가짜 채용 면접 해킹이란? 북한 위장 구인 수법과 과제 파일 점검법
바이낸스 63억 달러 해킹은 가짜 채용 면접의 과제 파일에서 시작됐어요. 북한 해커의 위장 구인 수법과 면접 과제 실행 전 점검법, 감염 의심 시 대처 순서를 정리했어요.
목차7개 섹션
핵심 요약
- 바이낸스는 2026년 10월 29일 약 63억 달러 규모 해킹의 침투 경로 중 하나로 가짜 채용 면접에서 받은 과제 파일을 지목했어요.
- 공격자는 정상 구직 플랫폼으로 접근해 두 차례 면접으로 신뢰를 쌓은 뒤, 업무용 컴퓨터에서 악성 코드 저장소를 실행하게 만들었어요.
- 마이크로소프트는 같은 계열 수법이 최소 2022년 12월부터 이어졌고 코드 편집기의 작업 설정 자동 실행, 설치 스크립트, 붙여넣기 명령을 악용한다고 설명해요.
- 면접 과제는 업무용·지갑 보관용 기기가 아닌 일회용 가상 머신에서 열고, 실행 전 설치 스크립트와 편집기 작업 설정부터 읽어야 해요.
- 이미 실행했다면 기기를 네트워크에서 분리하고 다른 깨끗한 기기에서 계정·토큰·지갑을 정리하는 순서가 중요해요.
가짜 채용 면접 해킹은 공격자가 리크루터나 채용 담당자로 위장해 개발자에게 접근한 뒤, 면접 과제라는 명목으로 악성 코드가 든 파일이나 코드 저장소를 실행하게 만드는 사회공학 공격이에요. 2026년 11월 3일 바이낸스가 공개한 사고 보고서에 따르면 10월 29일 발생한 약 63억 달러 규모 해킹도 이 방식으로 확보한 직원 컴퓨터에서 출발했어요. 이 글은 2026년 11월 초까지 공개된 바이낸스 발표·보도와 보안 업체 분석을 근거로 수법의 흐름, 과제 파일을 열기 전 점검법, 이미 실행했을 때의 대처 순서를 정리해요. 수사가 진행 중이어서 세부 사실은 이후 공식 발표로 바뀔 수 있어요.
가짜 채용 면접 해킹은 어떻게 바이낸스까지 갔나
The Register가 정리한 바이낸스 사고 보고서에 따르면 이번 공격은 한 번의 피싱이 아니라 몇 달에 걸친 다단계 작전이었어요. FBI는 이 해킹을 라자루스 그룹과 연결된 북한 해킹 조직 TraderTraitor의 소행으로 지목했어요. 바이낸스가 밝힌 흐름을 시간순으로 보면 면접 과제는 여러 단계 중 결정적인 발판이었어요.
- 1
6월: 변조된 설치 파일로 정보 노출
지갑 인프라 팀의 한 엔지니어가 AI 코딩 도구를 설치하려다 검색으로 찾은 변조된 Homebrew 설치본을 내려받았어요. 보안팀이 탐지해 기기를 교체하고 자격증명을 바꿨지만, 이 엔지니어의 역할과 지갑 팀 동료 정보는 이미 공격자에게 노출됐다고 바이낸스는 설명했어요.
- 2
9월: 두 차례의 가짜 면접
다른 소프트웨어 엔지니어가 정상 구직 플랫폼에서 프로젝트 디렉터를 자칭한 인물의 연락을 받았어요. 1차는 가짜 인사 담당자와의 실시간 화상 면접이었고, 상대는 개인 사진과 영상이 올라간 SNS 계정을 보여 주며 신뢰를 쌓았어요. 2차는 가짜 CEO와 메신저 앱에서 진행됐고, 끝무렵 과제를 내려받으라는 지시가 나왔어요.
- 3
과제 설치 중 악성 코드 실행
업무용 컴퓨터에서 과제 저장소를 설정하는 과정에 코드가 실행됐어요. 악성 코드는 정상 개발 도구 구성 요소를 악성 버전으로 바꿔치기하고 외부 서버와 통신했으며, 엔드포인트 보안 도구에 바로 탐지되지 않았어요.
- 4
10월 20일·29일: 내부 확산과 탈취
공격자는 감염된 컴퓨터와 내부 AI 도구를 이용해 지갑 엔지니어 두 명의 컴퓨터를 장악했고, 그중 한 명의 기기에서 컨테이너 배포 권한 토큰을 찾았어요. 10월 29일 이 자격증명으로 컨테이너를 배포하고 스크립트를 실행해 자금을 빼냈어요.
