미국의 범죄 조직 라 코사 노스트라(La Cosa Nostra)는 ‘다섯 가문(Five Families)’을 중심으로 금전과 권력을 놓고 서로 다퉜다. 북한의 사이버 범죄 작전 역시 유사한 구조로 움직이고 있지만, 오직 김정은 일가를 위해 움직인다.

사이버 보안업체 DTEX의 새 보고서는 “다른 주요 국가의 프로그램처럼 북한의 사이버 작전을 정부 조직으로만 보지 말고, 단일 가문 조직인 마피아로 비유하면 전체 윤곽이 선명해진다”고 설명했다.

보고서는 평양의 소위 ‘사이버 카르텔’이 어떻게 체계적으로 훈련된 IT 인력을 양성해 슬롯 무료 사이트 500대 기업 등 미국·유럽의 기업에 침투시키는지 상세히 파헤쳤다. 올해 북한은 이 전략을 한 단계 발전시켜 AI 연구 센터를 위한 최상위 졸업생 90명을 선발했고, 각 근로자에게 월급의 두 배에 달하는 송금액을 강제하고 있다. 이들은 올해 초 가상화폐 거래소 바이빗(Bybit)을 해킹해 탈취한 15억 달러를 세탁하는 데도 매달려왔다.

북한의 사이버 범죄 조직은 훈련된 기술자를 수천 명 규모로 전세계에 배치하는 방대한 체계다. 이 IT 근로자들은 미국인 신분을 사칭하거나 도용해 불법 원격 근로 자격을 얻고, 본국으로 송금된 급여는 핵탄두·탄도미사일 연구개발과 제재 회피 자금으로 쓰인다.

이들은 또한 조선인민군 산하 APT(Advanced Persistent Threat) 그룹과 정보를 공유한다. 유엔 추산에 따르면 IT 근로자들이 연간 2억 5000만~6억 달러를 꾸준히 벌어들이는 반면, APT 조직은 최소 30억 달러 이상의 암호화폐를 탈취했다.

DTEX의 북한 담당 수사관 마이클 바니 반하트는 슬롯 무료 사이트에 “이것이 바로 마피아다”라고 말했다. 이익은 상위로 흘러올라 무기 개발과 제재 회피 자금을 조달하고, 각종 범죄 조직 활동을 지원한다. 보고서는 “랜섬웨어, 암호화폐 절도, 금융 사기, 내부정보 탈취로 생긴 수익이 모두 무기 개발과 제재 회피로 흘러간다”고 설명했다.

보고서에 따르면, 많은 IT 근로자와 APT 요원은 서로를 잘 알고 있다. 수학·과학에 재능을 보인 초등학생을 일찍 선발해 김성일군사대학, 금성학원 등 엘리트 교육 기관에 보내고, 사이버 요원 또는 IT 근로자로 키우기 때문이다. 이들은 졸업 후에도 ‘브로 네트워크’라는 동창·친구 관계망을 통해 정보를 교환하며 고수익 일자리를 확보한다.

DTEX가 공개한 사진에는 고급 시계와 나이키 브랜드 의류를 착용한 젊은 IT 근로자들이 활짝 웃으며 서로 어울리는 모습이 담겨 있다. 10년 전 성공적 해킹을 주도했던 요원들은 지금은 관리자나 조언자, 교수로 후배를 양성한다.

더구나 사진에는 포착되지 않는 잔혹함이 있다. 4~5명 단위 팀 간 치열한 경쟁이 조장된다는 점이다. 반하트는 이를 “개싸움(dog eat dog)의 세계”라고 묘사하며 “진정한 승자는 김정은 일가와 북한의 엘리트”라고 말했다. 대부분 자금은 작전과 무기 개발에 쓰이지만, 일부는 김씨 일가의 사치품 구매에도 사용된다.

보고서는 2025년 중국 내 북한 근로자들의 월별 송금 할당량이 두 배로 늘어났다고 밝힌다. IT 근로자를 포함한 모든 일꾼은 주 6일, 하루 16시간의 중노동을 견뎌야 하며 휴식은 거의 없다. 이런 극한 경쟁 속에서 ‘브로 네트워크’는 상황별로만 유지된다고 반하트는 덧붙였다.

생존을 위한 성과 경쟁

수익 압박은 끊임없는 경쟁을 부채질한다. 근로자들은 대부분 소득의 80% 이상을 체제에 바치고, 자신들의 급여로 운영비·장비비를 충당해야 한다. 보고서에 실린 한 사례에서 한 근로자는 한 달간 5000달러를 벌었지만 고작 200달러만 가져갈 수 있었다.

반하트는 “이 같은 할당량은 팀 내부 경쟁 문화를 또렷하게 형성한다. 동료보다 더 많은 이득을 올리려 ‘애국심 결여’ 행위로 서로를 신고하도록 부추긴다”고 밝혔다.

이 때문에 미국의 일부 스타트업 창업자들은 구직자에게 김정은을 비판하는 부정적 댓글을 먼저 작성하게 한 후 정식 인터뷰 기회를 주기도 한다. 북한 IT 근로자는 지도자의 비하를 감행했다가 체제에 알려지면 생명이 위태로워질 것을 알기에 결코 위험을 감수하지 않는다.

이들은 할당량 달성에 실패하면 구타당하거나 징벌을 받기도 한다. 반하트는 “정말 가혹한 삶”이라며 “할당량을 채우지 못하면 폭행 언급이 종종 보인다”고 말했다.

DTEX가 공개한 또 다른 사진엔 좁은 공간에 앉아 위조 신분증을 만들고, 벽에 설치된 감시용 카메라를 의식한 채 근무하는 IT 근로자들이 보인다. 프리랜스 플랫폼에서 일거리를 놓고 벌이는 경쟁이 치열해, 가상화폐·소프트웨어 개발 관련 공고에 지원하기까지 최대 3시간이 걸린다고 반하트는 전했다.

어떤 이들은 동료를 ‘사기꾼(scammer)’으로 신고하기도 하며, 추가 수익을 위해 ‘부업(side hustle)’을 허용받지만 오직 송금액을 늘리는 데 기여하는 경우에만 가능하다.

마피아처럼, 북한 IT 근로자 체계에서도 금전적 이익과 공포, 폭력이 정체성을 규정하고 있다. 보고서는 “다른 국가와 달리 북한은 생존 기반 인센티브구조가 핵심”이라고 밝혔다. 반하트는 이렇게 결론지었다. “이들의 동기는 이념이 아니라 가족의 식량·주거·의료·교육이라는 물질적 필요다. 충성도가 핵심 동인은 아니다. 생존이 우선이다.”

/ 글 Amanda Gerut & 편집 김다린 기자 quill@fortunekorea.co.kr