취업 코딩 테스트 위장 악성코드, 백도어로 개발자 피해 확산

취업 코딩 테스트를 받았어요. 링크를 클릭하고, 레포를 클론하고, npm install을 돌렸어요. 30분 뒤, 내 컴퓨터 어딘가에 백도어가 설치돼 있을 수도 있어요.

과장이 아니에요.

2025~2026년 사이 보안 커뮤니티에서 조용히 퍼지는 얘기가 있어요. 취업 코딩 테스트를 위장한 악성코드 배포가 점점 정교해지고 있다는 거예요. 피해자는 구직 중인 개발자들이고, 공격자는 그 취약한 심리 — “일단 실행해봐야 합격하지” — 를 파고들어요.

이 글은 그 구조를 파헤쳐요. 어떻게 공격이 이뤄지는지, 왜 개발자가 특히 취약한지, 그리고 지금 당장 뭘 해야 하는지.

핵심 요약

• 취업 코딩 테스트를 위장한 백도어 악성코드는 2025~2026년 사이 보안 커뮤니티에서 급증 사례가 보고되고 있으며, 특히 GitHub 링크와 npm 패키지를 경유하는 방식이 늘었어요.
• CIO가 보도한 2025년 사례에 따르면, npm 저장소에 심어진 악성 패키지가 CI 파이프라인과 AI 코딩 어시스턴트까지 감염시킬 수 있다는 게 확인됐어요.
• 공격자는 실제 기업 채용 과정을 모방한 도구, 가이드, 브랜딩을 쓰기 때문에 일반 개발자가 육안으로 구별하기가 매우 어려워요.
• 피해가 발생해도 개발자가 “내가 잘못한 건가?” 싶어 신고를 꺼리는 경향이 있어, 실제 피해 규모는 공식 통계보다 훨씬 클 수 있어요.
• Devth App처럼 평가 전용 격리 환경을 제공하는 솔루션이 등장했지만, 아직 업계 표준으로 자리잡지 못한 상태예요.

지금 이게 문제가 된 이유

공격자가 노리는 건 ‘심리’예요

코딩 테스트를 받으면 개발자는 자동으로 집중 모드가 돼요. 문제를 풀어야 한다는 압박, 실수하면 탈락한다는 긴장. 이 상태에서 git clone 명령어가 포함된 안내문을 받으면 그냥 따라요. “이 레포를 클론하고, 환경 설정하고, 테스트 돌려서 결과 캡처해서 보내세요” — 이게 지금 가장 흔한 공격 경로예요.

2023년부터 북한 연계 해킹 그룹(라자루스 그룹)이 이 방식을 써온 게 알려져 있어요. FBI와 CISA는 2023년 공동 경보에서 “IT 직군 구직자를 대상으로 악성 코딩 테스트를 배포하는 방식이 확인됐다"고 밝혔고요. 그게 2026년 현재는 더 다양한 공격자들이 쓰는 범용 전술이 됐어요.

npm 생태계가 특히 취약해요

CIO의 2025년 보도에 따르면, npm 저장소에 올라온 악성 패키지가 CI 파이프라인을 타고 AI 코딩 어시스턴트까지 침투할 수 있다는 게 확인됐어요. 내가 직접 실행하지 않아도, 프로젝트에 포함된 의존성 패키지 하나가 나도 모르게 백도어를 설치할 수 있다는 거예요.

취업 코딩 테스트에서 “이 npm 패키지를 먼저 설치하세요"라는 안내가 오는 경우가 있어요. 그 패키지 안에 악성 코드가 숨어있으면? npm install 한 번으로 끝나요.

채용 시장 환경이 공격을 돕고 있어요

2025년 글로벌 IT 채용 시장은 2022~2023년 빅테크 대규모 해고 이후 여전히 공급 과잉 상태예요. LinkedIn의 2025년 직업 시장 보고서에 따르면, 소프트웨어 엔지니어 포지션 하나에 평균 200명 이상이 지원하는 경우가 흔해요. 이 경쟁 압박이 구직자를 “일단 해보자"는 심리로 밀어 넣어요. 공격자 입장에선 완벽한 환경이에요.

공격 방식, 실제로 어떻게 생겼나요?

패턴 1: 가짜 스타트업의 코딩 과제

LinkedIn이나 이메일로 “저희 회사 백엔드 개발자 포지션에 관심 있으신가요?“라는 메시지가 와요. 그럴듯한 회사 이름, 홈페이지, 심지어 글래스도어 리뷰까지 있어요. 며칠 뒤 코딩 과제가 와요. GitHub 레포 링크 하나와 함께.

그 레포 안에는 정상적으로 보이는 코드가 있어요. 근데 package.json이나 requirements.txt 안에 악성 패키지가 포함돼 있거나, 빌드 스크립트에 외부 서버로 데이터를 전송하는 코드가 숨어 있어요.

패턴 2: 평가 플랫폼 위장

“저희는 HackerRank 대신 자체 플랫폼을 써요"라는 말과 함께 실행 파일을 다운받으라는 안내가 와요. 그 실행 파일이 평가 툴처럼 생긴 악성코드예요. 실행 순간 키로거나 원격 접속 백도어가 설치돼요.

패턴 3: 환경 설정 요청

“테스트를 위해 Docker 컨테이너를 실행해주세요” 또는 “이 설정 파일로 로컬 환경을 먼저 구성해주세요"라는 안내가 와요. 그 설정 과정에서 환경 변수, SSH 키, AWS 크리덴셜 등을 탈취하는 코드가 숨어있어요.

세 가지 접근 방식 비교

공격자가 쓰는 전술별로, 개발자가 얼마나 탐지하기 어려운지 정리했어요.