CoinDesk 보도에 따르면 자금 유출은 10월 29일 20시 05분(UTC)에 시작됐고, 공격자는 이더리움의 EIP-7702 기능으로 핫월렛 실행 권한을 얻었어요. 바이낸스는 약 28억 5천만 달러가 동결됐고 피해 토큰의 약 98%를 회사 자금으로 채웠다고 밝혔어요. 같은 브리핑에서 올해 북한 연계로 의심되는 공격 시도 57건을 막았다고도 했어요. 피해 규모는 집계 기관마다 달라 체이널리시스는 64억 달러로 표기해요.
북한 해커 구인 사기의 공통 패턴
마이크로소프트는 이런 공격을 Contagious Interview 캠페인으로 부르며 최소 2022년 12월부터 활동했다고 설명해요. 공격자는 암호화폐 거래 회사나 AI 솔루션 회사의 채용 담당자로 위장하고, 깃허브·깃랩·비트버킷 같은 코드 호스팅 서비스의 저장소를 복제해 실행하라고 요구하는 경우가 많아요. 최근에는 VS Code에서 저장소 작성자를 신뢰한다고 누르면 저장소의 작업 설정 파일이 자동 실행되는 흐름도 악용했어요.
접근
- 흔한 모습
- 구직 플랫폼·메신저로 고연봉 포지션 제안
- 경고 신호
- 프로필에 현 직장(거래소·지갑 팀)이 드러난 사람을 골라 연락
신뢰 쌓기
- 흔한 모습
- 화상 면접, 개인 SNS·회사 소개 공유
- 경고 신호
- 공식 채용 페이지에 없는 포지션, 회사 도메인이 아닌 연락 수단
과제 전달
- 흔한 모습
- 코딩 테스트용 저장소·압축 파일 링크
- 경고 신호
- 단축 URL, 새로 만든 저장소·계정, 과하게 복잡한 설치 절차
실행 유도
- 흔한 모습
- 의존성 설치, 오류 해결용 명령 붙여넣기
- 경고 신호
- 보안 기능 끄기 요구, 업무용 기기에서 바로 실행하라는 압박
마이크로소프트가 분석한 OtterCookie, BeaverTail, InvisibleFerret 같은 악성 코드는 감염 후 환경 설정 파일(.env), 지갑 복구 문구, KeePass·1Password 관련 파일, 클립보드 내용을 찾아 외부로 보냈어요. 일부 캠페인은 가짜 면접 사이트에서 기술 오류를 보여 주고 이를 고친다며 명령을 복사해 붙여넣게 했어요. 개발자 기기에는 소스 코드, 배포 파이프라인, 클라우드 키처럼 회사 전체로 이어지는 권한이 모여 있어 공격자가 노리는 가치가 커요.
개인 코인 보유자도 표적이 돼요
체이널리시스는 최근 18개월 동안 비슷한 북한 연계 가짜 면접·악성 코드 수법으로 1,430만 달러 이상의 피해를 추적했다고 밝혔어요. 피해자에는 기업뿐 아니라 개인 코인 보유자와 개인 지갑, 프로토콜, DAO가 포함됐어요. 일부 피해자는 시드 문구를 감염 기기에 내려받은 적이 없었는데도 클라우드 저장소에 있던 개인키를 잃었다고 해요. 감염된 기기 하나가 로그인된 클라우드 계정과 브라우저 세션으로 이어질 수 있다는 뜻이에요.
면접 과제 파일 실행 전 점검법
가장 중요한 원칙은 과제를 어떤 기기에서 여느냐예요. 마이크로소프트는 코딩 테스트와 과제를 운영 자격증명·내부 저장소·클라우드 세션이 있는 업무용 기기가 아닌, 비영구 가상 머신 같은 격리 환경에서 다루라고 권고해요. 지갑 앱이나 거래소 계정이 로그인된 개인 컴퓨터도 같은 이유로 피해야 해요.
- 회사 공식 웹사이트의 채용 페이지와 대표 연락처로 포지션과 면접관이 실제로 있는지 확인해요. 리크루터가 보낸 링크로 확인하지 않아요.
- 저장소 생성일, 커밋 이력, 작성자 계정의 활동 기간을 봐요. 며칠 전에 만든 저장소와 계정은 경고 신호예요.
