채용 과제 파일이 수상할 때 열기 전에 무엇을 확인할까?

원문 출처: 가든봄 | https://www.gardenbom.com/2026/11/recruitment-task-file-phishing-check.html

채용경로가 확인되기 전에는 실행을 보류하세요. 채용 과제로 받은 ZIP·문서·개발 프로젝트는 정상적인 파일처럼 보여도 악성코드가 포함돼 있을 수 있습니다. 먼저 실제 채용 담당자가 보낸 과제인지 별도 공식 경로로 확인하고, 이미 파일을 실행했다면 어떤 작업까지 진행했는지에 따라 보안 대응을 달리해야 합니다.

채용 담당자가 보낸 파일, 어디서 먼저 확인할까?

가장 먼저 확인할 것은 파일 자체보다 과제를 보낸 경로입니다. 이메일에 회사 로고가 있거나 발신자 이름이 채용 담당자로 표시돼 있어도 실제 발송자를 증명하지는 못합니다. 메신저로 전달받은 과제 역시 마찬가지입니다.

지원했던 회사의 공식 채용공고나 기존 지원 내역을 다시 확인하세요. 채용공고에 기재된 연락처 또는 자신이 별도로 확인한 공식 채용경로를 이용해 과제 발송 사실을 대조하는 방식이 좋습니다. 의심스러운 이메일에 적힌 연락처로만 재확인하면 같은 발신자에게 다시 확인받는 셈이 될 수 있습니다.

• 지원한 기록이 있는가: 실제 지원한 회사와 직무인지, 과제를 안내받을 만한 전형 단계인지 대조합니다.
• 과제 발송 사실이 일치하는가: 회사가 해당 파일이나 저장소 링크를 공식 과제로 전달했는지 확인합니다.
• 실행 요구가 설명되는가: 프로그램 설치나 명령어 실행이 필요하다면 그 목적과 수행 방식을 확인합니다.

공식 채용경로에서 발송 사실이 확인되지 않는다면 과제 실행을 보류하는 것이 안전합니다. 다만 과제 발송이 확인됐다고 해서 파일의 기술적 안전성까지 검증된 것은 아닙니다. 출처 확인과 실행 위험 검토는 서로 다른 단계입니다.

가든봄(www.gardenbom.com)에서는 채용 과제 악성 파일 확인을 발송 경로의 진위, 파일이 요구하는 실행 동작, 실제 실행 여부 순서로 구분합니다.

ZIP이나 개발 프로젝트에서 무엇이 위험 신호일까?

ZIP 압축파일이나 GitHub 같은 코드 저장소 자체가 위험한 것은 아닙니다. 정상적인 개발자 채용에서도 프로젝트 파일을 전달하고 실행 결과를 제출하도록 요구할 수 있습니다. 문제는 파일 이름이나 확장자보다 내부에 어떤 코드가 들어 있으며 무엇을 실행하도록 만드는지에 있습니다.

특히 과제 수행을 위해 낯선 프로그램 설치, 터미널 명령어 입력, 관리자 권한 허용, 보안 기능 해제를 요구한다면 실행 전에 해당 동작의 필요성을 확인해야 합니다. 파일이나 폴더를 열어보는 것과 프로그램을 실행하는 것은 구분되지만, 일부 개발 환경에서는 프로젝트 설정이나 자동화 기능을 통해 코드가 실행될 가능성도 있습니다.

실제 채용 위장 프로젝트에는 어떤 파일이 들어 있었을까?

안랩 ASEC가 2025년 4월 2일 공개한 분석에서는 채용 메일을 가장해 전달된 개발 프로젝트에 악성 JavaScript 파일과 DLL 파일이 포함된 사례를 다뤘습니다. 프로젝트 설정 파일처럼 보이는 tailwind.config.js에는 정보 탈취와 추가 악성코드 다운로드 기능을 가진 BeaverTail이 포함돼 있었고, 별도 DLL을 실행하는 기능도 확인됐습니다.