세 방식 모두 공통점이 있어요. 개발자가 “당연히 해야 하는 행동"처럼 포장된다는 거예요. 코드를 클론하고, 패키지를 설치하고, 빌드를 돌리는 건 개발자의 일상이잖아요. 공격자는 그 일상 안에 숨어요.

탐지가 가장 어려운 건 빌드 스크립트 인젝션이에요. Makefile이나 setup.py, gradle 태스크 안에 단 한 줄만 추가해도 크리덴셜 전체가 날아가요. 그 한 줄을 찾으려면 수백 줄을 다 읽어야 해요. 취업 준비 중에 그걸 다 읽는 사람은 거의 없고요.

실질적으로 뭘 해야 하나요?

개발자라면

단기 (지금 당장):

• 코딩 테스트용 가상머신(VM)이나 별도 컨테이너 환경을 하나 만들어두세요. VirtualBox나 Docker로 5분이면 돼요. 그 안에서만 테스트 코드를 실행하면 실제 시스템이 오염돼도 영향이 없어요.
• npm install 전에 package.json을 직접 열어서 모르는 패키지가 있으면 npm 공식 페이지에서 먼저 확인하세요.
• 외부 GitHub 레포를 받았을 때 git log, git diff HEAD~1 명령어로 최근 커밋을 훑는 습관을 들이세요.

장기 (3~6개월):

• 취업 코딩 테스트를 제공하는 회사가 CodeSignal, Devth처럼 검증된 플랫폼을 쓰는지 확인하는 게 하나의 기준이 될 수 있어요.
• 개인 개발 환경에 AWS 키, GitHub 토큰 같은 크리덴셜이 plain text로 있다면 지금 당장 비밀 관리 도구(1Password, Vault 등)로 옮기세요.

기업이라면

평가 전용 격리 환경을 제공하는 플랫폼을 써야 해요. 매일경제가 보도한 Devth App 같은 솔루션이 이 목적으로 나왔어요. 응시자가 자기 로컬 환경에서 테스트를 실행하게 하는 방식은 — 기업 입장에서도, 지원자 입장에서도 — 이제 위험 부담이 너무 커요.

업계 전체로 보면

코딩 테스트 플랫폼의 보안 검증 기준이 아직 없어요. 개발자가 “이 회사 안전한가?“를 판단할 객관적 기준이 없다는 뜻이에요. CodeSignal, Devth 같은 플랫폼이 업계 표준으로 자리잡는 것, 그리고 실행 파일이나 로컬 실행을 요구하는 테스트를 피하는 게 암묵적 규범이 되는 것 — 그게 이 문제의 장기 해결책이에요.

앞으로 어떻게 될까요?

2026년 하반기를 보면, 공격은 더 정교해질 거예요. AI 코딩 어시스턴트가 보편화되면서 “AI 툴 설정을 도와드릴게요"라는 명목으로 악성 플러그인을 설치하게 유도하는 방식이 새로운 공격 경로로 부상할 가능성이 높아요. CIO 보도처럼 AI 어시스턴트 자체가 감염 경로가 될 수 있다는 게 이미 확인됐으니까요.

반대로 방어 쪽도 움직이고 있어요:

• 격리 평가 환경: Devth App처럼 별도 앱 기반 평가 환경이 늘어날 거예요.
• 코드 서명 검증: 기업이 제공하는 테스트 코드에 GPG 서명을 붙이는 관행이 생길 수 있어요.
• 플랫폼 중심 평가: 로컬 실행을 요구하지 않는 웹 기반 평가가 사실상 업계 표준이 될 거예요.

정리하면 이렇게 돼요:

• 취업 코딩 테스트를 위장한 백도어 공격은 개발자의 일상적 행동을 파고드는 방식이에요.
• npm 패키지, 빌드 스크립트, 실행 파일 — 세 경로 모두 지금 실제로 쓰이고 있어요.
• 격리 환경 준비와 사전 코드 리뷰가 현재 가장 현실적인 방어예요.
• 업계 차원의 인증된 평가 플랫폼 보편화가 근본 해결책이에요.

구직 중인 개발자에게 한 가지만 남긴다면 이거예요. 코딩 테스트를 시작하기 전에 딱 2분만 써요. 코드를 보고, 스크립트를 확인하고, 그다음 실행하세요. 그 2분이 몇 달치 크리덴셜을 지킬 수 있어요.

이 글에서 다룬 보안 위협에 대해 더 궁금한 점이 있거나, 실제 코딩 테스트 중 수상한 경험이 있다면 댓글로 알려주세요. 사례가 쌓일수록 패턴이 보여요.

참고 자료

• CI 파이프라인 파고든 npm 악성코드, AI 코딩 어시스턴트도 감염 위협 — CIO Korea
• Devth App 출시 — 매일경제
• FBI·CISA Joint Cybersecurity Advisory: “Lazarus Group Targets Tech Job Seekers” (2023)

관련 글

• GitHub Actions 입문 가이드: CI/CD 자동화 처음 설정하는 법
• 코딩 부트캠프 추천: SSAFY·우테코·내배캠 등 5개 비교 분석
• 틱톡이 E2EE를 거부하는 이유: 아동 안전인가 데이터 수집인가
• AI가 코드 짜면 누가 검증하나: 실무 개발자 딜레마와 ADR 활용법
• GPT-5.3 출시, API 어떻게 달라졌나: 개발자 실전 정리

참고자료

1. Devth(뎁스), 부정행위 원천 차단하는 평가 전용 앱 ‘Devth App’ 출시 - 매일경제
2. 소프트웨어 엔지니어가 인터뷰를 못 받는 진짜 이유와 해결 방법 :: 쵸코쿠키의 연습장
3. CI 파이프라인 파고든 npm 악성코드, AI 코딩 어시스턴트도 감염 위협 | CIO

Photo by Zulfugar Karimov on Unsplash