- 실행 전에
package.json의 설치 관련 스크립트(예: preinstall·postinstall), 편집기 작업 설정 폴더(.vscode등), 설정 셸 스크립트를 텍스트로 먼저 읽어요. - 외부 주소에서 내려받아 바로 실행하는 패턴, 단축 URL, 알아보기 어렵게 난독화된 긴 문자열이 있으면 실행을 멈춰요.
- VS Code 같은 편집기에서 처음 보는 저장소를 열 때는 제한 모드를 유지하고 작성자를 신뢰하지 않아요.
- 오류를 고친다며 터미널에 명령을 붙여넣으라는 요청, 보안 기능을 끄라는 요청은 과제와 관계없다고 보고 거절해요.
바이낸스 사례의 공격자는 정상 구직 플랫폼, 실시간 화상 면접, 개인 사진이 담긴 SNS 계정까지 동원했어요. 면접이 그럴듯하다는 사실은 과제 파일이 안전하다는 근거가 되지 않아요. 판단 기준은 상대의 인상이 아니라 실행 환경과 파일 내용이에요.
이미 실행했다면: 감염 의심 시 대처 순서
과제를 실행한 뒤 의심스러운 점을 발견했다면 감염된 기기에서 비밀번호를 바꾸지 않는 것이 먼저예요. 새로 입력한 비밀번호도 유출될 수 있기 때문이에요. 마이크로소프트는 침해가 의심되면 기기를 격리하고, 노출됐을 수 있는 자격증명과 토큰을 교체하며, 코드 저장소와 배포 시스템의 최근 접근 기록을 검토하라고 안내해요.
- 1
기기 분리
감염 의심 기기를 와이파이와 유선망에서 끊어요. 회사 기기라면 보안팀에 곧바로 알리고 임의로 초기화해 흔적을 지우지 않아요.
- 2
깨끗한 기기에서 계정 정리
다른 기기에서 이메일, 코드 호스팅, 클라우드, 거래소 계정의 비밀번호를 바꾸고 로그인 세션을 모두 끊어요. API 키와 접근 토큰은 폐기한 뒤 새로 발급해요.
- 3
지갑 자산 이동 검토
시드 문구나 개인키가 감염 기기, 클라우드 메모, 비밀번호 관리자에 있었다면 새 기기에서 새 지갑을 만들고 자산 이동을 검토해요. 기존 지갑 주소의 토큰 사용 승인도 확인해요.
- 4
기록 보존과 신고
리크루터 프로필, 대화 내용, 과제 링크를 캡처해 보관해요. 한국 거주자는 경찰청 사이버범죄 신고 창구, 해외 거주자는 해당 관할 수사기관에 신고할 수 있어요.
거래소 이용자가 함께 볼 점
이번 사건은 거래소 직원 한 명의 구직 활동이 거래소 전체 지갑으로 이어질 수 있음을 보여 줬어요. 바이낸스는 지갑 시스템과 내부 AI 도구를 다시 구축하고, 영향받은 기기를 교체했으며 해당 엔지니어들의 자격증명과 토큰을 모두 폐기했다고 밝혔어요. 대형 거래소 사고 뒤에는 입출금 조건이 빠르게 바뀔 수 있고 거래소 간 가격 차이나 자금 이동 흐름에도 영향이 갈 수 있으므로, 자금을 옮기기 전에 공식 공지부터 확인하는 편이 좋아요.
더따리의 텔레그램 코인 트렌드에서는 해킹·입출금 중단 같은 보안 소식이 커뮤니티에서 어떻게 퍼지는지 살펴볼 수 있어요. 다만 채널 글은 확인되지 않은 정보가 섞이므로 거래소 공식 공지로 다시 확인해야 해요. 김프 화면은 국내외 거래소 가격 차이를 비교하는 도구로, 입출금이 제한된 동안 차이가 벌어지는지 확인할 때 참고할 수 있어요. 가격 차이가 보인다고 해서 바로 이동·차익 거래가 가능하다는 뜻은 아니며, 입출금 가능 여부와 수수료를 먼저 확인해야 해요.
정리하면 가짜 면접 공격을 막는 핵심은 세 가지예요. 채용 제안은 공식 경로로 확인하고, 과제 파일은 자산과 권한이 없는 격리 환경에서 내용을 먼저 읽고, 실행 후 이상이 보이면 깨끗한 기기에서 계정과 지갑을 정리하는 순서를 지키는 거예요. 업계 종사자라면 공개 프로필에 지갑·보안 업무를 자세히 적는 것만으로도 표적 선정의 단서가 될 수 있다는 점을 기억해 두세요.
