산 기업 내부에 취업해 중요한 시스템 접근 권한을 확보한 뒤 대형 해킹으로 이어지는 수법을 주요 위협으로 지목했다. 북한은 이제 미국 기업에서 월급을 받는 동시에 내부 정보와 시스템 접근권까지 노리고 있다. 위장취업은 안정적인 외화 수입원이면서 대규모 사이버 공격을 준비하는 침투 수단으로도 활용될 수 있는 것이다.

[FBI가 잡아도 끝나지 않는다…해외에 남은 북한의 공작망]

문제는 미국이 노트북 농장을 적발해도 북한의 해외 조직 전체를 해체하기 어렵다는 점이다. 미 법무부는 2025년부터 'DPRK 레브젠(RevGen)'이라는 특별 단속을 통해 북한 IT 인력의 미국 내 조력자들을 집중적으로 추적해 왔다. 이번 텍사스 작전 역시 이러한 단속의 연장선에 있다.

그러나 북한 인력은 중국 등 제3국에서 활동하면서 미국인 신분과 은행 계좌, 원격접속 경로를 바꿔 침투를 반복할 수 있다. 미국 내 조력자가 체포되더라도 해외에 있는 조직 운영자까지 모두 검거하기는 어렵다.

여기에 2024년 러시아의 거부권 행사로 유엔 안보리 대북제재 전문가패널의 활동이 종료된 것도 국제 감시체계에 타격을 줬다. 한국과 미국, 일본 등 11개국이 다국적제재모니터링팀(MSMT)을 구성해 추적을 이어가고 있지만, 기존 유엔 차원의 감시체계가 약화된 것은 사실이다. 북한은 국제사회의 제재가 강화될 때마다 새로운 우회로를 찾아왔다. 이번 사건은 그 우회로가 이제 미국 본토의 평범한 가정집과 기업 채용 시스템에까지 연결돼 있음을 보여준다.

[Why Times Insight | 김정은의 핵개발을 떠받치는 보이지 않는 돈줄]

이번 사건에서 가장 주목해야 할 것은 북한이 외화를 벌어들이는 방식 자체가 근본적으로 달라지고 있다는 사실이다. 과거에는 무기와 노동자를 해외로 내보내 돈을 벌었다면, 이제는 인터넷을 통해 미국 기업의 월급과 세계 가상자산 시장의 자산을 노리고 있다.

첫째, 북한은 국제제재를 회피하는 수준을 넘어 제재국의 경제 시스템 자체를 역이용하고 있다. 미국이 북한의 핵개발을 막기 위해 금융·무역제재를 강화하는 동안 북한은 미국 기업에 침투해 미국 기업이 지급하는 월급을 핵·미사일 개발 자금으로 전용하고 있다. 제재하는 국가의 경제활동이 오히려 제재 대상 정권의 수입원이 되는 역설적인 상황이다.

둘째, 사이버 외화벌이는 김정은 체제의 장기 생존을 가능하게 하는 새로운 수단이 되고 있다. 북한 주민의 생활이 어려워지고 정상적인 무역이 제한되더라도 정권은 사이버 활동을 통해 별도의 외화를 확보할 수 있다. 특히 소수의 숙련된 인력으로 막대한 자금을 확보할 수 있다는 점에서 기존의 해외 노동자 송출이나 무기 밀매보다 훨씬 효율적인 수단이 될 수 있다.

셋째, 북한의 외화벌이 공작은 이제 경제범죄를 넘어 국가안보 위협으로 진화했다. 북한 IT 인력이 기업 내부에 침투하면 급여뿐 아니라 기술정보와 기업의 핵심 시스템까지 노릴 수 있다. 결국 북한의 핵개발 자금줄을 차단하려면 금융제재뿐 아니라 국제적인 채용 검증과 사이버 보안, 자금세탁 차단까지 동시에 강화해야 한다.

넷째, 이번 사건은 한국 기업과 사회에도 경고를 준다. 원격 개발직 채용이 일상화된 한국 IT 업계도 예외일 수 없다. 특히 이번 사건에서 확인된 '명의 대여형' 조력 구조는 국내 대포통장·대포폰 범죄와 동일한 논리로 작동한다. 한국어 구사와 국내 금융망에 대한 이해도가 높은 북한 인력에게 한국 시장은 오히려 진입 장벽이 낮을 수 있다. 채용 단계의 신원 검증뿐 아니라 입사 후 접속 패턴과 장비 위치 모니터링까지 아우르는 '지속 검증' 체계가 필요해 보인다.

결국 이번 사건의 본질은 텍사스에서 압수된 노트북 187대가 아니다. 국제사회가 북한의 핵무기 개발을 막기 위해 제재망을 좁혀가는 동안, 김정은 정권은 세계 경제 시스템의 허점을 새로운 핵개발 자금줄로 바꿔가고 있다는 사실이다.