‘M이코노미뉴스’에서 한 주간 놓치지 말아야 할 국내외 주요 IT 이슈 3가지를 선정, 요약해 보고자 합니다. 이번 주에는 미국의 보안기업 전문가가 해킹그룹과 공모해 기업의 뒤통수를 쳐 징역형을 선고받았다는 소식, 일본의 한 IT·웹 서비스 개발 기업의 일부 검증용 서버에서 부정접근 사고가 발생해 개인정보 유출까지 이어졌다는 소식, 미국 연방 교도소에 수감 중인 불가리아인이 암호화폐를 빼돌려 추가 기소됐다는 소식 등 세 가지를 단신으로 소개합니다.

1. 美, 랜섬웨어 협상가가 범죄 조직과 결탁...미 기업 대상 몸값 갈취 드러나

미국의 사이버 보안·랜섬웨어 대응 전문기업 디지털민트(DigitalMint)의 전 직원 안젤로 마티노(Angelo Martino)가 블랙캣(ALPHV) 랜섬웨어 조직과 공모해 미국 기업들을 공격한 혐의로 70개월의 징역형을 선고받았다. FBI는 블랙캣 조직이 2021년 11월부터 2022년 3월까지 60건 이상의 침해 사고에 연루됐으며, 2023년 9월까지 1000명 이상의 피해자로부터 최소 3억 달러의 몸값을 갈취했다고 밝혔다. 마티노는 시그니아와 디지털민트에서 랜섬웨어 협상가로 활동했던 케빈 타일러 마틴(Kevin Tyler Martin), 라이언 골드버그(Ryan Goldberg)와 함께 일부 공격에 가담한 혐의로 기소돼 유죄를 인정했다.

법원 문서에 따르면 마티노는 2023년 4월부터 2025년 4월까지 두 공범과 함께 블랙캣 공격에 직접 참여했으며, 2023년 10월에는 피해자 기업의 서버를 암호화하고 약 100만 달러의 몸값을 요구했다. 이들은 시스템 암호화 이전에 몸값을 요구하고, 탈취한 데이터를 유출하겠다고 협박했으며, 블랙캣 관리자에게 협박 포털 접근 권한을 받는 대가로 몸값의 20%를 지불했다. 특히 마티노는 최소 다섯 명의 피해자를 대리해 협상가로 활동하면서 보험 한도액 등 기밀 정보를 범죄 조직에 제공해 몸값을 극대화하도록 도운 것으로 조사됐다.

피해 기업에는 금융 서비스 회사, 비영리 단체, 교육구, 의료 시설, 로펌 등이 포함되며 일부는 2500만~2600만 달러대의 거액을 지불했다. 조너선 솔로몬(Jonathan Solomon) 디지털민트 CEO는 두 전 직원의 범죄 행위를 강력히 규탄하며, 관련 사실을 인지한 즉시 해고했다고 밝혔다. 조너선 CEO는 “회사의 가치와 윤리를 위반한 범죄 행위를 용납할 수 없다”며 내부 협상가가 범죄 조직과 결탁한 사건에 대해 깊은 유감을 표했다.

2. 日 소프투 검증용 서버서 부정 접근...15만여건 통화 정보 침해 가능성

일본의 IT·웹 서비스 개발 기업 소프투(Softsu)는 최근 일부 검증용 서버에서 발생한 부정 접근 사고가 났다고 스캔넷시큐리티가 9일 발표했다. 회사에 따르면 이번 부정 접근 사고는 지난달 22일에 발생했다. 소프투의 사고가 난 검증용 서버는 통화 품질 분석을 위한 테스트 환경으로 운영되던 것으로, 외부의 무단 접근으로 데이터베이스 검색에 사용되는 인덱스 데이터가 삭제된 사실이 확인됐다. 이는 검증용 서버 특유의 보안 설정과 서버에서 사용되던 제삼자 프로그램의 사양이 겹치면서 취약점이 발생한 것이 원인으로 분석됐다.

침해 가능성이 있는 정보는 통화 품질 분석에 필요한 전화번호, 통화 일시, 통화 내용의 문자 변환 정보 일부 또는 전체로, 대상 전화번호는 총 15만9850건에 달한다. 소프투는 해당 업무와 관련된 고객에게 개별적으로 사실을 통보하고 대응을 위한 협의를 시작했으며, 고객이 자신의 전화번호가 대상에 포함되는지 확인할 수 있도록 ‘전화번호 조회 시스템’을 안내했다고 밝혔다. 회사는 서버의 가동 상황과 통신 로그를 조사한 결과, 현시점에서는 외부로의 데이터 유출 정황은 확인되지 않았다고 밝혔다.

이번 사고는 소프투가 수탁한 특정 업무의 검증을 위해 운영하던 독립된 서버에서 발생한 것으로, 회사 전체 서비스에는 영향이 없는 것으로 전해졌다. 소프투는 문제의 서버를 즉시 정지시키고 조사에 필요한 내부 접근만 허용한 채 외부 접근을 완전히 차단한 상태다. 또한 검증용 서버 구축 과정의 보안 설정 절차와 관리 체계를 재검토하고, 전사적인 보안 교육을 지속해 안전 관리 의식을 강화하겠다는 방침을 밝혔다.

3. 불가리아인 이오시포프, 미 압류 암호화폐 탈취 시도해 추가 기소

불가리아 국적의 로센 G. 이오시포프(Rossen G. Iossifov)가 미국 정부가 압류한 암호화폐 약 29만 달러(한화 약 4억3598만6000원)를 빼돌린 혐의로 추가 기소됐다. 그는 이미 미국 온라인 경매 사기 조직의 자금 세탁을 도운 혐의로 미국 연방교소도에서 121개월 형을 복역 중이며, 이번 사건은 2024년 1월 수감 중에 발생한 것으로 드러났다. 미국 비밀경호국은 “합법적으로 압류된 자금을 고의로 반출하려 한 시도는 사법 체계에 대한 도전”이라며 강하게 비판했다.

미국 검찰에 따르면 이오시포프는 공범들과 함께 압수된 암호화폐 계좌에서 자금을 빼돌리기 위해 여러 거래소와 믹싱 서비스를 이용해 추적을 피하려 했다. 그는 과거 불가리아 수도 소피아 소재 암호화폐 거래소 RG 코인스를 운영하며, 크레이그리스트·이베이 등에서 허위 차량 판매 광고를 올려 최소 900명의 미국인을 속인 루마니아 사기 조직의 자금 세탁을 담당했다. 조직원들은 피해자들로부터 받은 돈을 암호화폐로 전환했고, 이오시포프는 이를 해외 자금 세탁업자에게 송금했다.

수사 결과 그는 약 3년 동안 4명의 조직원을 위해 총 500만 달러(한화 약 75억1700만원)를 세탁하며 18만4000달러(한화 약 2억7662만5600원) 이상을 챙긴 것으로 확인됐다. 법원은 그에게 기존 사기 피해자들에게 260만 달러(한화 약 39억884만원) 이상을 배상하고, 이번 사건에서 문제된 암호화폐를 몰수하도록 명령했다. 이오시포프는 새로운 혐의로 유죄 판결을 받을 경우 최대 25년의 추가 징역형에 처해질 수 있다.