미국 국무부와 연방수사국(FBI), 일본 외무성·국가사이버안보실·경찰청·재무성·경제산업성, 한국 외교부·경찰청, 호주 외교통상부, 캐나다 국제문제부·기마경찰대, 프랑스 유럽·외교부, 독일 외교부, 이탈리아 외교국제협력부, 네덜란드 외무부, 뉴질랜드 외교통상부, 영국 외무·영연방·개발부 및 금융제재이행실 등 여러 국가·기관이 7월 31일 북한 IT 노동자 관련 공동 경보를 발령했다.
경보에 따르면 북한은 국내외에 배치된 숙련 IT 노동자 네트워크를 활용해 허위 신분을 확보하고 원격으로 소득을 벌어들여 불법 핵무기와 탄도미사일 프로그램 자금을 조달하고 있다. 이들은 다른 나라 국민을 사칭해 민간기업이 운영하는 온라인 채용·조달 플랫폼에서 일자리와 소득을 확보하고, 급여를 북한 상급 기관에 송금할 목적으로 계약을 맺는다. 아울러 기업 내부자 위협으로도 작용해 데이터 유출과 암호화폐 절취, 민감정보 탈취에 관여하며, AI를 접목하는 등 정체를 숨기고 활동을 세계적으로 확대하는 방식이 갈수록 정교해지고 있다.
관련국들은 2025년 8월 한·미·일이 '북한 IT 노동자에 관한 공동성명'을 발표했고, 다자제재모니터링팀(MSMT)이 같은 해 10월 사이버·IT 노동자 활동을 통한 북한의 유엔 제재 위반·회피에 관한 두 번째 보고서를 냈다고 설명했다. 미국과 일본, 한국, 영국, 호주, 캐나다도 각각 관련 주의보를 발령한 바 있다.
경보는 유엔 안보리 결의 2397호에 따라 모든 회원국이 제한적 예외를 제외하고 자국 관할권 내에서 소득을 올리는 북한 국적자 전원을 북한으로 송환해야 한다고 밝혔다. 북한 IT 노동자와 계약해 대가를 지급하는 행위는 일본과 미국, 한국을 비롯한 여러 나라의 국내법 위반에 해당할 수 있으며 법적 처벌이나 금전적 제재로 이어질 수 있다.
국제자금세탁방지기구(FATF)는 북한을 조치 요구 대상 고위험 국가(블랙리스트)로 지정하고 있다. 그럼에도 북한은 IT 노동자 스킴을 포함한 다각화된 수익 창출 활동으로 국제 금융시스템과의 연계를 늘려 왔으며, 이는 대량살상무기 프로그램을 뒷받침하는 자금원으로 활용되고 있다고 경보는 지적했다.
경보는 북한 IT 노동자의 수법으로 △제3자 신분증 이미지를 활용한 허위 계정 등록 △대리인을 통한 계정 개설·면접 참여·대면 접촉 △은행 송금 대신 송금 서비스나 암호화폐를 통한 대가 수취 요구 △웹·앱·소프트웨어·블록체인 등 폭넓은 분야에서의 고급 기술 활용 △VPN·원격데스크톱 등을 이용한 해외 근무 은폐 △'노트북 팜' 운영을 통한 실제 위치 은닉 △자체 개발 자동매매 시스템을 이용한 부정 외환 거래를 통한 외화 획득 등을 지목했다.
플랫폼 운영 기업을 위한 의심 계정 특징으로는 등록 정보의 잦은 변경, 계정 명의와 결제 계좌 명의 불일치, 동일 신분증으로 만든 복수 계정, 위·변조된 신분증, 동일 IP에서의 다중 계정 접속, 단시간 내 여러 IP에서의 단일 계정 접속, 비정상적으로 긴 로그인 유지, 부자연스럽게 높은 누적 근무시간, 자체 리뷰 조작 등이 제시됐다. 고용·조달 담당자를 위한 특징으로는 기계번역으로 보이는 부자연스러운 프로필 표현, 화상회의에서의 신분증 불일치나 조작된 화면, 화상회의 거부, 시장가보다 낮은 근무 조건 제시, 시간대별로 응대자가 바뀌는 등 복수 인원이 계정을 운영하는 정황, 암호화폐 결제 요구 등이 열거됐다.