미국의 판타지 스포츠·스포츠 베팅 플랫폼인 드래프트킹스(DraftKings)를 대상으로 한 대규모 계정 해킹 사건의 주요 가담자 중 한 명에게 18개월의 징역형이 선고됐다. 미네소타 출신의 21세 남성 네이선 오스타드(Nathan Austad)는 온라인에서 ‘스누피(Snoopy)’라는 가명을 사용하며 2022년 11월 발생한 드래프트킹스 계정 침해 사건에 참여한 혐의를 인정했다. 그는 지난해 12월 컴퓨터 침입 공모 혐의에 대해 유죄를 인정했고, 공범들과 함께 약 6만 개의 사용자 계정을 해킹했다고 시인했다.

미국 IT 매체 블리핑컴퓨터에 따르면 이번 사건은 취약한 비밀번호를 악용하거나 다른 사이트에서 유출된 로그인 정보를 재사용하는 ‘자격 증명 스터핑(Credential Stuffing)’ 방식으로 진행됐다. 드래프트킹스는 2022년 11월 당시 해커들이 이러한 방식으로 고객 계정에 접근했다고 발표했으며, 초기에는 피해 금액이 30만 달러 미만이라고 밝혔으나 이후 조사에서 총 6만7995개의 계정이 침해된 사실이 드러났다. 해커들은 이 가운데 1600개 계정에 자신들이 통제하는 결제 수단을 추가해 약 60만 달러를 탈취한 것으로 확인됐다.

미국 법무부는 오스타드가 단순한 가담자가 아니라, 해킹된 계정 접근 권한을 판매하는 온라인 상점을 직접 운영하며 수익을 올렸다고 밝혔다. 그의 상점 이름은 만화 피너츠(Peanuts) 속 캐릭터 ‘스누피’에서 따온 것으로 알려졌다. 법무부는 해커들이 얻은 총수익을 공개하지는 않았지만, 오스타드의 암호화폐 지갑으로 약 46만5000달러(한화 약 7억1614만6500원) 상당의 자산이 유입된 사실을 확인했다고 전했다. 또 오스타드가 공범들에게 보낸 다이렉트 메시지에서 사기 행위를 스스럼없이 인정하고 다른 이들에게도 대비하라고 경고한 내용이 발견되었다고 덧붙였다.

이 사건과 관련된 공범들에 대한 처벌도 이어지고 있다. 2023년 5월에는 조셉 개리슨(Joseph Garrison)이 기소됐고, 그는 2024년 1월 18개월의 징역형을 선고받았다. 또 다른 공범인 카메린 스토크스(Camerin Stokes)는 올해 4월에 30개월의 징역형을 선고받았다. 이들은 ‘고트 샵(Goat Shop)’ 등 온라인 마켓플레이스를 통해 해킹된 계정 접근 권한을 판매한 혐의를 받고 있다.

오스타드는 징역형 외에도 3년간의 보호관찰을 받게 되며, 46만3684달러(한화 약 7억1411만9728.40원)의 몰수금과 132만7061달러(한화 약 20억4354만1,233.90원)의 배상금을 지급하라는 명령을 받았다. 온라인 계정 보안 취약성을 악용한 범죄가 증가하는 가운데, 미국 당국은 사이버 범죄자에 대한 강경한 대응을 이어가고 있는 판례가 됐다.