북한 가짜 채용 면접이 부른 바이낸스 63억 달러 탈취, 바이낸스가 공개한 사고 보고서

채용 과정이 자동화돼서 사람 만나기도 전에 관문을 잔뜩 통과해야 하는데, 결국 이런 결과가 나온 게 좀 웃기더라.

90년대 맨해튼 면접에서는 시험 보라는 말에 그냥 나왔는데, 지금은 그럴 수도 없고.

링크드인에서 #opentowork 달고 있으니까 가짜 회사 면접 제안이 여러 번 왔음. 링크드인이 이 문제에 제대로 대응을 안 하고 있어.

업무용 컴퓨터에서 면접 과제를 실행했다는 게 제일 이해가 안 감. 최소한 도커 컨테이너 안에서 돌려야지.

그 과제가 SecOps 직무용이었으면 아이러니가 엄청났겠네 ㅋㅋ

옆자리 동료들도 업무 시간에 딴짓 많이 하는데 개인 면접을 업무 PC로 하는 게 그렇게 놀랄 일인가. 나는 집 PC도 아니고 클린 설치한 중고 노트북으로 면접 본다.

이건 채용이 망가졌다는 증거이자 개발자가 좋은 타깃이라는 증거임.

원격 채용 검증 도구가 이미 있는데 왜 회사들이 계속 당하는지 모르겠음. 상대가 진짜 사람일 수 있어서 간단한 문제가 아니고, 업무 노트북에 다운로드한 것도 문제지만 개발 환경이 세그먼트되지 않은 것과 월렛 접근 승인 절차가 없었던 것도 다 문제임.

The Register가 원본 사고 보고서 링크를 제대로 안 걸어둔 건 아쉽네.

줌 익스플로잇으로 다운로드 없이도 가능한데, 나는 민감한 데이터 없는 일회용 기기로 면접 봄. 크롬북으로 본다고 뭐라 하는 사람도 있는데 이유가 있음.

내가 면접관일 때 후보자 70% 이상이 회사 줌 계정으로 접속했고, 화면 공유하다 사내 IDE랑 메일함, 캘린더까지 다 봤음. 구글, 메타, 아마존, 코인베이스, 우버 후보자들이 다 그랬음. 기술 면접 상당수가 내부 정보 빼내려는 목적 같다고 이제는 생각함.

개인 컴퓨터 없이 회사 노트북만 쓰는 사람도 있더라.

개인 노트북으로 면접 봤으면 개인 지갑이 털렸겠지. 이번엔 회사가 대신 맞은 셈임.

금융기관 업무 노트북은 통제가 심해서 랜덤 exe를 못 받음. 바이낸스도 은행 수준 IT 보안을 갖춰야 함.

진짜 문제는 업무 노트북이 수십억 달러짜리 서명 환경으로 바로 이어졌다는 점임. 직접 접근은 아니었어도 코드를 배포할 수 있었다는 게 더 나쁨.

이건 바이낸스 쪽 이야기라서 진실은 아무도 모름. 커버업 동기는 충분하고, 북한은 보통 자기 행동을 인정하는데 이번엔 부인했음. 저 정도 회사 내부 보안이 이렇게 허술할 리 없다고 봄.

빅테크 출신들이 secops 팀에 후보자가 안전한지 평가해 달라고 요청하는 경우가 많아졌고 비용도 큼.