공대생의 이것저것☀︎

화상 면접에서 만난 지원자의 얼굴과 목소리가 둘 다 진짜가 아닐 수 있다. 마이크로소프트(MS)가 공개한 북한 IT 인력의 수법이 그렇다. 신분증 사진은 얼굴 합성 앱으로 바꾸고, 면접에서는 음성 변조 프로그램으로 억양을 지운다. MS는 10월 29일 북한 해킹 조직들의 AI 활용 수준을 네 단계로 평가한 보고서를 냈다. 위장취업을 맡은 조직 Jasper Sleet는 맨 위인 '운영화' 단계에 올랐다. 일상 업무 곳곳에 AI가 들어가 있다는 뜻이다. 이 블로그에서는 국내 첫 적발 사례와 노트북 농장을 다뤘다. 이번 글은 그 사이의 빈칸, 즉 가짜 지원자가 AI로 서류와 면접을 통과하고 입사 뒤에도 들키지 않는 방법을 정리했다. 날짜부터 짚고 가야 하는 보고서이 주제를 찾아보면 MS 자료가 여러 개 나온..

2026년 6월 12일, 미국 Citizens Bank 코네티컷 지점의 모기지 책임자가 사표를 냈다. 그 뒤 49분 동안 같은 팀 6명이 줄줄이 사직했고, 그날 안에 2명이 더 나갔다. 이들은 모두 핀테크 은행 SoFi로 옮겼다. Citizens는 9월 9일 코네티컷 연방지방법원에 SoFi를 상대로 소송을 냈다. 사람을 데려간 것만 문제 삼은 게 아니다. 떠나기 직전 고객 목록이 개인 메일로 나갔고, 고객 정보가 담긴 스프레드시트가 외부로 올라가려 했고, 대출 진행 현황 보고서가 출력됐다는 주장이 소장에 들어 있다. 앞선 퇴사자 보안 글은 회사를 떠난 뒤에도 남아 있는 계정과 키를 다뤘다. 이번 글은 그 반대편, 사표를 내기 전 며칠 동안 무엇이 나가는지와 팀이 한꺼번에 움직일 때 생기는 문제를 정리한다..

전역한 지 몇 년 된 선배가 연락해 온다. 홍콩에 아는 사람이 있는데, 미군에 관한 글을 써 주면 돈을 준다고 한다. 처음 부탁은 공개된 자료로 쓸 수 있는 수준이었다. 미 육군 전역자 Ruoyu Duan이 9월 16일 미국 오리건주 연방법원에서 국방정보 수집·전달 공모 혐의를 인정했다. 법무부와 현지 언론이 공개한 내용을 보면, 현역 군인을 끌어들인 방식은 위에 쓴 장면과 크게 다르지 않았다. 그렇게 시작된 일은 3년 뒤 'TOP SECRET'이 찍힌 하드디스크가 부대 밖으로 팔려 나가는 데까지 갔다. 이 사건에서 공개된 사실과 세 사람의 역할, 회사 보안 쪽에서 다시 보게 되는 지점을 정리했다. 9월 16일 Duan이 인정한 혐의Duan은 41세로, 2013년부터 2017년까지 육군 현역으로 복무했..

OpenAI가 10월 초 안전 연구원 3명을 해고했다. 회사는 민감 정보를 정해진 절차 밖에서 다뤘다고 설명했고, 연구원들은 안전 문제를 꺼낸 데 대한 보복이라고 맞서고 있다. 그 뒤 나온 보도에서 눈에 띄는 대목이 있다. 회사 보안팀이 유출 조사를 하며 연구원들의 개인 휴대폰을 열어 보게 했고, 외부 연구자와의 시그널 대화에 '사라지는 메시지'가 켜져 있던 것이 해고 사유로 거론됐다는 것이다. 누가 맞는지는 아직 가려지지 않았다. 다만 유출 사고를 분석하는 입장에서 보면, 내부 유출 조사가 어디서 어긋날 수 있는지가 이 사건에 거의 다 들어 있다. 지금까지 알려진 사실해고는 10월 1일 월스트리트저널(WSJ) 보도로 처음 알려졌다. 해고된 사람은 Jasmine Wang, Tomek Korbak, Mi..

해커가 회사 시스템을 뚫는 데 꼭 취약점이 필요한 건 아니다. 이미 접근 권한을 가진 직원 한 명에게 돈을 주면 된다. 다크웹에는 이런 직원을 찾는 광고가 실제로 올라오고, 가격표도 붙어 있다. 이 글은 그 가격표와, 실제로 돈을 받고 움직인 직원이 나온 사건 세 건을 다룬다. 암호화폐 거래소 Kraken의 고객지원 직원, 미국 TD Bank 직원, AT&T 매장 직원이다. 업종도 하는 일도 달랐지만 사건이 굴러간 방식은 꽤 닮았다. 다크웹 '내부자 구함' 광고의 가격표Check Point는 2025년 12월 다크웹 포럼과 텔레그램에 올라온 내부자 모집 광고를 분석해 공개했다. 대상은 은행, 통신사, 암호화폐 거래소, 클라우드 업체, 컨설팅 회사까지 넓었다. 광고에 이름이 나온 회사만 해도 Coinba..