원격 채용에서 신원 확인은 아직 아무도 담당하지 않는다

무슨 일이 있었나

FBI 가 미국 연방기관에서 원격으로 근무하던 IT 인력 한 명을 북한 국적자로 보고 조사를 시작했다(TechCrunch). 민간 기업도 암호화폐 거래소도 아닌 정부기관이다. 채용 절차가 가장 빡빡할 것으로 여겨지는 자리가 뚫린 셈이다.

이게 갑자기 나온 사건은 아니다. 미국 법무부는 2025년 11월 집행 발표에서, 미국 내 조력자들이 북한 IT 인력의 원격 취업을 도운 피해 기업을 136곳으로 집계했다(DOJ). 별건으로 기소된 북한 국적자 14명 사건에서는 약 6년에 걸쳐 최소 8,800만 달러가 북한 정권으로 넘어간 것으로 조사됐다(DOJ). 미 국무부는 2026년 7월 각국 정부와 기업에 별도 경보를 냈다(State Department).

수법을 보면 왜 안 걸렸는지가 보인다. 도용하거나 빌린 신분, 합성한 신분으로 서류를 맞추고, 미국 안에 둔 노트북 농장과 프록시 호스트를 거쳐 접속해 지원자가 실제로 미국에 있는 것처럼 보이게 했다(DOJ). 회사가 확인한 것은 전부 통과했다. 회사가 확인하지 않은 것만 거짓이었다.

창업자에게 의미하는 것

원격 채용 절차를 하나씩 떼어 놓고 보면 각 단계가 무엇을 확인하는지가 분명해진다. 서류 심사는 경력의 개연성을 본다. 기술 면접은 코드를 짤 줄 아는지 본다. 레퍼런스 체크는 같이 일한 사람의 평을 듣는다. 신원조회 대행 서비스는 제출된 이름과 주민번호에 해당하는 기록을 조회한다.

이 중 어느 것도 “지금 화면 반대편에 있는 사람이 그 이름의 주인인가”를 묻지 않는다. 기술 면접은 통과하는 게 정상이다. 실제로 일할 사람이 면접을 보기 때문이다. 신원조회는 깨끗하게 나오는 게 정상이다. 조회 대상이 실존하는 다른 사람의 기록이기 때문이다. 단계가 많다고 이 질문이 어딘가에서 자동으로 처리되지는 않는다.

여기서 스타트업의 조건이 대기업과 다르게 작동한다. 채용 담당자가 따로 없어 창업자나 팀 리드가 면접부터 온보딩까지 겸한다. 원격 우선이라 물리적 접점이 아예 없는 채용이 기본값이다. 계약직이나 프리랜서 비중이 높아 정규직 절차를 안 태우고 넘어가는 경우가 많다. 셋 다 좋은 이유로 도입한 관행인데, 합쳐 놓으면 아무도 신원을 안 보는 구조가 된다.

비용은 급여 손실이 아니다. FBI 는 이들이 확보한 사내 네트워크 접근 권한으로 기밀 정보와 인증 자격증명을 빼돌리고 이후 공격에 활용했다고 밝혔다(TechCrunch). 개발자 한 명을 잘못 뽑는 문제가 아니라 저장소와 프로덕션 자격증명을 통째로 내주는 문제다. 여기에 제재 대상국 인력에게 급여를 지급했다는 사실 자체가 별도의 법적 문제로 남는다.

지금 취할 수 있는 행동

신원 확인을 별도 단계로 만든다. 지금 채용 절차 문서를 열어 “지원자가 본인임을 확인하는 단계”를 이름으로 찾아본다. 없으면 그게 결론이다. 기술 면접이나 레퍼런스 체크가 그 역할을 겸하고 있다고 여겼다면, 위에서 본 대로 겸하지 않는다.

최종 후보 한 명에게만 강도를 몰아준다. 전 지원자에게 신분증 검증을 요구하면 지원율이 떨어지고 비용도 는다. 오퍼 직전 단계에 신분증 실물과 얼굴을 함께 확인하는 절차를 두면 대상이 한 명으로 줄어든다.

주소와 결제 정보의 불일치를 확인 항목에 넣는다. 이력서 주소, 급여 계좌 명의, 접속 IP 대역, 장비 배송지가 서로 다른 나라를 가리키는 조합은 실제 사건에서 반복적으로 나온 신호다. 각각은 정상적인 사유로 설명되지만 넷이 동시에 어긋나는 경우는 드물다.

온보딩 첫 주의 권한을 좁힌다. 신원 확인을 아무리 해도 완벽하지 않다. 첫 주에 프로덕션 자격증명과 전체 저장소 접근을 함께 주지 않는 것만으로 최악의 시나리오가 크게 줄어든다. 이건 이 사건과 무관하게 해둘 만한 설정이다.