원격 개발자 신원 안 보면 업체가 지는 책임

원격 개발자 한 명이 업체에 남길 수 있는 부담

경찰이 북한 IT 인력의 국내 업체 위장취업 정황을 수사하기 시작했다. 원격으로 프리랜서나 외주 개발자를 쓰는 중소기업 입장에서는 남의 일로 넘기기 어려운 소식이다. 상대의 얼굴을 한 번도 직접 보지 않고 계약하는 일이 흔해진 만큼, 신원을 확인하지 않고 일을 맡겼다가 업체가 떠안을 수 있는 부담을 짚어 둘 필요가 있다.

몰랐어도 책임이 남는 이유

Anna Shvets

가장 먼저 걸리는 것은 대북제재다. 한국 정부는 북한 IT 인력에게 일감을 발주하고 대금을 지급하는 행위가 기업 평판을 해칠 뿐 아니라, 경우에 따라 남북교류협력법 등 국내법이나 유엔 안보리 대북제재 결의에 저촉될 소지가 있다고 밝혔다. 이들이 벌어들인 돈이 북한의 무기 개발 자금으로 흘러간다는 것이 제재의 배경이다.

문제는 '몰랐다'가 곧바로 면죄부가 되지는 않는다는 점이다. 미국에서는 북한 인력을 의도치 않게 고용했더라도 회사가 기소될 수 있다는 경고가 나왔다. 국내에서 외국환거래법이나 자금세탁 관련 법이 어떻게 적용될지는 아직 구체적 선례가 드물지만, 대금이 제3자 계좌나 가상자산을 거쳐 빠져나가는 구조 자체가 자금 흐름 추적에서 업체를 곤란하게 만들 수 있다.

업무상 위험도 함께 온다. 이들은 채용된 뒤 기업 내부 데이터를 빼내거나 금품을 요구하는 내부 위협이 되기도 한다. 소스코드와 고객 정보가 한 번 유출되면 제재 문제와 별개로 손해가 크다.

이런 위험이 가상의 이야기가 아니라는 점도 분명하다. 보안업체 그룹아이비는 올해 4월 보고서에서 가짜 신분을 내세운 원격 취업 조직이 최소 2021년부터 활동해 왔다고 분석했다. 미국에서는 올해 10월 FBI가 텍사스의 '노트북 팜' 의심 장소 수십 곳을 압수수색하고 관련자를 기소·체포했다. 단속이 실제로 이뤄지는 단계라는 뜻이다.

계약 전 본인 확인, 이렇게 한다

채용과 외주 계약 단계에서 신원을 확인하는 것이 가장 확실한 예방책이다. 미국과 한국 당국이 공동 주의보에서 권고해 온 항목을 실무에 맞게 정리하면 다음과 같다.

• 신분증 확인: 제출한 신분증의 오탈자나 위조 흔적을 꼼꼼히 살핀다.
• 경력 검증: 이력서에 적힌 이전 직장과 학교에 직접 연락해 실제 재직·재학 여부를 확인한다.
• 대면 또는 화상 확인: 가능하면 대면으로, 어려우면 화상으로 본인을 확인하고 면접마다 같은 사람인지 본다.
• 계좌 확인: 급여는 지원자 본인 명의, 신분증과 일치하는 계좌로만 지급하고 가상자산 지급 요구는 피한다.
• 기록 보관: 신원 확인에 쓴 자료와 절차를 남겨 두면 나중에 문제가 생겼을 때 업체가 주의를 다했다는 근거가 된다.

이럴 때는 의심하라

주의보들이 공통으로 꼽은 신호가 있다. 화상 면접에서 카메라를 켜기 꺼리거나, 면접 때마다 외모와 배경이 달라지는 경우다. 이력서의 연락처가 다른 지원서와 겹치거나, 급여를 미리 달라고 요구하거나, 여러 사람 명의의 계좌를 쓰려는 것도 신호다. 온보딩 도중 갑자기 주소나 급여 수령 수단을 바꾸려 하거나, 화상 통화에서 얼굴이 부자연스럽게 보이는 딥페이크 정황도 눈여겨봐야 한다.

의심이 들면 추측만으로 계약을 강행하지 말고, 추가 확인 절차를 거치는 것이 안전하다. 북한 연계가 의심되는 정황이라면 국가정보원 신고전화(111)나 경찰에 신고해 상담할 수 있다.

정리하면

원격 채용은 편리하지만, 상대를 확인하지 않은 채 맺은 계약은 업체에 제재 위반과 정보 유출이라는 이중의 위험을 남길 수 있다. 신원 확인은 비용이 아니라 업체를 지키는 최소한의 절차다. 지금 진행 중인 수사 결과가 어떻게 나오든, 계약 전에 상대가 누구인지 확인하는 습관은 그대로 가져갈 가치가 있다.

출처

1. 한미, 북 IT인력 고용 등 추가주의보 발표…“철저한 신원조사 필요”
2. IT 전문가로 위장한 북한 해커, 국내 기업 취업 가능성
3. FBI PSA: North Korean IT Workers (I-051624-PSA)