분석된 악성코드는 브라우저 인증정보 탈취, 추가 악성코드 다운로드 및 원격 명령 수행과 연결됐습니다. 이는 확인된 특정 프로젝트의 분석 결과이지, 같은 이름의 설정 파일이나 모든 JavaScript 프로젝트가 악성이라는 뜻은 아닙니다.

2026년 10월 16일 공개된 안랩의 APT 동향 보고서에서도 가짜 채용, 기술 면접, 코딩 과제와 GitHub 저장소 등을 악용한 공격이 다뤄졌습니다. 다만 이 보고서가 앞선 개별 사건의 지속 여부나 모든 채용 파일의 위험도를 증명하지는 않습니다.

백신 검사에서 이상이 없으면 열어도 될까?

백신 무탐지만으로 안전을 확정할 수는 없습니다. 보안 검사는 알려진 위협을 발견하는 데 도움이 되지만, 새로운 악성코드나 정상 파일에 숨겨진 위험한 동작을 모두 판별하는 보증서는 아닙니다. 반대로 탐지 결과가 나왔다고 해서 추가 확인 없이 공격 유형이나 피해 범위를 확정해서도 안 됩니다.

검사가 필요하더라도 회사가 제공한 비공개 과제나 개인정보가 포함된 파일을 외부 검사 서비스에 무조건 업로드해서는 안 됩니다. 예를 들어 VirusTotal의 일반 파일 제출은 검사 정보가 분석 협력업체 등과 공유될 수 있으므로, 기밀자료라면 제출 권한과 공유 범위를 먼저 검토해야 합니다.

VS Code로 프로젝트를 열어야 한다면?

Visual Studio Code(VS Code)는 출처를 충분히 신뢰하지 않는 프로젝트를 검토할 수 있도록 작업공간 신뢰 기능과 제한 모드(Restricted Mode)를 제공합니다. 제한 모드에서는 터미널, 작업 실행, 디버깅, 확장 기능과 자동 코드 실행에 관련된 일부 동작이 차단되거나 제한됩니다.

낯선 프로젝트를 검토해야 한다면 VS Code의 공식 작업공간 신뢰 안내에서 제한 모드의 작동 범위를 확인할 수 있습니다. 신뢰 여부를 묻는 창에서 무심코 허용하지 않는 것이 중요합니다.

단, 제한 모드는 모든 악성 동작을 막는 완전한 격리 환경이 아닙니다. 악성 확장 프로그램 등의 위험은 남아 있으므로, 출처가 불확실한 과제를 안전하게 실행해 주는 기능으로 이해해서는 안 됩니다.

파일을 내려받기만 했다면 감염된 걸까?

파일을 다운로드했다는 사실만으로 악성코드가 실행됐다고 판단할 수는 없습니다. 반면 실행파일을 열거나 설치 명령을 입력했다면 추가 확인이 필요합니다. 문서를 미리 보거나 개발 프로젝트를 열었을 때도 사용하는 프로그램과 자동 실행 기능에 따라 판단이 달라질 수 있습니다.

다음 표에서 자신이 실제로 진행한 작업을 기준으로 구분해 보세요.

현재 상태	판단 가능한 범위	다음 행동
과제 링크나 파일만 받음	수신 사실만으로 감염 여부를 판단할 근거는 없음	공식 발송 여부 확인 후 접근·실행 결정
파일을 다운로드하거나 압축 해제함	실제 코드 실행 여부가 확인되지 않았다면 감염 확정 불가	추가 실행 중단, 보안 경고와 실행 이력 확인
프로젝트를 편집기로 열거나 미리 보기함	사용 프로그램의 자동 실행 기능·확장 기능 등에 따라 위험이 달라짐	실행된 작업이 있는지 확인하고 불확실하면 보안 상담
설치파일·스크립트·명령어를 실행함	악성 행위가 실행됐을 가능성을 조사할 필요가 있음	추가 동작 중단, 기기와 계정 노출 범위 점검
백신 탐지·의심스러운 접속·계정 이상 징후가 발생함	실제 침해 여부와 피해 범위 확인이 필요함	의심 기기 격리 및 보안 담당자·전문기관 상담

예를 들어 메신저로 전달된 프로젝트 ZIP 파일을 내려받았지만 아직 실행하지 않았고, 채용 담당자의 실제 발송 여부도 확인하지 못했다고 가정하겠습니다. 이 조건만으로 악성 파일이나 감염 상태를 확정할 수는 없습니다. 현재 가능한 판단은 출처가 확인되지 않았으므로 실행을 보류해야 한다는 것입니다.

