최근 미국에서 발생한 랜섬웨어 사건에서 두 명의 전직 보안 전문가가 징역형을 선고받으면서 사이버 보안 업계에 큰 파장을 일으키고 있습니다.

이들은 첨단 보안 기술을 악용하여 금품을 갈취하는 범죄에 가담했으며, 이는 기술 전문가의 윤리적 책임과 사이버 범죄의 심각성을 다시 한번 일깨워주는 사건입니다.

보안 전문가, 4년형 선고와 3인조의 범죄 행각

미국 법무부(DoJ)의 발표에 따르면, 라이언 골드버그(Ryan Goldberg, 40세)와 케빈 마틴(Kevin Martin, 36세)은 랜섬웨어 공격에 가담한 혐의로 각각 4년의 징역형을 선고받았습니다.

이들은 또 다른 공범인 안젤로 마티노(Angelo Martino, 41세)와 함께 2023년 4월부터 12월까지 미국 전역의 다수 피해자를 대상으로 ALPHV BlackCat 랜섬웨어를 유포했습니다.

이들은 랜섬 금액의 20%를 수수료로 챙기며 범죄 수익을 공유한 것으로 드러났습니다.

심지어 한 피해자로부터는 약 120만 달러 상당의 비트코인을 갈취하고 자금을 세탁하는 과정까지 진행했습니다.

사이버 보안 산업의 그림자, 전문가의 배신

이 사건이 더욱 충격적인 이유는 피고인들이 모두 사이버 보안 산업에 종사하던 전문가들이라는 점입니다.

이들은 컴퓨터 시스템을 보호하는 전문 지식과 경험을 악용하여 오히려 시스템에 피해를 입히는 데 사용했습니다.

골드버그는 과거 유명 보안 업체 Sygnia에서 침해 사고 대응 관리자로 일했으며, 마틴은 당시 ransomware threat negotiator로 활동했습니다.

이들이 가진 전문성이 오히려 범죄의 효율성을 높이는 데 기여했다는 사실은 사이버 보안 업계 전반에 깊은 성찰을 요구하고 있습니다.

ALPHV BlackCat 랜섬웨어와 RaaS 모델의 위험성

ALPHV BlackCat은 ‘Ransomware-as-a-Service'(RaaS) 모델을 통해 확산된 대표적인 랜섬웨어입니다.

RaaS 모델에서는 랜섬웨어 개발자들이 악성코드와 인프라를 개발하고 유지하며, 이를 ‘회원’ 즉, 공격자들에게 제공합니다.

공격자들은 이를 이용해 특정 목표를 설정하고 공격을 감행하며, 랜섬이 지불되면 수익을 개발자와 나누는 방식입니다.

이러한 모델은 기술적 장벽을 낮춰 더 많은 범죄자들이 랜섬웨어 공격에 쉽게 가담할 수 있도록 만들고, 공격의 파급력을 증대시키는 주요 원인이 됩니다.

ALPHV BlackCat은 전 세계적으로 1,000곳 이상의 피해자를 발생시킨 것으로 알려져 있습니다.

금품 갈취 과정과 자금 세탁 시도

검찰은 피고인들이 2023년 5월부터 11월까지 5개 미국 기업을 대상으로 랜섬웨어 공격을 감행했다고 밝혔습니다.

이들은 각 기업에 대해 수백만 달러에 달하는 거액의 몸값을 요구했습니다.

특히 의료기기 회사에는 1,000만 달러를 요구했으나, 최종적으로는 약 127만 달러를 지불받았습니다.

골드버그는 이 과정에서 갈취한 비트코인 120만 달러를 믹서와 여러 지갑을 통해 세탁하려 한 혐의를 인정했습니다.

그는 개인적인 부채 때문에 범죄에 가담하게 되었다고 진술했으며, 종신형에 대한 두려움 때문에 범행을 시인한 것으로 알려졌습니다.

도피와 추적, 법의 심판

골드버그는 공범 중 한 명의 자택이 FBI의 압수수색을 당했다는 사실을 인지한 후, 아내와 함께 파리로 도피를 시도했습니다.

그러나 FBI는 10개국에 걸친 추적 끝에 그를 체포하는 데 성공했습니다.

이는 FBI의 강력한 집행 의지와 국제 공조의 중요성을 보여주는 사례입니다.

케빈 마틴은 초기에 혐의를 부인했으나, 결국 유죄를 인정하고 형을 받게 되었습니다.

현재 세 번째 공범인 안젤로 마티노는 7월 9일로 예정된 선고를 기다리고 있습니다.

시사점: 기술 악용 범죄의 심각성과 예방책

이 사건은 사이버 보안 전문가라는 직함이 면죄부가 될 수 없으며, 오히려 그들이 가진 기술이 악용될 경우 더 큰 피해를 야기할 수 있음을 명확히 보여줍니다.

범죄자들은 계속해서 새로운 기술과 방식을 개발하며 법망을 피해가려 합니다.

따라서 다음과 같은 점들을 강조할 필요가 있습니다.

  • 기술 전문가 윤리 교육 강화: 보안 전문가를 포함한 모든 IT 종사자들을 대상으로 한 윤리 교육 및 법규 준수 교육을 강화해야 합니다.
  • RaaS 모델에 대한 지속적인 감시: RaaS 공급자 및 가담자에 대한 국제적인 공조 수사와 단속이 필요합니다.
  • 랜섬웨어 피해 예방 및 복구 시스템 고도화: 주기적인 백업, 강력한 접근 통제, 최신 보안 솔루션 도입 등 실질적인 보안 강화 노력이 필수적입니다.
  • 내부자 위협 관리: 직원들의 보안 인식 제고와 함께, 내부자에 의한 정보 유출 및 시스템 침해 시도를 탐지하고 차단하는 시스템 구축이 중요합니다.

사이버 범죄는 국경을 초월하며 끊임없이 진화하고 있습니다.

이번 사건을 계기로 우리 모두가 사이버 보안에 대한 경각심을 높이고, 기술의 윤리적 사용과 안전한 디지털 환경 조성을 위해 함께 노력해야 할 것입니다.

출처: https://securityaffairs.com/191591/cyber-crime/two-us-cybersecurity-experts-sentenced-in-ransomware-case-third-awaits-july-ruling.html