이미 실행했다면 기기와 계정은 어떻게 대응할까?

의심 파일이나 스크립트를 실제 실행했다면 단순히 파일을 삭제하는 것보다 추가 실행을 막고 침해 가능성을 확인하는 일이 우선입니다. 특히 브라우저 로그인 정보, 업무용 계정 또는 개발용 접근키가 저장된 기기라면 파일 실행 이후의 계정 노출까지 검토해야 합니다.

1. 추가 실행을 멈춥니다. 의심 파일을 다시 열거나 실행 명령을 반복하지 마세요. 침해가 의심되는 경우 네트워크 연결을 차단해 추가 통신을 제한하는 조치가 필요할 수 있습니다.
2. 실행 정황을 기록합니다. 파일을 받은 경로와 시각, 파일명, 실행한 명령어, 표시된 경고 등을 정리합니다. 분석을 위해 파일을 다시 실행하거나 로그와 기록을 임의로 삭제하지 마세요.
3. 사용한 기기에 맞는 담당자에게 알립니다. 회사·학교 등 관리 대상 기기라면 해당 조직의 보안 담당자에게 연락해 격리·검사·증적 보존 절차를 따릅니다. 개인 기기라면 보안 상담을 통해 필요한 점검 범위를 판단할 수 있습니다.
4. 노출 가능성이 있는 계정을 보호합니다. 의심 기기가 아닌 안전한 기기에서 관련 계정의 비밀번호 변경과 로그인 기록을 확인하고, 필요하면 기존 로그인 세션 해제와 다중인증을 적용합니다. 업무용 접근키나 인증토큰은 담당자와 교체·폐기 범위를 조율해야 합니다.

한국인터넷진흥원(KISA)은 기업·기관 대상 보안 권고에서 노출된 인증정보의 폐기·교체와 사용 이력 확인 등을 안내합니다. 이러한 조치는 침해 가능성에 대한 대응 원칙이며, 개인이 받은 모든 의심 파일에 대해 동일한 수준의 사고 처리가 법적으로 의무화된다는 의미는 아닙니다.

보안 상담은 어디에 요청하면 될까?

해킹이나 악성코드 실행이 의심되지만 피해 범위를 판단하기 어렵다면 KISA의 국번 없는 118 보안상담을 이용할 수 있습니다. 실제 침해사고 신고가 필요한 경우에는 KISA 보호나라 침해사고 신고 페이지에서 신고 유형과 사고 현황 등 필요한 항목을 확인할 수 있습니다.

상담할 때는 파일을 어디서 받았는지, 어떤 작업을 실행했는지, 사용 기기가 개인용인지 업무용인지, 백신 탐지나 계정 이상 징후가 있었는지를 알려주면 상황을 구분하는 데 도움이 됩니다. 의심 파일 자체를 상담자에게 임의로 전송하기보다 안내받은 제출 방식과 개인정보 보호 조건을 따르는 것이 좋습니다.

참고자료

• 안랩 ASEC · 채용 메일을 위장한 피싱 공격 정황 사례 분석(BeaverTail, Tropidoor) · 2025.04.02
• 안랩 ASEC · 2026년 9월 APT 그룹 동향 보고서 · 2026.10.16
• 안랩 ASEC · 2026년 9월 APT 공격 동향 보고서(국내) · 2026.10.30
• Microsoft · Workspace Trust · 2026.11.09 열람
• Microsoft Support · Information about the Attachment Manager in Microsoft Windows · 2026.11.09 열람
• KISA 보호나라 · 최근 사이버공격 대비 기업 보안강화 권고 · 2026.10.03
• KISA 보호나라 · 침해사고 신고 및 보안상담 안내 · 2026.11.09 열람
• VirusTotal · How it works · 2026.11.09 열람

작성일: 2026년 11월 9일.